openvpn два подключения одновременно

openvpn два подключения одновременно

OpenVPN: два подключения одновременно — как настроить

Подробный гайд: openvpn два подключения одновременно — настройка, ловушки и реальные сценарии для безопасного интернета в России.

openvpn два подключения одновременно — это не просто запуск двух .ovpn-файлов подряд. Большинство пользователей сталкиваются с тем, что второе соединение либо не стартует, либо разрывает первое. Причина — конфликт маршрутов, одинаковые имена интерфейсов или отсутствие изоляции трафика. В этой статье разберём, как запустить два независимых OpenVPN-туннеля на одной машине без потерь скорости и утечек данных, какие риски скрывают «простые» решения и почему даже опытные админы ошибаются при настройке split tunneling в таких сценариях.

Почему OpenVPN по умолчанию блокирует второе подключение

OpenVPN использует TUN/TAP-интерфейсы для создания виртуальных сетевых устройств. По умолчанию клиент пытается создать интерфейс с именем tun0 (или tap0). Если он уже занят первым экземпляром — второй процесс завершится с ошибкой:

ERROR: Cannot ioctl TUNSETIFF tun: Device or resource busy

Это не баг, а защита от конфликтов маршрутизации. Даже если вы обойдёте эту ошибку через параметры ядра, возникает другая проблема: оба подключения будут пытаться перенаправить весь трафик через свой шлюз (redirect-gateway def1). Результат — петля маршрутизации, потеря пакетов и полный разрыв связи.

Решение требует трёх шагов:
1. Уникальные имена интерфейсов (tun1, tun2 и т.д.);
2. Изолированные таблицы маршрутизации (через ip rule);
3. Отдельные пространства имён (network namespaces) — самый чистый способ.

Способ 1: Два экземпляра через network namespaces (Linux)

Network namespace — это изолированная сетевая среда внутри одной ОС. Каждый namespace имеет свои интерфейсы, таблицы маршрутизации и правила iptables. Это идеальный инструмент для запуска нескольких OpenVPN-подключений без взаимного влияния.

Шаги настройки

Создаём два namespace'а
sudo ip netns add vpn1
sudo ip netns add vpn2

Запускаем OpenVPN в каждом
sudo ip netns exec vpn1 openvpn --config /etc/openvpn/client1.ovpn &
sudo ip netns exec vpn2 openvpn --config /etc/openvpn/client2.ovpn &

Теперь трафик из vpn1 идёт через первый сервер, из vpn2 — через второй. Чтобы запустить приложение в нужном туннеле:

Например, торрент-клиент только через vpn1
sudo ip netns exec vpn1 transmission-gtk

Важно: Убедитесь, что в .ovpn-файлах указаны уникальные dev tunX (например, dev tun1 и dev tun2). Иначе OpenVPN сам назначит tun0 и возникнет конфликт.

Способ 2: Маршрутизация по UID (без namespace)

Если вы не хотите использовать namespace (например, на Windows или старом дистрибутиве), можно разделить трафик по пользователю. Создайте двух пользователей: user_vpn1 и user_vpn2. Затем настройте политическую маршрутизацию:

Создаём таблицы
echo "100 vpn1" >> /etc/iproute2/rt_tables
echo "101 vpn2" >> /etc/iproute2/rt_tables

Запускаем OpenVPN с привязкой к таблице
openvpn --config client1.ovpn --route-noexec --route-up /etc/openvpn/up1.sh

Скрипт up1.sh добавит маршруты в таблицу vpn1 и правило по UID:

#!/bin/sh
ip route add default via $route_vpn_gateway table vpn1
ip rule add uidrange 1000-1000 table vpn1  # UID user_vpn1

Аналогично для второго подключения. Теперь любое приложение, запущенное от user_vpn1, будет использовать первый туннель.

Чего вам НЕ говорят в других гайдах

Большинство «лайфхаков» в Рунете предлагают просто запустить два .ovpn-файла параллельно. Это опасно — и вот почему:

1. Утечки DNS и WebRTC остаются активными

Даже при двух туннелях браузер может отправлять DNS-запросы напрямую провайдеру, если в системе не настроен systemd-resolved или dnsmasq. Проверьте утечки на ipleak.net — часто видно IP провайдера рядом с двумя VPN-адресами.

