ubuntu openvpn server настройка

ubuntu openvpn server настройка

Ubuntu OpenVPN: как настроить сервер без рисков

ubuntu openvpn server настройка — не просто установка пакета. Это создание доверенного туннеля между вашим устройством и интернетом, защищённого от перехвата провайдером, слежки в публичных сетях и обхода цензуры. Но большинство гайдов умалчивают о том, что даже правильно настроенный сервер может стать источником утечки данных, если игнорировать детали шифрования, маршрутизации и политик логирования.

В этой статье мы разберём всё: от выбора протокола и генерации сертификатов до защиты от DNS/WebRTC-утечек и настройки split tunneling. Вы узнаете, почему «свой» VPN не всегда безопаснее коммерческого, какие юрисдикции опасны даже для самодельных решений и как проверить, действительно ли ваш трафик скрыт.

Почему «сам себе провайдер» — не панацея

Многие считают: раз я контролирую сервер, значит, никто не видит мой трафик. Это миф. Даже собственный OpenVPN-сервер может:

• Сохранять логи по умолчанию (особенно если используется systemd-journald или сторонние мониторинговые инструменты).
• Пропускать DNS-запросы мимо туннеля, если клиент не настроен принудительно использовать DNS через VPN.
• Подвергаться атакам DPI (Deep Packet Inspection), если не применяется обфускация (например, через obfsproxy или TLS-crypt).
• Не иметь kill switch, из-за чего при обрыве соединения весь трафик пойдёт в открытый интернет.

Кроме того, ваш VPS-провайдер (DigitalOcean, Hetzner, AWS и др.) может хранить метаданные: время подключения, объём трафика, IP-адреса. В России такие данные могут быть запрошены по 152-ФЗ. Даже если вы не храните логи, ваш хостинг — может.

Чего вам НЕ говорят в других гайдах

Большинство инструкций по ubuntu openvpn server настройка ограничиваются командами apt install openvpn и копированием конфигов из /usr/share/doc. Но реальные риски начинаются там, где заканчивается установка.

1. Бесплатные CA и самоподписанные сертификаты — уязвимость?

Да, если вы не проверяете отпечатки (fingerprints) при первом подключении клиента. Без этого возможна атака Man-in-the-Middle: злоумышленник подменяет ваш сервер и перехватывает трафик. Решение — жёсткая привязка к SHA256-отпечатку сертификата на клиенте (verify-x509-name + tls-remote в старых версиях).

1. Логи — не только в /var/log

OpenVPN сам по себе не пишет подробные логи, но:
- Системный журнал (journalctl -u openvpn) может сохранять события подключения.
- Фаервол (iptables/nftables) с логированием правил — тоже источник данных.
- Мониторинг типа vnstat или iftop — сохраняет статистику трафика.

Рекомендация: отключите всё логирование, кроме критических ошибок. Используйте log /dev/null в конфиге сервера.

1. Fake-kill switch в клиентских приложениях

Некоторые GUI-клиенты (особенно на Android) заявляют о наличии kill switch, но на деле он не блокирует весь трафик — только приложения, добавленные в белый список. Проверяйте поведение при отключении Wi-Fi/мобильной сети: должен быть полный разрыв интернета.

1. Юрисдикция вашего VPS

Если вы арендуете сервер в стране «14 Eyes» (США, Великобритания, Германия и др.), ваш провайдер обязан предоставлять данные по запросу спецслужб. В 2023 году суд в Нидерландах обязал хостинг выдать IP-адреса пользователей торрент-трекера. Ваш сервер — не исключение.

1. Утечки через WebRTC и браузеры

Даже при работающем OpenVPN браузер может раскрыть ваш реальный IP через WebRTC. Это особенно актуально в Chrome и Firefox. Решение — отключить WebRTC (media.peerconnection.enabled = false в about:config) или использовать браузеры с встроенной защитой (Brave, Tor Browser).

OpenVPN против WireGuard и IPsec: кто быстрее, кто надёжнее?

