Практическое руководство по настройке OpenVPN с нуля

1. Базовая настройка OpenVPN-сервера: конфигурация портов и протоколов

Сердце OpenVPN: конфигурационный файл сервера

Любая сложная система управляется простыми текстовыми инструкциями. В случае с OpenVPN главным центром управления является конфигурационный файл сервера. Обычно он располагается по пути /etc/openvpn/server.conf (или /etc/openvpn/server/server.conf в новых версиях Linux). Именно в этом файле мы указываем программе, как именно она должна принимать подключения, как шифровать данные и по каким правилам пропускать трафик.

Прежде чем бездумно копировать готовые шаблоны, необходимо разобраться в двух фундаментальных понятиях сетевого взаимодействия: протоколах и портах. От их правильного выбора зависит скорость, стабильность и незаметность вашего VPN-соединения.

Протоколы передачи данных: UDP против TCP

Вся информация в интернете передается небольшими порциями — пакетами. Чтобы эти пакеты дошли от вашего смартфона до сервера, используются транспортные протоколы. OpenVPN может работать поверх двух основных протоколов: UDP (User Datagram Protocol) и TCP (Transmission Control Protocol).

Протокол UDP: скорость и эффективность

UDP — это протокол, который отправляет данные сплошным потоком, не дожидаясь подтверждения от получателя.

Представьте, что вы стоите на сцене и бросаете в толпу теннисные мячики. Вы не проверяете, поймал ли кто-то конкретный мячик, ваша цель — бросать их как можно быстрее. Если один мячик потеряется в полете, вы просто бросите следующий.

Именно так работает UDP. Он идеален для потокового видео, онлайн-игр и IP-телефонии. Для OpenVPN протокол UDP является стандартом по умолчанию. Поскольку внутри VPN-туннеля вы будете передавать обычный интернет-трафик (который уже имеет свои механизмы проверки ошибок), использование UDP позволяет избежать двойной проверки и значительно увеличивает скорость соединения.

Протокол TCP: надежность любой ценой

TCP — это протокол с гарантированной доставкой.

Вернемся к аналогии: теперь вы отправляете каждое письмо заказной почтой с уведомлением о вручении. Вы отправляете письмо, ждете квитанцию от получателя, и только потом отправляете следующее. Если квитанция не пришла, вы отправляете копию первого письма заново.

TCP гарантирует, что ни один байт данных не потеряется. Однако этот процесс требует постоянного обмена служебными сообщениями, что делает его медленнее.

> Использовать TCP для OpenVPN следует только в одном случае: если ваш провайдер или системный администратор в офисе жестко блокирует нестандартный UDP-трафик. TCP-пакеты легче замаскировать под обычный просмотр веб-сайтов.

Выбор порта: двери в ваш сервер

Если IP-адрес сервера — это адрес многоквартирного дома, то порт — это номер конкретной квартиры. Когда клиентское устройство обращается к серверу, оно должно знать, в какую именно "дверь" стучать, чтобы ему ответил именно OpenVPN, а не веб-сайт или почтовый сервис.

Стандартный порт для OpenVPN — 1194.

Если вы настраиваете VPN для личного использования дома или в лояльной корпоративной сети, смело оставляйте порт 1194. Однако в публичных сетях (например, в аэропортах, отелях или кафе) администраторы часто закрывают все порты, кроме тех, что нужны для обычного серфинга в интернете.

Если ваша цель — максимальная доступность откуда угодно, вы можете изменить порт OpenVPN на 443 (в связке с протоколом TCP). Порт 443 используется всем интернетом для защищенного протокола HTTPS (когда вы видите замочек в адресной строке браузера). Заблокировать порт 443 — значит отключить интернет полностью, поэтому он открыт в 99% сетей мира.

Виртуальные интерфейсы: TUN и TAP

OpenVPN создает в операционной системе виртуальную сетевую карту. Существует два типа таких интерфейсов:

TUN (Tunnel) — работает на сетевом уровне (IP). Он маршрутизирует пакеты данных. Это самый популярный, быстрый и безопасный вариант. Он идеально подходит для предоставления доступа в интернет или к серверам компании.

TAP — работает на канальном уровне (MAC). Он ведет себя как физический коммутатор (свитч), объединяя сети. Используется редко, в основном когда нужно передавать специфический не-IP трафик или играть в старые сетевые игры по локальной сети.

В 95% случаев вам нужен именно TUN.

!Схема работы OpenVPN туннеля

Создание базового конфигурационного файла

Теперь, понимая теорию, мы можем составить конфигурационный файл. Откройте терминал вашего сервера и создайте файл с помощью текстового редактора (например, nano):

Вставьте в него следующие базовые настройки. Ниже мы подробно разберем каждую строку.