1. Бесплатные «мультиконнект»-сервисы — сборщики трафика

Многие бесплатные VPN (включая некоторые «российские аналоги») заявляют поддержку нескольких подключений. На деле они:
- Логируют все домены, которые вы посещаете;
- Продают агрегированные данные рекламным сетям;
- Подменяют HTTPS-сертификаты для MITM-атак (особенно в публичных Wi-Fi).

Пример: в 2023 году исследователи обнаружили, что Hola VPN использовала пользовательские устройства как прокси-ноды для третьих лиц — в том числе для DDoS-атак.

1. Kill switch работает только для одного туннеля

Стандартный kill switch в OpenVPN (через --up/--down скрипты) отслеживает состояние одного интерфейса. Если вы используете два подключения, отвал одного из них не остановит трафик во втором — но ваше приложение может начать слать данные в обход обоих туннелей.

1. Юрисдикция 14 Eyes — даже «безлоговые» сервисы обязаны хранить данные

Если провайдер VPN зарегистрирован в стране-участнице 14 Eyes (например, Нидерланды, Германия, Великобритания), он обязан предоставлять логи по запросу спецслужб. Даже при наличии no-log policy — суд может обязать сохранить данные «временно». В 2024 году немецкий провайдер был вынужден передать метаданные по делу о распространении запрещённого контента.

1. Поддельные аудиты безопасности

Некоторые сервисы публикуют «независимые аудиты», но не раскрывают методологию. Настоящие проверки (например, от Cure53 или Quarkslab) включают:
- Анализ исходного кода клиента;
- Пентест серверной инфраструктуры;
- Проверку на утечки памяти и side-channel атаки.

Если в отчёте нет этих пунктов — считайте его маркетинговым документом.

Сравнение подходов: какой способ выбрать?

Рекомендация для RU-аудитории: Если вы используете Linux (Ubuntu, Fedora, Arch) — выбирайте network namespaces. Для Windows — настройте два профиля в разных учетных записях или используйте WSL2 с тем же подходом.

Реальные сценарии использования

Журналист в командировке

Вы находитесь в стране с жёсткой цензурой. Первое подключение — к серверу в Швейцарии для доступа к Telegram и Gmail. Второе — к серверу в Японии для загрузки материалов через зашифрованный SFTP. Изоляция через namespace гарантирует, что утечка в одном канале не скомпрометирует другой.

Айтишник в кофейне «Кофемания»

Провайдер «Ростелеком» в публичном Wi-Fi может перехватывать HTTP-трафик. Вы запускаете:
- vpn_work — для доступа к корпоративному GitLab (трафик только на внутренние IP);
- vpn_personal — для личного браузинга.

Split tunneling предотвращает утечку корпоративных учётных данных в публичную сеть.

Торренты + стриминг

Первое подключение — к P2P-дружелюбному серверу в Румынии (разрешены торренты). Второе — к серверу в США для разблокировки Netflix. Без изоляции торрент-трафик мог бы «просочиться» в американский туннель, что нарушает ToS стримингового сервиса.

Как проверить, что всё работает

1. Проверка интерфейсов:
   bash ip a | grep tun # Должны быть tun0 и tun1 (или другие уникальные имена)

2. Тест маршрутизации:
   bash # Для namespace vpn1 sudo ip netns exec vpn1 curl ifconfig.me # Для vpn2 — другая команда, должен быть другой IP

   ⚙️Технология доступа

3. Проверка утечек:

4. Откройте browserleaks.com/webrtc в браузере, запущенном в нужном namespace;

5. Убедитесь, что отображается только IP соответствующего VPN.

6. Тест kill switch:

   🛡️Безопасный интернет
7. Отключите интернет;
8. Убедитесь, что приложения в namespace не получают доступа к сети (попробуйте ping 8.8.8.8).

WireGuard vs OpenVPN: что лучше для двух подключений?

