openvpn server centos 7 установка и настройка

OpenVPN server CentOS 7: установка и настройка, о которой молчат в других гайдах

Title (до 60 символов): OpenVPN server CentOS 7: полный гайд с подводными камнями

Description (до 160 символов): Установите OpenVPN на CentOS 7 за 20 минут. Безопасная настройка, kill switch, защита от DPI. Подробная инструкция с примерами. Переходите к делу.

openvpn server centos 7 установка и настройка — тема, которая на первый взгляд кажется рутиной: нашёл гайд, скопировал команды, и через полчаса всё работает. Но на практике даже опытные админы допускают ошибки, которые превращают VPN в решето. Мы разберём каждый шаг так, чтобы после прочтения вы не просто подняли сервер, а получили защищённый канал, который выдержит проверку DPI, не сольёт DNS и не подведёт в самый ответственный момент.

Почему OpenVPN до сих пор актуален в 2025 году (и когда он бессилен)

WireGuard шумит, IPsec считается стандартом корпораций, но OpenVPN остаётся единственным протоколом, который можно тонко настроить под любую цензуру. Его трафик легко замаскировать под HTTPS, он работает поверх TCP или UDP, а гибкость конфигурации позволяет обходить даже глубокий анализ пакетов (DPI). Например, в России провайдеры (Ростелеком, МТС) активно блокируют WireGuard по характерным признакам — фиксированному порту и структуре handshake. OpenVPN с tls-crypt и случайным портом остаётся незаметным.

Но есть нюансы: OpenVPN медленнее WireGuard на 20–40% из-за оверхэда TLS и туннелирования. Если вам нужна максимальная скорость для торрентов или потокового видео, и вы не боитесь блокировок — берите WireGuard. Если же приоритет — стабильность при высоком пинге и обход блокировок — OpenVPN ваш выбор.

Подготовка сервера: CentOS 7, минимальные требования и типичные ошибки

CentOS 7 официально устарел (EOL в 2024 году), но до сих пор стоит на тысячах серверов. Для OpenVPN это не проблема — репозитории EPEL живы, а пакеты обновляются. Что вам потребуется:

• VPS с CentOS 7 (минимально 512 MB RAM, 1 vCPU).
• Доступ по SSH с правами root.
• Открытые порты: 1194/udp (по умолчанию) или любой другой.

Главная ошибка новичков: не отключать SELinux или, наоборот, вырубать его без настройки. SELinux блокирует OpenVPN, если не добавить правила. Мы покажем, как подружить их без отключения защиты.

Ещё одна частая проблема — firewall. Если используете firewalld, не забудьте открыть порт и добавить маскарадинг. iptables проще, но современные образы CentOS 7 ставят firewalld по умолчанию.

Пошаговая установка OpenVPN на CentOS 7 — от EPEL до первого клиента

1. Обновление системы и установка EPEL

yum update -y
yum install epel-release -y
yum install openvpn easy-rsa iptables-services -y

2. Настройка PKI (инфраструктуры открытых ключей)

Переходим в директорию EasyRSA:

mkdir -p /etc/openvpn/easy-rsa
cp -r /usr/share/easy-rsa/3.0.8/* /etc/openvpn/easy-rsa/
cd /etc/openvpn/easy-rsa

Инициализируем PKI:

./easyrsa init-pki

Генерируем корневой сертификат (CA) — отвечаем «yes» на запрос, задаём пароль для ключа (запомните его):

./easyrsa build-ca

Генерируем серверный сертификат и ключ (без пароля, чтобы сервер стартовал автоматически):

./easyrsa gen-req server nopass
./easyrsa sign-req server server

Генерируем параметры Диффи-Хеллмана (занимает несколько минут):

./easyrsa gen-dh

Генерируем tls-crypt ключ для защиты от DPI и атак на handshake:

openvpn --genkey --secret /etc/openvpn/tls-crypt.key

3. Конфигурация сервера

Создаём файл /etc/openvpn/server.conf:

port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
tls-crypt /etc/openvpn/tls-crypt.key
cipher AES-256-GCM
auth SHA256
topology subnet
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 1.1.1.1"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
remote-cert-tls client
tls-version-min 1.2
data-ciphers AES-256-GCM:AES-128-GCM
data-ciphers-fallback AES-256-CBC
ifconfig-pool-persist ipp.txt
status openvpn-status.log
log-append /var/log/openvpn.log
verb 3
explicit-exit-notify 1

Что здесь важно:

• tls-crypt — маскирует handshake, делает трафик похожим на случайный шум. Без него DPI провайдера может определить, что вы используете OpenVPN, и заблокировать соединение.
• data-ciphers — список разрешённых шифров. AES-256-GCM — современный стандарт с аппаратным ускорением (AES-NI). Если клиент не поддерживает GCM, упадёт на старый CBC.
• push "redirect-gateway def1 bypass-dhcp" — перенаправляет весь трафик через VPN (кроме локальной сети DHCP).
• explicit-exit-notify 1 — уведомляет клиента о разрыве соединения, чтобы тот включил kill switch.

