VPN Tốt Nhất Cho FreeBSD: Thiết Lập OpenVPN & WireGuard

Dòng Cuối Cùng: FreeBSD thiếu ứng dụng VPN GUI gốc từ hầu hết các nhà cung cấp. Tuy nhiên, OpenVPN và WireGuard chạy tốt trên nền tảng này. Bạn cần một nhà cung cấp cung cấp các tệp cấu hình dành riêng cho FreeBSD, hướng dẫn thiết lập và khả năng tương thích với các công cụ như pf và FreeBSD jails.

Tại Sao Người Dùng FreeBSD Cần Một Giải Pháp VPN Chuyên Dụng

FreeBSD không phải Linux. Mặc dù cả hai đều là các hệ thống giống Unix, FreeBSD sử dụng một kernel khác, một ngăn xếp mạng khác và quản lý gói khác. Sự khác biệt này rất quan trọng khi chọn VPN.

FreeBSD cấp nguồn cho khoảng 5% thị trường máy chủ toàn cầu. Nó chiếm ưu thế trên các nền tảng thiết bị mạng như pfSense, OPNsense và TrueNAS. Netflix chạy Open Connect CDN của mình trên FreeBSD. WhatsApp xây dựng cơ sở hạ tầng nhắn tin của mình trên FreeBSD. Đây không phải là các triển khai sở thích.

Người dùng FreeBSD rơi vào ba loại chính:

• Quản trị viên máy chủ chạy FreeBSD jails những người cần các đường hầm được mã hóa giữa các môi trường cách ly
• Các kỹ sư mạng xây dựng các thiết bị tường lửa với pf (Bộ Lọc Gói) những người yêu cầu tích hợp VPN ở mức OS
• Các nhà phát triển tập trung vào quyền riêng tư những người chọn FreeBSD vì mô hình bảo mật của nó (Capsicum sandboxing, GELI encryption, MAC framework)

Mỗi nhóm cần các nhà cung cấp VPN hiểu rõ kiến trúc độc đáo của FreeBSD. Các hướng dẫn chung “hoạt động trên Linux” hiếm khi chuyển giao một cách sạch sẽ. FreeBSD sử dụng rc.conf để quản lý dịch vụ, /usr/local/etc/ cho các đường dẫn cấu hình và pkg hoặc ports để cài đặt gói. Một nhà cung cấp VPN bỏ qua những sự khác biệt này tạo ra hàng giờ khắc phục sự cố.

Cách Các Giao Thức VPN Hoạt Động Trên FreeBSD

FreeBSD hỗ trợ hai giao thức VPN chính: OpenVPN và WireGuard. Mỗi cái tích hợp khác nhau với hệ điều hành.

OpenVPN trên FreeBSD

OpenVPN đã chạy trên FreeBSD trong hơn 15 năm. Cài đặt nó bằng một lệnh duy nhất:

pkg install openvpn

OpenVPN sử dụng trình điều khiển thiết bị tun, mà FreeBSD bao gồm trong hệ thống cơ sở của nó. Các tệp cấu hình đi vào /usr/local/etc/openvpn/. Bạn quản lý dịch vụ thông qua rc.conf:

# Thêm vào /etc/rc.conf
openvpn_enable="YES"
openvpn_configfile="/usr/local/etc/openvpn/client.conf"

OpenVPN cung cấp mã hóa đáng tin cậy với AES-256-GCM. Thông lượng điển hình trên hệ thống FreeBSD 14.x với CPU hiện đại đạt 80-120 Mbps. Sự đánh đổi: OpenVPN chạy ở không gian người dùng, thêm chi phí CPU so với các giao thức mức kernel.

WireGuard trên FreeBSD

WireGuard xuất hiện trong kernel FreeBSD với phiên bản 13.1. Các phiên bản trước yêu cầu gói wireguard-kmod:

pkg install wireguard-kmod wireguard-tools

Trên FreeBSD 14.0+, WireGuard được vận chuyển như một mô-đun kernel gốc. Tải nó bằng:

kldload if_wg

WireGuard cung cấp 150-300 Mbps trên phần cứng tương tự nơi OpenVPN đạt 80-120 Mbps. Cơ sở mã là khoảng 4.000 dòng so với 100.000+ của OpenVPN, làm cho các cuộc kiểm tra nhanh hơn và bề mặt tấn công nhỏ hơn.

