🧭 一、前言
在現代企業環境中，VPN（Virtual Private Network）是實現跨地安全連線的核心技術。
OPNsense 內建三種主流 VPN 解決方案：
| VPN 類型 | 加密協定 | 適用場景 | 特點 |
|---|---|---|---|
| IPsec | IKEv2 / ESP | 網站對網站、企業 VPN | 穩定、相容性高 |
| OpenVPN | SSL/TLS | 使用者遠端存取 | 易管理、多平台 |
| WireGuard | UDP + Curve25519 | 現代化輕量 VPN | 高速、設定簡單 |
以下將分別介紹三者的運作原理與在 OPNsense 的實際應用。
🧩 二、IPsec VPN
1️⃣ 原理與特色
IPsec (Internet Protocol Security) 是最傳統且被廣泛採用的 VPN 協定，
運作在 OSI 第三層（Network Layer），
直接對 IP 封包進行加密與認證。
它透過 IKE (Internet Key Exchange) 協議進行金鑰交換，
並使用 ESP (Encapsulating Security Payload) 進行資料封裝與加密。
常見應用場景：
- 企業據點間的「Site-to-Site VPN」；
- 企業總部與分支間的安全互聯；
- 第三方供應商連線（與 Cisco、Fortinet 等裝置互通）。
2️⃣ 架構與流程
- Phase 1 (IKE SA negotiation)：
建立安全通道 (Security Association)；
驗證雙方身份（憑證或 PSK）。 - Phase 2 (IPsec SA negotiation)：
建立實際資料傳輸加密通道；
使用 ESP 加密封包。 - 資料傳輸階段：
所有內部封包會被加密後再送出。
3️⃣ OPNsense 設定重點
位置：
VPN → IPsec
設定步驟概要：
| 步驟 | 說明 |
|---|---|
| 1️⃣ | 啟用 IPsec |
| 2️⃣ | 建立 Phase 1（對端 IP、IKEv2、加密演算法） |
| 3️⃣ | 建立 Phase 2（本地/遠端網段、ESP 演算法） |
| 4️⃣ | 防火牆開放 UDP 500、4500 |
| 5️⃣ | 測試並確認 SA 狀態 (Status → Security Associations) |
4️⃣ 優點與適用場合
✅ 高安全性與跨平台相容性；
✅ 適合企業固定據點；
⚠️ 設定較複雜，不太適合一般使用者。
🧩 三、OpenVPN
1️⃣ 原理與特色
OpenVPN 是基於 SSL/TLS 的應用層 VPN 協定，
以 TCP 或 UDP 為傳輸層，利用 X.509 憑證驗證雙方身份。
它在 OPNsense 中可同時支援：
- Remote Access（使用者遠端登入）
- Site-to-Site（站點對站點）
常見應用場景：
- 遠端員工安全連線；
- 多平台裝置（Windows/macOS/iOS/Android）；
- 與 Active Directory 或 LDAP 整合的身份驗證系統。
2️⃣ 架構與流程
- 使用者啟動 OpenVPN Client；
- 與 OPNsense OpenVPN Server 建立 TLS 握手；
- 憑證或帳號密碼驗證；
- 建立虛擬隧道 (tun/tap interface)；
- 加密後傳輸所有流量。
3️⃣ OPNsense 設定重點
位置：
VPN → OpenVPN → Servers
設定步驟概要：
| 步驟 | 說明 |
|---|---|
| 1️⃣ | 使用嚮導建立伺服器與 CA 憑證 |
| 2️⃣ | 新增 Server（指定介面、協定、Port） |
| 3️⃣ | 建立使用者憑證 |
| 4️⃣ | 在「Client Export」下載使用者設定檔 |
| 5️⃣ | 測試連線 |
4️⃣ 優點與適用場合
✅ 跨平台支援佳；
✅ 整合 LDAP / 2FA 簡單；
✅ 管理方便，適合遠端員工；
⚠️ 效能略低於 WireGuard。
🧩 四、WireGuard
1️⃣ 原理與特色
WireGuard 是一種新一代的 VPN 協定，
採用現代加密套件（Curve25519、ChaCha20、Poly1305），
設計理念是「簡單、快速、安全」。
與 IPsec、OpenVPN 不同，它使用單一 UDP 連線，
不需要握手階段的複雜金鑰交換機制，
配置僅需一組「公鑰 / 私鑰」。
常見應用場景：
- 企業與分支連線；
- 行動裝置 VPN；
- Docker、雲端、容器化環境。
2️⃣ 架構與流程
- 雙方交換公鑰；
- 使用 UDP 傳送封包；
- WireGuard 內建靜態金鑰加密；
- 維持連線極低延遲（僅約 1ms）。
3️⃣ OPNsense 設定重點
位置：
VPN → WireGuard
設定步驟概要：
| 步驟 | 說明 |
|---|---|
| 1️⃣ | 啟用 WireGuard 服務 |
| 2️⃣ | 建立本地節點（Local）— 自身公私鑰 |
| 3️⃣ | 建立 Peer（對端設定）— 對方公鑰與網段 |
| 4️⃣ | 設定防火牆規則允許 UDP 通訊 |
| 5️⃣ | 測試通訊 |
4️⃣ 優點與適用場合
✅ 超高速、低延遲；
✅ 設定簡單（僅需幾行設定）；
✅ 適合雲端 / 行動 VPN；
⚠️ 尚不支援所有進階驗證機制（如 LDAP）。
🧠 五、三者比較總覽
| 項目 | IPsec | OpenVPN | WireGuard |
|---|---|---|---|
| 協定層級 | Layer 3 | Layer 4–7 | Layer 3 |
| 加密演算法 | AES / 3DES | SSL/TLS (RSA/ECC) | ChaCha20 / Poly1305 |
| 安裝難度 | 高 | 中 | 低 |
| 效能 | 中 | 中–低 | 高 |
| 手機支援 | 原生 (iOS/Android) | 客戶端安裝 | 原生支援 |
| 最適用場景 | 企業站點互聯 | 遠端使用者 | 雲端 / 移動裝置 |
✅ 六、結論
OPNsense 內建三大 VPN 技術，能滿足各種安全連線需求：
- IPsec：傳統企業級、高相容；
- OpenVPN：彈性高、支援多用戶；
- WireGuard：輕量高速、最適現代網路架構。
根據你的環境需求與使用者類型選擇合適的 VPN，
即可在 OPNsense 上構建完整、安全且高效的遠端存取架構。