Выбор протокола — ключевой этап. Вот сравнение по параметрам, важным для пользователей из РФ:

Вывод:
- Если вам нужна максимальная совместимость и обход DPI — OpenVPN с TLS-crypt.
- Если важна скорость и простота — WireGuard.
- Для корпоративной интеграции (Windows Domain, Cisco) — IPsec.

Но помните: WireGuard не поддерживает динамические IP-адреса клиентов «из коробки» — нужно допиливать скрипты.

Пошаговая ubuntu openvpn server настройка (Ubuntu 22.04 LTS)

Мы будем использовать Easy-RSA 3 для генерации сертификатов и TLS-crypt для обфускации трафика (защита от DPI).

Шаг 1. Обновление системы и установка пакетов

sudo apt update && sudo apt upgrade -y
sudo apt install openvpn easy-rsa iptables-persistent -y

Шаг 2. Настройка PKI (инфраструктуры открытых ключей)

make-cadir ~/openvpn-ca
cd ~/openvpn-ca

Отредактируйте vars:

export EASYRSA_REQ_COUNTRY="RU"
export EASYRSA_REQ_PROVINCE="Moscow"
export EASYRSA_REQ_CITY="Moscow"
export EASYRSA_REQ_ORG="MyVPN"
export EASYRSA_REQ_EMAIL="admin@example.com"
export EASYRSA_REQ_OU="IT"

Инициализируйте PKI и создайте CA:

./easyrsa init-pki
./easyrsa build-ca nopass

Шаг 3. Генерация сертификатов сервера и клиента

./easyrsa gen-req server nopass
./easyrsa sign-req server server

./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

Создайте ключ для TLS-crypt:

openvpn --genkey --secret ta.key

Шаг 4. Конфигурация сервера

Создайте /etc/openvpn/server.conf:

port 1194
proto udp
dev tun

ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-crypt ta.key

cipher AES-256-GCM
auth SHA256
tls-version-min 1.2

topology subnet
server 10.8.0.0 255.255.255.0

push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 77.88.8.8"  # Яндекс.DNS

keepalive 10 120
persist-key
persist-tun

user nobody
group nogroup

status openvpn-status.log
log /dev/null
verb 3
explicit-exit-notify 1

Шаг 5. Настройка маршрутизации и NAT

Разрешите IP forwarding:

echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Настройте iptables:

sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo iptables-save | sudo tee /etc/iptables/rules.v4

(Замените eth0 на ваш внешний интерфейс: ip a → посмотрите имя.)

Шаг 6. Запуск и автозагрузка

sudo systemctl enable openvpn@server
sudo systemctl start openvpn@server

Шаг 7. Клиентский конфиг (.ovpn)

Соберите файл client1.ovpn:

client
dev tun
proto udp
remote YOUR_SERVER_IP 1194
resolv-retry infinite
nobind
persist-key
persist-tun

remote-cert-tls server
cipher AES-256-GCM
auth SHA256
tls-version-min 1.2
tls-crypt ta.key

setenv opt block-outside-dns
redirect-gateway def1
dhcp-option DNS 8.8.8.8
dhcp-option DNS 77.88.8.8

verb 3

Добавьте в конец содержимое файлов: ca.crt, client1.crt, client1.key, ta.key в блоках <ca>, <cert>, <key>, <tls-crypt>.

Как проверить, что всё работает (и нет утечек)

1. IP-утечка: зайдите на ipleak.net. Должен отображаться IP вашего сервера.
2. DNS-утечка: на том же сайте проверьте DNS-серверы. Должны быть только те, что вы указали (8.8.8.8, 77.88.8.8).
3. WebRTC-утечка: откройте browserleaks.com/webrtc. Реальный IP не должен отображаться.
4. Kill switch: отключите OpenVPN — интернет должен пропасть полностью. Если нет — настройте фаервол на клиенте.

Сценарии использования в реальных условиях (РФ)

1. Торренты в публичной сети

При подключении к торрент-трекеру через OpenVPN ваш IP видит только сервер. Но учтите: если вы используете VPS в РФ, ваш провайдер может получить уведомление от правообладателей. Лучше выбирать сервер за пределами ЕАЭС.