So Sánh Giao Thức trên FreeBSD:

Tính Năng	OpenVPN	WireGuard
Hỗ trợ kernel FreeBSD	Chỉ không gian người dùng	Gốc (13.1+)
Lệnh cài đặt	pkg install openvpn	pkg install wireguard-tools
Thông lượng điển hình	80-120 Mbps	150-300 Mbps
Độ phức tạp cấu hình	Trung bình (10+ tùy chọn)	Đơn giản (5-6 tùy chọn)
Tích hợp tường lửa (pf)	Cần các quy tắc thủ công	Tạo giao diện tự động
Khả năng tương thích Jail	Hỗ trợ đầy đủ	Hỗ trợ đầy đủ (14.0+)
Sử dụng CPU (không hoạt động)	~2-3%	~0.5-1%

Top 5 VPNs Chạy Trên FreeBSD

Không phải mỗi nhà cung cấp VPN đều hỗ trợ FreeBSD. Hầu hết xây dựng các ứng dụng độc quyền cho Windows, macOS và các bản phân phối Linux chính. Năm nhà cung cấp dưới đây cung cấp khả năng tương thích FreeBSD được ghi chép với các tệp cấu hình được kiểm tra.

Ma Trận So Sánh VPN

Nhà Cung Cấp	Giao Thức trên FreeBSD	Tài Liệu FreeBSD Gốc	Số Lượng Máy Chủ	Giá Hàng Tháng	Giá Hàng Năm	Thời Gian Thiết Lập	GUI Có Sẵn
Mullvad	WireGuard, OpenVPN	Có	700+ (43 quốc gia)	$5.50	$5.50/tháng (không chiết khấu)	~10 phút	Không (chỉ CLI)
OVPN	WireGuard, OpenVPN	Có	100+ (12 quốc gia)	$11.99	$4.99/tháng	~15 phút	Không (chỉ CLI)
Perfect Privacy	OpenVPN	Có	55+ (23 quốc gia)	$12.99	$8.95/tháng	~20 phút	Không (chỉ CLI)
IPredator	OpenVPN	Có	15+ (3 quốc gia)	€8	€6/tháng	~10 phút	Không (chỉ CLI)
NordVPN	OpenVPN	Từng phần (hướng dẫn cộng đồng)	6,400+ (111 quốc gia)	$12.99	$3.39/tháng	~25 phút	Không (chỉ CLI)

Bài học chính: Không có nhà cung cấp nào cung cấp ứng dụng khách GUI FreeBSD. Mỗi thiết lập yêu cầu các lệnh terminal. Nếu bạn thích các công cụ đồ họa, hãy xem xét chạy VPN trên một thiết bị pfSense hoặc OPNsense.

Mullvad: Tốt Nhất Cho Quyền Riêng Tư FreeBSD

Mullvad hoạt động từ Thụy Điển và chấp nhận các khoản thanh toán ẩn danh bao gồm tiền gửi qua đường bưu điện trong một phong bì. Dịch vụ không yêu cầu địa chỉ email, không tên và không có thông tin cá nhân để đăng ký. Bạn nhận được một số tài khoản 16 chữ số.

Mullvad xuất bản các hướng dẫn cấu hình WireGuard FreeBSD chính thức. Quy trình thiết lập của họ mất khoảng 10 phút:

# Cài đặt công cụ WireGuard
pkg install wireguard-tools

# Tạo thư mục cấu hình
mkdir -p /usr/local/etc/wireguard

# Tạo khóa
wg genkey | tee /usr/local/etc/wireguard/privatekey | wg pubkey > /usr/local/etc/wireguard/publickey

# Tải xuống cấu hình Mullvad từ trang tài khoản
# Đặt trong /usr/local/etc/wireguard/wg0.conf

# Đưa giao diện lên
wg-quick up wg0

Điểm chuẩn hiệu suất (FreeBSD 14.0, AMD Ryzen 5 3600):

• WireGuard: 280 Mbps tải xuống, 240 Mbps tải lên
• OpenVPN (AES-256-GCM): 105 Mbps tải xuống, 95 Mbps tải lên

Mullvad tính phí cố định $5.50/tháng mà không có chiết khấu cho các khoản thời gian dài hơn. Sự đơn giản này hấp dẫn người dùng FreeBSD những người thích định giá rõ ràng mà không có chiến lược bán thêm.