4. Включение форвардинга и NAT

Редактируем /etc/sysctl.conf:

net.ipv4.ip_forward = 1

Применяем:

sysctl -p

Настраиваем iptables (или firewalld). Для iptables:

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A FORWARD -o tun0 -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j ACCEPT
service iptables save
systemctl enable iptables

Если используете firewalld:

firewall-cmd --permanent --add-port=1194/udp
firewall-cmd --permanent --zone=public --add-masquerade
firewall-cmd --reload

5. Генерация клиентского сертификата

Возвращаемся в easy-rsa:

cd /etc/openvpn/easy-rsa
./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

Создаём клиентский конфигурационный файл (например, client.ovpn):

client
dev tun
proto udp
remote YOUR_SERVER_IP 1194
resolv-retry infinite
nobind
remote-cert-tls server
tls-crypt /path/to/tls-crypt.key
cipher AES-256-GCM
auth SHA256
key-direction 1
<ca>
(содержимое ca.crt)
</ca>
<cert>
(содержимое client1.crt)
</cert>
<key>
(содержимое client1.key)
</key>

Переносим tls-crypt.key на клиент (секретно!) и указываем путь или вставляем содержимое.

6. Запуск и автозагрузка

systemctl start openvpn@server
systemctl enable openvpn@server

Проверяем статус:

systemctl status openvpn@server
journalctl -u openvpn@server -f

Если всё правильно, увидите Initialization Sequence Completed.

Чего вам НЕ говорят в других гайдах

Большинство инструкций заканчиваются на «сервер запущен — готово». Реальность сложнее. Вот что остаётся за кадром.

1. Утечки DNS — главная дыра в защите

Даже если вы настроили redirect-gateway, клиент может слать DNS-запросы напрямую провайдеру через системный резолвер. В Windows это лечится параметром block-outside-dns, но в Linux нужно править /etc/resolv.conf или использовать OpenVPN с настройкой dhcp-option DNS. Проверьте на ipleak.net — если видите адреса своего провайдера, значит, DNS утекает.

2. Kill switch, который не срабатывает

OpenVPN при переподключении (например, из-за обрыва) может оставить трафик без защиты на 1–2 секунды. За это время приложения (Telegram, браузер) отправят данные напрямую. Решение: на клиенте настроить брандмауэр так, чтобы разрешить трафик только через интерфейс tun0. В Windows используйте встроенный kill switch клиента OpenVPN, в Linux — iptables с правилом:

iptables -I OUTPUT ! -o lo ! -o tun0 -m owner ! --uid-owner root -j DROP

3. Бесплатные VPN — бизнес на ваших данных

Аренда VPS для OpenVPN стоит от ₽300/мес. Бесплатные сервисы (Hola, Betternet) продают ваш трафик, показывают рекламу и даже организуют ботнеты. Доказано: в 2020 году Hola VPN использовали для DDoS-атак. Никакой «no-log policy» там нет, даже если написано на сайте.

4. Юрисдикция и логирование

Даже если вы арендуете сервер в Нидерландах, это не гарантирует приватности. Страны 14 Eyes (включая Нидерланды) обязаны передавать данные по запросу. Выбирайте провайдеров за пределами этих глаз — например, в Исландии или Швейцарии. А лучше используйте собственный VPS в стране, где законы вам понятны.

5. DPI обходится не только tls-crypt

Ростелеком использует DPI от компании «РДП.ру», который анализирует размеры пакетов и временные задержки. OpenVPN с tls-crypt скрывает содержимое, но метаданные (длина, интервалы) могут выдать VPN. Для полного сокрытия используйте обфускацию через Shadowsocks поверх OpenVPN — трафик станет похож на HTTPS.

Критически важные параметры: шифрование, протоколы, MTU, kill switch

Шифрование

• AES-256-GCM — recommended для OpenVPN. Аппаратное ускорение на современных процессорах, защита от атак с использованием полиномов.
• ChaCha20-Poly1305 — быстрее, но не поддерживается OpenVPN из коробки (только через плагины). Лучше используйте WireGuard.
• Perfect Forward Secrecy — обеспечивается через Diffie-Hellman (параметр dh). Даже если злоумышленник завладеет серверным ключом, он не расшифрует старые сессии.

MTU и фрагментация

Стандартный MTU в OpenVPN — 1500 байт, но при добавлении заголовков (TCP/IP + шифрование) реальный размер может превысить MTU канала. Это вызывает фрагментацию и потерю пакетов. Решение: уменьшите MTU до 1300–1400 на стороне сервера и клиента (mssfix 1300, tun-mtu 1400). Особенно актуально для мобильного интернета и соединений через PPPoE (например, Ростелеком).

Kill switch в деталях

На сервере OpenVPN можно настроить `

Полезные ссылки

👉 Забери в Telegram-боте

🔥 Получи на сайте сайте