настройка маршрутизации openvpn

настройка маршрутизации openvpn

Подробная настройка маршрутизации OpenVPN: от базы до защиты от утечек

настройка маршрутизации openvpn — это не просто «включил и забыл». Без правильной конфигурации вы можете думать, что весь трафик шифруется, а на деле браузер или торрент-клиент спокойно ходит в интернет напрямую. Эта статья покажет, как настроить маршрутизацию так, чтобы никакие пакеты не просочились мимо туннеля, и объяснит, почему даже опытные пользователи допускают критические ошибки.

Почему ваш OpenVPN может «протекать» — даже если всё зелёное

Многие считают, что установка клиента OpenVPN и подключение к серверу автоматически направляют весь трафик через зашифрованный канал. Это опасное заблуждение. По умолчанию OpenVPN не перенаправляет шлюз (default gateway), если в конфигурационном файле явно не указано redirect-gateway def1.

Без этой директивы:
- Ваш IP остаётся прежним.
- Провайдер видит все ваши запросы.
- Сайты определяют ваше реальное местоположение.

Даже при наличии redirect-gateway возможны утечки:
- DNS-утечки: система использует DNS-серверы провайдера вместо тех, что заданы в .ovpn.
- WebRTC-утечки: браузеры (особенно Chrome и Firefox) могут раскрыть локальный IP через JavaScript API.
- IPv6-утечки: если у вас включён IPv6, а OpenVPN работает только с IPv4, трафик может уходить напрямую по новому протоколу.

Проверить всё это можно на ipleak.net и browserleaks.com/webrtc. Не верьте «зелёным галочкам» в интерфейсе клиента — проверяйте сами.

Как правильно настроить маршрутизацию: 3 уровня контроля

Уровень 1: Конфигурация сервера

На стороне сервера в файле server.conf должны быть строки:

push "redirect-gateway def1"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 1.1.1.1"

• redirect-gateway def1 — перенаправляет весь трафик через туннель, создавая два маршрута (0.0.0.0/1 и 128.0.0.0/1), что совместимо с большинством ОС.
• dhcp-option DNS — указывает клиенту использовать доверенные DNS-серверы (Google, Cloudflare и т.п.), предотвращая утечки.

⚠️ Важно: если вы используете собственный DNS (например, AdGuard Home), укажите его локальный IP из подсети OpenVPN (обычно 10.8.0.1).

🛡️Безопасный интернет

Уровень 2: Конфигурация клиента

В клиентском .ovpn файле добавьте:

pull
route-nopull
script-security 2
up /etc/openvpn/update-resolv-conf
down /etc/openvpn/update-resolv-conf

• pull — разрешает получать настройки от сервера (включая маршруты и DNS).
• route-nopull — не используйте, если хотите полного перенаправления. Эта опция отключает приём маршрутов.
• Скрипты update-resolv-conf (для Linux) обновляют /etc/resolv.conf, подставляя DNS из сервера.

Для Windows эти скрипты не нужны — DNS подхватывается автоматически через TAP-адаптер.

Уровень 3: Фаервол и принудительная маршрутизация

Даже при корректной настройке возможен «разрыв туннеля»: при потере соединения трафик уйдёт напрямую. Чтобы этого не произошло, настройте kill switch на уровне фаервола.

Пример для Linux (iptables):

Разрешить только трафик через tun0 и локальную сеть
iptables -P OUTPUT DROP
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -o tun0 -j ACCEPT
iptables -A OUTPUT -d 192.168.1.0/24 -j ACCEPT  # ваша локальная сеть
iptables -A OUTPUT -p udp --dport 1194 -j ACCEPT  # порт OpenVPN

Теперь, если туннель упадёт, весь остальной трафик будет блокироваться.

Чего вам НЕ говорят в других гайдах

Большинство руководств замалчивают ключевые риски, которые делают вашу «безопасность» иллюзией.

1. Бесплатные VPN и «бесплатные» серверы OpenVPN

Многие скачивают готовые .ovpn файлы с сайтов вроде vpnbook.com или freeopenvpn.org. Эти сервисы:
- Логируют всё: IP, время подключения, объём трафика.
- Продают данные рекламодателям или третьим лицам.
- Подменяют SSL-сертификаты, внедряя свои MITM-прокси (особенно в публичных Wi-Fi).

Факт: содержание одного сервера OpenVPN стоит от $5/мес (VPS). Если сервис «бесплатный», вы — товар.

1. Fake kill switch в коммерческих клиентах

Некоторые коммерческие VPN-приложения заявляют о «автоматическом kill switch», но на деле он работает только внутри приложения. Если вы запустите торрент-клиент вне программы — он пойдёт напрямую. Настоящий kill switch должен быть на уровне ОС или роутера.

1. Юрисдикция 14 Eyes и обязательства по хранению логов

Даже если провайдер заявляет «no logs», он может находиться в стране, где по закону обязан сохранять метаданные (время, IP, длительность сессии). Например:
- США, Великобритания, Канада, Австралия — участники Five Eyes.
- Добавьте к ним Францию, Германию, Нидерланды — получите 14 Eyes.

При получении судебного запроса такие компании обязаны передать данные. Аудиты? Чаще всего — маркетинговые PDF без исходников.