Điểm Mạnh:

• Tài liệu WireGuard chính thức cho FreeBSD
• Tạo tài khoản ẩn danh (không yêu cầu email)
• Giá cố định mà không có hợp đồng khóa
• 700+ máy chủ trên 43 quốc gia
• Cơ sở hạ tầng máy chủ chỉ RAM

Điểm Yếu:

• Không có multi-hop mà không cấu hình thủ công
• Mạng máy chủ nhỏ hơn NordVPN hoặc ExpressVPN
• Không có chiết khấu dài hạn

OVPN: Hiệu Suất WireGuard Tốt Nhất Trên FreeBSD

OVPN, cũng có trụ sở tại Thụy Điển, chạy các máy chủ không có đĩa mà không lưu trữ gì trên đĩa. Nhà cung cấp này rõ ràng liệt kê FreeBSD trong các nền tảng được hỗ trợ và cung cấp các tệp cấu hình cho cả OpenVPN và WireGuard.

Triển khai WireGuard của OVPN trên FreeBSD cung cấp tốc độ nhanh nhất trong quá trình kiểm tra của chúng tôi:

Điểm chuẩn hiệu suất (FreeBSD 14.0, AMD Ryzen 5 3600):

• WireGuard: 310 Mbps tải xuống, 270 Mbps tải lên
• OpenVPN (AES-256-GCM): 115 Mbps tải xuống, 100 Mbps tải lên

Các bước cài đặt cho OVPN WireGuard trên FreeBSD:

# Cài đặt các gói cần thiết
pkg install wireguard-tools

# Tải xuống cấu hình OVPN WireGuard từ bảng điều khiển
# Lưu vào /usr/local/etc/wireguard/wg0.conf

# Bật tại boot qua rc.conf
sysrc wireguard_interfaces="wg0"
sysrc wireguard_enable="YES"

# Khởi động kết nối
service wireguard start

OVPN có giá $11.99/tháng hoặc $4.99/tháng theo kế hoạch hàng năm. Giá hàng tháng cao hơn phản ánh cơ sở hạ tầng nhỏ hơn và tập trung vào quyền riêng tư của họ.

Điểm Mạnh:

• Tốc độ WireGuard nhanh nhất trên FreeBSD trong kiểm tra
• Máy chủ không có đĩa (không có dữ liệu chạm vào ổ cứng)
• Cả OpenVPN và WireGuard được hỗ trợ với cấu hình FreeBSD
• Được chứng minh ở tòa án: OVPN đã chiến thắng một trường hợp vào năm 2020 chứng minh họ không có dữ liệu người dùng để bàn giao

Điểm Yếu:

• Chỉ 100+ máy chủ ở 12 quốc gia
• Giá hàng tháng cao hơn Mullvad
• Công ty nhỏ hơn với nhân viên hỗ trợ ít hơn

Perfect Privacy: Bảo Mật Multi-Hop Tốt Nhất Cho Máy Chủ FreeBSD

Perfect Privacy hoạt động từ Panama và chuyên về các tính năng bảo mật nâng cao. VPN multi-hop của họ định tuyến lưu lượng thông qua 2-4 máy chủ cùng một lúc.

Người dùng FreeBSD cấu hình Perfect Privacy thông qua OpenVPN. Hỗ trợ WireGuard chưa có.

# Cài đặt OpenVPN
pkg install openvpn

# Tải xuống cấu hình Perfect Privacy FreeBSD
# Giải nén vào /usr/local/etc/openvpn/

# Cấu hình tự động khởi động
sysrc openvpn_enable="YES"
sysrc openvpn_configfile="/usr/local/etc/openvpn/pp-server.ovpn"

# Khởi động dịch vụ
service openvpn start

Điểm chuẩn hiệu suất (FreeBSD 14.0, AMD Ryzen 5 3600):

• OpenVPN single-hop: 90 Mbps tải xuống, 80 Mbps tải lên
• OpenVPN multi-hop (2 máy chủ): 55 Mbps tải xuống, 45 Mbps tải lên
• OpenVPN multi-hop (4 máy chủ): 30 Mbps tải xuống, 25 Mbps tải lên

Multi-hop làm giảm tốc độ đáng kể. Đối với các quản trị viên máy chủ FreeBSD bảo vệ cơ sở hạ tầng nhạy cảm, sự đánh đổi thường có ý nghĩa.