Разбор параметров конфигурации

Каждая строка в этом файле выполняет критически важную функцию:

* port 1194 и proto udp — мы указываем серверу слушать стандартный порт по быстрому протоколу UDP. * dev tun — создаем маршрутизируемый виртуальный интерфейс. Блок с ca, cert, key, dh — это пути к криптографическим ключам и сертификатам. Они подтверждают подлинность сервера и шифруют данные. (Генерация этих ключей — отдельный процесс инфраструктуры открытых ключей PKI, который выполняется утилитой Easy-RSA*). * server 10.8.0.0 255.255.255.0 — эта строка создает внутреннюю локальную сеть для VPN. Сервер заберет себе адрес 10.8.0.1, а подключающимся клиентам будет выдавать адреса начиная с 10.8.0.2. Важно, чтобы эта подсеть не пересекалась с вашей домашней или офисной сетью. push "redirect-gateway def1 bypass-dhcp" — важнейшая команда. Слово push* означает "протолкнуть настройку клиенту". Эта строка заставляет устройство клиента завернуть абсолютно весь свой интернет-трафик в VPN-туннель. Без нее клиент получит доступ только к самому серверу, но не сможет выходить через него в интернет. * push "dhcp-option DNS 8.8.8.8" — выдает клиенту надежные DNS-серверы (в данном случае от Google). Это предотвращает "утечку DNS", когда ваш провайдер не видит сам трафик, но видит, к каким сайтам вы обращаетесь. * keepalive 10 120 — сервер будет отправлять проверочный пинг каждые 10 секунд. Если ответа нет 120 секунд, соединение считается разорванным и перезапускается. * cipher AES-256-GCM — устанавливает современный и криптографически стойкий алгоритм шифрования. * user nobody и group nogroup — после успешного запуска OpenVPN сбросит свои права администратора (root) до уровня бесправного пользователя. Это мощная защита: если хакер найдет уязвимость в OpenVPN, он не сможет захватить контроль над всем сервером.

Настройка маршрутизации: IP-форвардинг

Сам по себе OpenVPN только принимает зашифрованный трафик и расшифровывает его. Но если клиент хочет открыть сайт в интернете, сервер должен передать этот расшифрованный запрос дальше, к провайдеру. По умолчанию в Linux эта функция отключена в целях безопасности.

Нам нужно включить IP-форвардинг (пересылку пакетов). Откройте системный файл настроек ядра:

Найдите строку net.ipv4.ip_forward=1 и раскомментируйте ее (уберите символ # в начале строки). Если такой строки нет, просто добавьте ее в конец файла.

Чтобы изменения вступили в силу немедленно, без перезагрузки сервера, выполните команду:

Теперь ваш сервер официально умеет работать как маршрутизатор, перенаправляя пакеты из виртуальной сети 10.8.0.0 в глобальный интернет.

Настройка брандмауэра (UFW)

Последний барьер — это сетевой экран (брандмауэр) самого сервера. В Ubuntu чаще всего используется UFW (Uncomplicated Firewall). Нам нужно сделать две вещи: разрешить входящий трафик на порт OpenVPN и настроить маскарадинг (NAT).

Маскарадинг (NAT) работает так же, как ваш домашний Wi-Fi роутер. Он берет внутренние IP-адреса клиентов VPN (например, 10.8.0.2) и подменяет их на реальный публичный IP-адрес сервера при выходе в интернет. Без этого ответы от сайтов просто не найдут дорогу обратно к вашему смартфону.

Сначала разрешим порт 1194 UDP:

Затем разрешим пересылку пакетов в UFW. Откройте файл /etc/default/ufw:

Найдите параметр DEFAULT_FORWARD_POLICY и измените его значение с "DROP" на "ACCEPT".

Далее нужно добавить правила NAT. Откройте файл /etc/ufw/before.rules:

Добавьте следующий блок текста в самое начало файла, сразу после комментариев (строк, начинающихся с #), но до строки *filter:

> Обратите внимание на -o eth0. Это имя вашего основного сетевого интерфейса, смотрящего в интернет. На современных серверах оно может называться ens3 или eth0. Узнать точное имя можно командой ip route | grep default.

Перезапустите брандмауэр для применения новых правил:

Запуск службы OpenVPN

Конфигурация завершена. Теперь мы можем запустить сервер. В Linux управление службами осуществляется через систему systemd.

Запустите OpenVPN, указав имя конфигурационного файла (без расширения .conf):

Чтобы сервер автоматически включался после перезагрузки физической машины, добавьте его в автозагрузку:

Проверить, что все работает без ошибок, можно командой статуса:

Если вы видите зеленую надпись active (running), значит, конфигурационный файл составлен верно, порты открыты, и сервер готов принимать зашифрованные подключения от клиентов.