1. Обход блокировок (Telegram, YouTube)

OpenVPN позволяет обходить блокировки РКН. Однако с 2024 года Роскомнадзор активно использует DPI для выявления VPN-трафика. Используйте TLS-crypt или переносите порт на 443 (HTTPS), чтобы маскировать трафик.

1. Работа из кафе или аэропорта

Публичные Wi-Fi — рассадник снифферов. OpenVPN шифрует весь трафик, включая логины в почту и банковские приложения. Особенно важно, если вы используете сервисы «Ростелекома» или «МТС», которые не всегда используют HSTS.

1. Корпоративная защита фрилансера

Если вы передаёте клиентские данные (например, исходники или финансовые таблицы), OpenVPN создаёт защищённый канал, эквивалентный корпоративной сети. Это дешевле, чем арендовать MPLS-канал.

Бесплатный VPN vs свой сервер: цифры и риски

Факт: в 2022 году исследователи обнаружили, что Hola VPN использовала пользователей как прокси-ботнет для DDoS-атак. Бесплатный трафик — это вы.

Split tunneling: когда не нужно прятать всё

Иногда выгодно направлять через VPN только определённые приложения или домены. Например:

• Банковские операции — через VPN.
• Стриминг Netflix RU — напрямую (иначе попадёте в глобальную библиотеку).

В OpenVPN это делается через маршруты:

route-nopull
route 93.184.221.0 255.255.255.0  # Только Netflix US

Или на клиенте Linux через ip rule и таблицы маршрутизации.

VPN замедляет интернет на сколько реально?

Зависит от протокола и расстояния до сервера. OpenVPN на UDP с AES-256-GCM теряет 15–30% скорости. WireGuard — всего 3–8%. При пинге до сервера 20 мс общая задержка будет ~25 мс.

Меня найдёт спецслужба при использовании VPN?

Если вы используете свой сервер за границей и не оставляете цифровых следов (логины, платежи, метаданные), — маловероятно. Но если вы авторизованы в Telegram с российским номером, это уже идентификатор. VPN скрывает IP, но не личность.

🛠️Инструмент для работы

WireGuard или OpenVPN — что безопаснее?

Оба безопасны при правильной настройке. WireGuard проще и быстрее, но менее гибок в обходе цензуры. OpenVPN лучше маскируется под HTTPS и поддерживает больше методов обфускации. Для РФ предпочтителен OpenVPN с TLS-crypt.

Нужен ли мне статический IP для сервера?

Желателен, но не обязателен. Если IP меняется, клиенты потеряют соединение. Используйте DynDNS или выбирайте VPS со статическим IP (большинство провайдеров дают его бесплатно).

Можно ли использовать OpenVPN на роутере Keenetic или Asus?

Да, если прошивка поддерживает OpenVPN-клиент (Asus Merlin, Keenetic OS 3+). Но настройка сервера на роутере не рекомендуется — слабый CPU и ограниченная память. Лучше использовать VPS.

📖Свобода информации

Что делать, если OpenVPN не подключается?

Проверьте: 1) открыт ли порт 1194/UDP в фаерволе VPS; 2) правильность сертификатов; 3) наличие `tls-crypt` на клиенте и сервере; 4) логи через `journalctl -u openvpn@server`. Часто проблема — в неправильном пути к ключам.

Вывод

ubuntu openvpn server настройка — это не просто техническая задача, а создание многоуровневой системы защиты. Вы получаете контроль над трафиком, но берёте на себя ответственность за шифрование, логирование и юрисдикцию сервера. Главное — не останавливаться на базовой установке. Добавьте TLS-crypt для обхода DPI, отключите все логи, настройте принудительный DNS и проверьте утечки через iplеak.net. Помните: даже самый надёжный туннель бесполезен, если браузер выдаёт ваш IP через WebRTC. В условиях российской цензуры и массовой слежки собственный OpenVPN — один из немногих способов сохранить приватность, но только если вы учитываете все скрытые риски.