Giá hàng tháng là $12.99. Các kế hoạch hàng năm giảm xuống $8.95/tháng. Perfect Privacy cũng cung cấp một bảo lãnh hoàn lại tiền 7 ngày.

Điểm Mạnh:

• Chuỗi VPN multi-hop (lên tới 4 máy chủ)
• Tài liệu thiết lập FreeBSD chi tiết
• NeuroRouting (lựa chọn máy chủ dựa trên AI)
• Không có giới hạn lưu lượng hoặc giới hạn băng thông
• Chuyển tiếp cổng có sẵn

Điểm Yếu:

• Chưa hỗ trợ WireGuard
• Giá cao hơn hầu hết các đối thủ cạnh tranh
• Multi-hop giới thiệu độ trễ đáng chú ý
• 55 máy chủ trên 23 quốc gia (mạng nhỏ nhất trong danh sách này)

IPredator: Thiết Lập Đơn Giản Nhất Cho Người Dùng FreeBSD Mới

IPredator được ra mắt vào năm 2009, được thành lập bởi các cá nhân liên kết với The Pirate Bay. Dịch vụ tập trung vào sự đơn giản và quyền riêng tư trên hết.

Thiết lập FreeBSD của IPredator mất khoảng 10 phút chỉ với OpenVPN:

# Cài đặt OpenVPN
pkg install openvpn

# Tải xuống tệp cấu hình IPredator
fetch https://www.ipredator.se/static/downloads/ipredator-openvpn.conf

# Di chuyển cấu hình
mv ipredator-openvpn.conf /usr/local/etc/openvpn/

# Khởi động kết nối
openvpn --config /usr/local/etc/openvpn/ipredator-openvpn.conf

Điểm chuẩn hiệu suất (FreeBSD 14.0, AMD Ryzen 5 3600):

• OpenVPN (AES-256-GCM): 85 Mbps tải xuống, 75 Mbps tải lên

IPredator tính phí €8/tháng hoặc €6/tháng theo kế hoạch hàng năm. Máy chủ giới hạn ở Thụy Điển, Latvia và Romania (15+ tổng cộng).

Điểm Mạnh:

• Quy trình thiết lập FreeBSD đơn giản nhất
• Cam kết quyền riêng tư mạnh mẽ (quyền tài phán Thụy Điển)
• Chấp nhận Bitcoin để thanh toán ẩn danh
• Giá rõ ràng

Điểm Yếu:

• Chỉ 15 máy chủ ở 3 quốc gia
• Không hỗ trợ WireGuard
• Không có kill switch hoặc tính năng nâng cao
• Tốc độ chậm nhất trong năm nhà cung cấp được kiểm tra

NordVPN: Mạng Máy Chủ Lớn Nhất Với Hỗ Trợ FreeBSD Cộng Đồng

NordVPN không hỗ trợ chính thức FreeBSD, nhưng các tệp cấu hình OpenVPN của họ hoạt động trên nền tảng. Cộng đồng FreeBSD duy trì các hướng dẫn thiết lập bao gồm quy trình.

# Cài đặt OpenVPN
pkg install openvpn

# Tải xuống cấu hình OpenVPN NordVPN
fetch https://downloads.nordcdn.com/configs/archives/servers/ovpn.zip

# Giải nén và chọn cấu hình máy chủ
unzip ovpn.zip -d /usr/local/etc/openvpn/

# Tạo tệp xác thực
echo "your_username" > /usr/local/etc/openvpn/auth.txt
echo "your_password" >> /usr/local/etc/openvpn/auth.txt

# Khởi động kết nối
openvpn --config /usr/local/etc/openvpn/ovpn_udp/us1234.nordvpn.com.udp.ovpn --auth-user-pass /usr/local/etc/openvpn/auth.txt

Điểm chuẩn hiệu suất (FreeBSD 14.0, AMD Ryzen 5 3600):

• OpenVPN (AES-256-GCM): 95 Mbps tải xuống, 85 Mbps tải lên

NordVPN có giá $12.99/tháng hoặc $3.39/tháng theo kế hoạch 2 năm. Với 6.400+ máy chủ trên 111 quốc gia, nó cung cấp độ che phủ địa lý rộng nhất.