WireGuard изначально поддерживает несколько одновременных интерфейсов (wg0, wg1) без конфликтов. Его конфигурация проще:

/etc/wireguard/wg0.conf
[Interface]
PrivateKey = ...
Address = 10.8.0.2/24

[Peer]
PublicKey = ...
Endpoint = server1:51820
AllowedIPs = 0.0.0.0/0

Аналогично создаётся wg1.conf. Запуск:

sudo wg-quick up wg0
sudo wg-quick up wg1

Плюсы WireGuard:
- Меньше задержка (в среднем +3–7 мс против +15–40 мс у OpenVPN);
- Использует современные криптоалгоритмы (ChaCha20, Curve25519);
- Поддерживает perfect forward secrecy «из коробки».

Минусы:
- Нет встроенной поддержки TCP (только UDP), что может вызывать проблемы за некоторыми DPI-фильтрами (например, в сетях МТС);
- Менее гибкая настройка маршрутов по сравнению с OpenVPN.

Вывод: Если ваш провайдер не блокирует UDP — WireGuard предпочтительнее. В условиях агрессивного DPI (как в некоторых регионах РФ) OpenVPN поверх TCP с obfs4 — надёжнее.

⚙️Технология доступа

FAQ

Можно ли запустить два подключения OpenVPN на Windows?

Да, но с ограничениями. Используйте WSL2 (Windows Subsystem for Linux) и настройте network namespaces внутри него. Альтернатива — два разных пользователя Windows с политикой маршрутизации через PowerShell, но это сложнее и менее надёжно.

VPN замедляет интернет на сколько реально?

Зависит от протокола и сервера. OpenVPN/AES-256/TCP: минус 30–60% скорости. OpenVPN/UDP: минус 15–30%. WireGuard: минус 5–15%. На 100 Мбит/с это значит 85–95 Мбит/с с WireGuard против 40–70 Мбит/с с OpenVPN/TCP.

📖Свобода информации

Меня найдёт спецслужба при использовании VPN?

Если вы используете легальный контент и не нарушаете УК РФ — нет. Но если провайдер VPN находится в юрисдикции 14 Eyes и ведёт логи (даже временно), по решению суда могут запросить ваши данные. Поэтому выбирайте сервисы с прозрачной no-log policy и регистрацией вне 14 Eyes (Швейцария, Панама, Сейшелы).

Как обойти блокировку OpenVPN DPI в России?

Используйте обфускацию: obfs4, stunnel или запускайте OpenVPN поверх WebSocket. Некоторые провайдеры (Mullvad, IVPN) предоставляют такие конфигурации «из коробки». Также помогает смена порта на 443/TCP — трафик маскируется под HTTPS.

WireGuard или OpenVPN — что безопаснее?

С точки зрения криптографии — WireGuard современнее и проще для аудита. Но OpenVPN имеет более зрелую экосистему, поддержку TCP и лучшую совместимость с DPI-обходом. Для большинства пользователей WireGuard безопаснее, если нет проблем с блокировками UDP.

🔐Защити свои данные

Что делать, если одно из подключений отвалилось?

Настройте автоматический перезапуск через systemd (Linux) или Task Scheduler (Windows). Важно: используйте скрипты --down, чтобы при отвале активировался kill switch и весь трафик блокировался до восстановления туннеля.

Вывод

openvpn два подключения одновременно — технически выполнимо, но требует глубокого понимания сетевой стека. Просто запустить два .ovpn-файла недостаточно: без изоляции через network namespaces или политическую маршрутизацию вы рискуете утечками DNS, конфликтами шлюзов и отсутствием защиты при обрыве одного из туннелей. В условиях российской инфраструктуры (DPI от «Ростелекома», «МТС», активные блокировки) особенно важно тестировать каждое подключение на устойчивость к фильтрации и проверять реальные IP-адреса через сторонние сервисы. Если ваша задача — максимальная безопасность и разделение трафика (работа/личное, торренты/стриминг), инвестируйте время в настройку namespace. Это единственный способ гарантировать, что два подключения действительно работают независимо и безопасно.