1. Утечки через split tunneling

Если вы включаете split tunneling (исключение некоторых приложений из VPN), убедитесь, что:
- Браузер не входит в список исключений (иначе WebRTC раскроет IP).
- Системные службы (например, Windows Update) не отправляют данные напрямую.

1. Поддельные сертификаты и MITM-атаки

Если вы не проверяете отпечаток (fingerprint) сертификата сервера (tls-remote или verify-x509-name), злоумышленник в публичной сети может подменить сервер и перехватить ваш трафик. Особенно актуально в кафе, аэропортах, отелях.

Роутер против ПК: где безопаснее настраивать OpenVPN?

Вывод: для максимальной защиты всей сети — роутер. Для гибкости и контроля — ПК. Но на роутере обязательно включите «Policy Rules» или «Forced Tunnel», чтобы запретить любой трафик вне туннеля.

Практический чек-лист: проверка после настройки

1. IP-адрес: откройте 2ip.ru — должен отличаться от вашего реального.
2. DNS: на том же сайте проверьте DNS-серверы. Они должны совпадать с теми, что указаны в .ovpn.
3. WebRTC: зайдите на browserleaks.com/webrtc. В списке IP должен быть только VPN-адрес.
4. IPv6: если у вас включён IPv6, отключите его в настройках ОС или настройте туннель под него (OpenVPN поддерживает IPv6 с версии 2.3).
5. Kill switch: отключите кабель или Wi-Fi на 10 секунд. Попробуйте открыть сайт. Должна быть ошибка подключения.
6. Торренты: запустите торрент-клиент, скачайте тестовый торрент (например, от ipMagnet). Убедитесь, что IP совпадает с VPN.

WireGuard vs OpenVPN: влияет ли выбор протокола на маршрутизацию?

Хотя статья посвящена OpenVPN, важно понимать альтернативы.

• OpenVPN: зрелый, гибкий, поддерживает сложные сценарии маршрутизации (route, iroute, client-config-dir). Но требует больше ресурсов и сложнее в настройке.
• WireGuard: проще, быстрее (на 30–40% выше пропускная способность), но маршрутизация жёстко задаётся в AllowedIPs. Нет встроенной поддержки DHCP-опций для DNS — нужно использовать resolvconf или systemd-resolved вручную.

Для задачи «настройка маршрутизации openvpn» OpenVPN остаётся лучшим выбором, если вам нужен:
- push-конфигурация с сервера,
- гибкое управление маршрутами для разных клиентов,
- поддержка legacy-устройств.

WireGuard подойдёт для простых сценариев «всё или ничего».

FAQ

VPN замедляет интернет — на сколько реально?

Зависит от протокола, шифрования и загрузки сервера. OpenVPN с AES-256-CBC на хорошем VPS добавляет 10–30 мс пинга и снижает скорость на 15–25%. На 100 Мбит/с вы получите 75–85 Мбит/с. WireGuard — 5–10 мс и 90–95 Мбит/с.

Меня найдёт спецслужба при использовании VPN?

Если вы используете легальный коммерческий VPN с no-log policy и находитесь вне юрисдикции 14 Eyes — маловероятно. Но если вы совершаете противоправные действия (в т.ч. нарушение 152-ФЗ о персональных данных), оператор связи и Роскомнадзор могут запросить данные у провайдера. VPN не даёт «абсолютной анонимности».

WireGuard или OpenVPN — что безопаснее?

Оба протокола криптографически стойкие. OpenVPN использует проверенные временем алгоритмы (AES, RSA, TLS). WireGuard — современный стек (ChaCha20, Poly1305, Curve25519) с меньшей поверхностью атаки. Однако OpenVPN имеет больше независимых аудитов (Cure53, OSTIF). Выбор зависит от сценария, а не «безопасности».

📖Свобода информации

Как проверить, что kill switch работает?

Отключите интернет на 10 секунд, затем попробуйте открыть любой сайт. Если соединение не устанавливается — kill switch сработал. Для точности используйте tcpdump или Wireshark: не должно быть пакетов вне интерфейса tun0.

Можно ли настроить OpenVPN без root-прав?

На Linux — нет, потому что изменение таблицы маршрутизации и настройка DNS требуют привилегий. На Windows — клиент OpenVPN GUI запрашивает права администратора при запуске. На Android/iOS — через официальные приложения, использующие системный VPN API.

Что делать, если после настройки нет интернета?

Скорее всего, маршрутизация настроена, но DNS не работает. Проверьте:
— Есть ли dhcp-option DNS в конфиге.
— Работает ли скрипт update-resolv-conf.
— Не блокирует ли фаервол UDP-трафик на порт 1194.
Попробуйте временно отключить фаервол и проверить подключение.

🛡️Безопасный интернет

Вывод

настройка маршрутизации openvpn — это не просто активация опции «перенаправить весь трафик». Это многоуровневый процесс, включающий корректную конфигурацию сервера, клиента, DNS, фаервола и защиту от утечек при разрыве соединения. Без этих шагов вы получаете иллюзию безопасности: трафик частично шифруется, но критические данные (IP, DNS-запросы, WebRTC) уходят напрямую. Особенно это опасно в публичных сетях Ростелекома или МТС, где DPI-системы легко перехватывают незащищённые пакеты. Используйте приведённые чек-листы, проверяйте каждый слой защиты и помните: настоящая безопасность начинается там, где заканчиваются «зелёные галочки» в интерфейсе.