Điểm Mạnh:

• 6.400+ máy chủ ở 111 quốc gia
• Giá thấp nhất hàng năm ($3.39/tháng theo kế hoạch 2 năm)
• Máy chủ mờ cho các mạng bị hạn chế
• Máy chủ chuyên dụng (Double VPN, Onion over VPN)

Điểm Yếu:

• Không hỗ trợ chính thức FreeBSD (chỉ hướng dẫn cộng đồng)
• Không có WireGuard trên FreeBSD (NordLynx chỉ dành cho Linux/Windows/Mac)
• Kill switch không có sẵn mà không có ứng dụng gốc của họ
• Thiết lập yêu cầu nhiều bước thủ công hơn (~25 phút)

Các Vấn Đề Cấu Hình OpenVPN FreeBSD và Các Bản Sửa Chữa

FreeBSD xử lý OpenVPN khác với Linux. Đây là những vấn đề phổ biến nhất và giải pháp của chúng.

Thiết Bị TUN Không Được Tìm Thấy

FreeBSD có thể không tải trình điều khiển thiết bị tun tự động. Sửa lỗi này bằng cách thêm nó để khởi động:

# Thêm vào /boot/loader.conf
if_tun_load="YES"

# Tải ngay mà không khởi động lại
kldload if_tun

Rò Rỉ DNS Qua resolv.conf

OpenVPN trên FreeBSD không cập nhật /etc/resolv.conf tự động như trên Linux. Tạo tập lệnh cập nhật:

#!/bin/sh
# /usr/local/etc/openvpn/update-resolv.sh
case "$script_type" in
  up)
    cp /etc/resolv.conf /etc/resolv.conf.bak
    echo "nameserver $foreign_option_1" > /etc/resolv.conf
    ;;
  down)
    mv /etc/resolv.conf.bak /etc/resolv.conf
    ;;
esac

Thêm vào cấu hình OpenVPN của bạn:

script-security 2
up /usr/local/etc/openvpn/update-resolv.sh
down /usr/local/etc/openvpn/update-resolv.sh

Xung Đột Tường Lửa Với pf

Tường lửa pf của FreeBSD có thể chặn lưu lượng VPN. Thêm các quy tắc này vào /etc/pf.conf:

# Cho phép lưu lượng OpenVPN
pass out on egress proto udp to any port 1194
pass on tun0 all

# Tùy chọn: Chặn tất cả lưu lượng không phải VPN (kill switch)
block drop out on egress proto {tcp udp} from any to any
pass out on egress proto udp to <vpn_server_ip> port 1194
pass on tun0 all
pass out on egress proto udp to any port 53

Tải lại tường lửa:

pfctl -f /etc/pf.conf

Dịch Vụ OpenVPN Không Khởi Động Khi Boot

Cú pháp rc.conf rất quan trọng. Sử dụng tên biến chính xác:

openvpn_enable="YES"
openvpn_if="tun"
openvpn_configfile="/usr/local/etc/openvpn/client.conf"
openvpn_dir="/usr/local/etc/openvpn"

WireGuard Trên FreeBSD: Thiết Lập Mô-đun Kernel và Khắc Phục Sự Cố

Tích hợp WireGuard khác nhau tùy theo phiên bản FreeBSD. Phần này bao gồm cả cài đặt mô-đun gốc và của bên thứ ba.

FreeBSD 13.x: Cài Đặt Mô-đun Kernel

FreeBSD 13.0 và 13.1 yêu cầu mô-đun kernel bên ngoài:

pkg install wireguard-kmod wireguard-tools

# Tải mô-đun
kldload if_wg

# Làm cho nó kéo dài
echo 'if_wg_load="YES"' >> /boot/loader.conf

FreeBSD 14.x: Hỗ Trợ Kernel Gốc

FreeBSD 14.0+ bao gồm WireGuard trong kernel cơ sở. Bạn chỉ cần các công cụ:

pkg install wireguard-tools

WireGuard Không Khởi Tạo Giao Diện

Nếu wg-quick up wg0 trả về “RTNETLINK answers: Operation not supported,” mô-đun kernel không được tải:

# Kiểm tra xem mô-đun có được tải hay không
kldstat | grep wg

# Tải nó thủ công
kldload if_wg

# Xác minh
ifconfig wg0

Chạy WireGuard Bên Trong Một Jail FreeBSD

FreeBSD 14.0+ hỗ trợ WireGuard bên trong jails. Thêm các tham số jail này:

# Trong /etc/jail.conf
myjail {
    allow.raw_sockets;
    vnet;
    vnet.interface = "wg0";
}

Tạo giao diện WireGuard bên trong jail:

jexec myjail wg-quick up wg0

Các Vấn Đề MTU Gây Ra Mất Gói

MTU mặc định của WireGuard là 1420 có thể gây ra vấn đề trên một số mạng. Hạ thấp nó:

# Trong wg0.conf
[Interface]
MTU = 1380

Các Thực Hành Tốt Nhất Bảo Mật Cho VPN Trên FreeBSD

FreeBSD cung cấp các tính năng bảo mật bổ sung mã hóa VPN. Kết hợp chúng để bảo vệ phân tầng.

Tích hợp VPN với tường lửa pf: Tạo các quy tắc chặn tất cả lưu lượng bên ngoài đường hầm VPN. Điều này hoạt động như một kill switch mức mạng mà không dựa vào phần mềm nhà cung cấp VPN.

Sử dụng mã hóa GELI cho cấu hình VPN: Mã hóa thư mục chứa thông tin xác thực VPN và tệp cấu hình của bạn:

geli init /dev/ada0p5
geli attach /dev/ada0p5
newfs /dev/ada0p5.eli
mount /dev/ada0p5.eli /usr/local/etc/openvpn

Chạy VPN bên trong Capsicum sandbox: Khung Capsicum của FreeBSD giới hạn những gì quá trình VPN có thể truy cập, giảm thiệt hại nếu ứng dụng khách VPN bị xâm phạm.

Giám sát sức khỏe kết nối VPN: Thêm công việc cron kiểm tra trạng thái đường hầm cứ sau 5 phút và khởi động lại kết nối nếu nó bỏ rơi:

*/5 * * * * /usr/local/bin/check-vpn.sh

Phán Quyết Cuối Cùng

Người dùng FreeBSD có ít tùy chọn VPN hơn người dùng Linux hoặc Windows. Năm nhà cung cấp được xem xét ở đây mỗi cái phục vụ các nhu cầu khác nhau.

Chọn Mullvad nếu bạn muốn quyền riêng tư mạnh mẽ với các tài khoản ẩn danh và hiệu suất WireGuard chắc chắn với giá cố định $5.50/tháng. Chọn OVPN nếu tốc độ nguyên chất quan trọng nhất, với WireGuard đạt 310 Mbps trong quá trình kiểm tra. Chọn Perfect Privacy nếu bạn cần định tuyến multi-hop cho các môi trường máy chủ bảo mật cao. Chọn IPredator nếu bạn muốn quá trình thiết lập FreeBSD đơn giản nhất. Chọn NordVPN nếu bạn cần truy cập vào 6.400+ máy chủ trên 111 quốc gia và không phiền với các hướng dẫn FreeBSD được cộng đồng duy trì.

Kiến trúc FreeBSD làm cho nó được thiết kế duy nhất cho các triển khai VPN. Tích hợp tường lửa pf, cách ly jail và mã hóa GELI tạo ra các lớp bảo mật mà không có hệ điều hành tiêu dùng nào khác có được. Nhà cung cấp VPN phù hợp bổ sung cho các công cụ này thay vì thay thế chúng.

Tài nguyên cho trang này

Biểu đồ và hình ảnh tham khảo từ quá trình kiểm tra của chúng tôi, miễn phí để xem và chia sẻ.

• 

• Best VPN for FreeBSD: OpenVPN & WireGuard SetupPDF · 1.2 MB

Câu Hỏi Thường Gặp

Tất cảCách hoạt độngCài đặt & Hỗ trợGiá

Tại sao FreeBSD không nhận được ứng dụng VPN gốc giống như Windows hay macOS?

FreeBSD không phải Linux, và nó sử dụng một kernel và ngăn xếp mạng khác, vì vậy hầu hết các nhà cung cấp bỏ qua việc xây dựng một ứng dụng khách GUI chuyên dụng cho nó. Thay vào đó, bạn cài đặt OpenVPN hoặc WireGuard thông qua pkg install, quản lý chúng thông qua rc.conf và lưu trữ cấu hình trong /usr/local/etc/. Mỗi nhà cung cấp ghi lại hỗ trợ FreeBSD sẽ làm như vậy thông qua thiết lập terminal chứ không phải ứng dụng đồ họa.

Sự khác biệt thực sự giữa chạy OpenVPN và WireGuard trên FreeBSD là gì?

OpenVPN chạy hoàn toàn ở không gian người dùng bằng cách sử dụng trình điều khiển tun tích hợp của FreeBSD và đã hoạt động trên nền tảng này hơn 15 năm, nhưng cơ sở mã ~100.000+ dòng của nó thêm chi phí CPU (khoảng 2-3% nhàn rỗi). WireGuard được vận chuyển như một mô-đun kernel gốc bắt đầu từ FreeBSD 13.1 (hoàn toàn gốc trên 14.0+), chạy ở mức 0.5-1% nhàn rỗi CPU và cơ sở mã ~4.000 dòng của nó làm cho các cuộc kiểm tra độc lập nhanh hơn.

Làm cách nào để chạy WireGuard gốc trên FreeBSD 14?

Trên FreeBSD 14.0+, WireGuard được tích hợp vào kernel cơ sở, vì vậy bạn chỉ cần pkg install wireguard-tools và sau đó kldload if_wg để tải mô-đun. Trên FreeBSD 13.0 hoặc 13.1, bạn cần gói wireguard-kmod riêng trước. Sau khi tải, tạo các khóa bằng wg genkey/wg pubkey và đưa giao diện lên bằng wg-quick up wg0.

Tại sao OpenVPN rò rỉ các yêu cầu DNS trên FreeBSD và tôi có thể dừng nó như thế nào?

Không giống như Linux, OpenVPN trên FreeBSD không tự động viết lại /etc/resolv.conf khi đường hầm kết nối, vì vậy các truy vấn DNS có thể bỏ qua kết nối được mã hóa. Sửa lỗi này bằng một tập lệnh up/down sao lưu và hoán đổi resolv.conf khi kết nối và khôi phục nó khi ngắt kết nối, sau đó tham chiếu tập lệnh đó bằng script-security 2 trong tệp cấu hình OpenVPN của bạn.

Điều gì gây ra lỗi “thiết bị tun không được tìm thấy” trên FreeBSD?

FreeBSD đôi khi không tải trình điều khiển tun mà OpenVPN phụ thuộc vào, gây ra lỗi này tại thời điểm kết nối. Thêm if_tun_load="YES" vào /boot/loader.conf để nó tải tự động ở mỗi khởi động, hoặc chạy kldload if_tun để tải nó ngay lập tức mà không cần khởi động lại. Đây là một trong những lỗi thiết lập OpenVPN lần đầu phổ biến nhất trên nền tảng này.

Làm cách nào để xây dựng một kill switch mức mạng bằng tường lửa pf của FreeBSD?

Thay vì dựa vào kill switch mức ứng dụng của nhà cung cấp (hầu hết các thiết lập FreeBSD hoàn toàn thiếu), hãy thêm các quy tắc pf.conf chặn tất cả lưu lượng xuất ngoài ngoại trừ những gì được định tuyến qua giao diện tun0 VPN của bạn và IP máy chủ cụ thể của nhà cung cấp của bạn trên cổng VPN. Tải lại bằng pfctl -f /etc/pf.conf. Điều này chặn tất cả lưu lượng nếu đường hầm bỏ rơi, hoạt động như một biện pháp sai lầm mức tường lửa.

Làm cách nào để chạy WireGuard bên trong một jail FreeBSD?

Hỗ trợ Jail yêu cầu FreeBSD 14.0 hoặc mới hơn, vì WireGuard cần chế độ mạng vnet bên trong jail. Thêm allow.raw_sockets, vnet và vnet.interface = "wg0" vào khối cấu hình của jail trong /etc/jail.conf, sau đó đưa đường hầm lên từ bên ngoài jail bằng jexec myjail wg-quick up wg0. Các phiên bản FreeBSD trước không hỗ trợ tích hợp jail này.

Những nhà cung cấp nào thực sự xuất bản tài liệu FreeBSD chính thức so với dựa vào các hướng dẫn cộng đồng?

Mullvad, OVPN, Perfect Privacy và IPredator đều xuất bản các hướng dẫn thiết lập FreeBSD chính thức với các tệp cấu hình được kiểm tra. NordVPN không hỗ trợ chính thức FreeBSD; các cấu hình OpenVPN của nó hoạt động trên nền tảng này, nhưng chỉ các hướng dẫn được cộng đồng duy trì hướng dẫn quá trình, điều này thường mất nhiều thời gian hơn để thiết lập so với các nhà cung cấp được ghi chép chính thức.

Nhà cung cấp chính nào hoạt động tốt nhất cho người dùng FreeBSD cũng cần tốc độ đa nền tảng?

NordVPN xếp hạng #1 trong 22 trong Speed Lab của chúng tôi, được tổng hợp từ các phòng thí nghiệm độc lập, vượt trội Mullvad ở #7 và ExpressVPN ở #8. NordVPN thiếu hỗ trợ chính thức FreeBSD và yêu cầu các hướng dẫn OpenVPN cộng đồng, trong khi Mullvad xuất bản tài liệu WireGuard gốc chính thức cho FreeBSD, khiến nó trở thành lựa chọn mạnh hơn nếu khả năng tương thích FreeBSD quan trọng hơn so với xếp hạng thô.

NordVPN, ExpressVPN và Mullvad thực sự tính phí bao nhiêu cho thiết lập FreeBSD?

NordVPN bắt đầu từ $3.49/tháng theo kế hoạch dài hạn nhất, ExpressVPN cũng bắt đầu từ $3.49/tháng theo kế hoạch dài hạn nhất, và Mullvad tính phí mức giá cố định từ $5.50/tháng mà không có chiết khấu dài hạn. Không có nhà cung cấp nào cung cấp ứng dụng khách FreeBSD GUI, vì vậy sự khác biệt về giá xuất phát từ cơ sở hạ tầng máy chủ và quyền tài phán chứ không phải sự thuận tiện thiết lập.

Tôi có thể được hoàn tiền nếu thiết lập FreeBSD của nhà cung cấp không hoạt động cho trường hợp sử dụng của tôi không?

Có, cho hai trong ba nhà cung cấp. NordVPN và ExpressVPN đều hỗ trợ các kế hoạch của họ với bảo lãnh hoàn lại tiền 30 ngày, cung cấp cho bạn thời gian để kiểm tra các cấu hình WireGuard hoặc OpenVPN trên hộp FreeBSD của bạn trước khi cam kết. Mullvad không có bản dùng thử; nó là trả tiền khi sử dụng, mặc dù các ngày chưa sử dụng trên mức giá hàng tháng cố định của nó có thể được hoàn lại nếu bạn hủy sớm.

Tôi nhận được bao nhiêu kết nối đồng thời để bao phủ máy chủ FreeBSD cùng với các thiết bị khác?

Nó khác nhau theo nhà cung cấp. NordVPN cho phép 10 kết nối thiết bị đồng thời, ExpressVPN cho phép 10-14 tùy thuộc vào tầng kế hoạch và Mullvad giới hạn ở 5. Đối với các quản trị viên máy chủ FreeBSD chạy nhiều jails hoặc một thiết bị pfSense cùng các thiết bị cá nhân, mức giới hạn thiết bị cao hơn của NordVPN hoặc ExpressVPN để lại nhiều chỗ hơn trước khi bạn cần tài khoản thứ hai.

Cơ sở mã nhỏ hơn của WireGuard có làm cho nó an toàn hơn một cách có ý nghĩa cho các triển khai jail FreeBSD so với OpenVPN không?

Nó giảm bề mặt tấn công, ít nhất. Cơ sở mã ~4.000 dòng của WireGuard dễ dàng kiểm tra hơn so với 100.000+ dòng của OpenVPN, và vì nó chạy như một mô-đun kernel FreeBSD gốc (13.1+ với kmod, gốc trên 14.0+) chứ không phải ở không gian người dùng, nó cũng sử dụng ít CPU hơn (0.5-1% nhàn rỗi so với 2-3% của OpenVPN) trong khi chạy bên trong các jails bị cô lập.