OpenVPN: как настроить сервер и клиент для безопасного интернета

Что такое OpenVPN и зачем он нужен

OpenVPN — это открытое программное обеспечение для создания виртуальных частных сетей (VPN). Оно позволяет организовать защищённое соединение между сервером и клиентами, даже если они находятся за NAT или файрволами. OpenVPN использует протоколы TLS и SSL для шифрования трафика и аутентификации, что обеспечивает высокий уровень безопасности.

Основные сценарии использования OpenVPN:

• Удалённый доступ сотрудников к корпоративной сети. Сотрудники могут подключаться к офисной инфраструктуре из любой точки мира, получая доступ к внутренним ресурсам (файловые серверы, базы данных, внутренние сайты).
• Объединение сетей удалённых офисов. OpenVPN позволяет соединить несколько локальных сетей в единую защищённую сеть, что упрощает обмен данными между филиалами.
• Обеспечение безопасности в общественных Wi-Fi сетях. Подключение через OpenVPN шифрует весь трафик, защищая данные от перехвата злоумышленниками в публичных сетях.
• Обход географических ограничений. С помощью VPN-сервера в другой стране можно получить доступ к контенту, недоступному в вашем регионе.

OpenVPN популярен благодаря своей гибкости, кроссплатформенности и открытому исходному коду. Он поддерживает Windows, Linux, macOS, Android и iOS, что делает его универсальным решением для различных задач.

Выбор серверной платформы: Windows или Linux

OpenVPN-сервер можно развернуть практически на любой операционной системе. Однако выбор платформы влияет на сложность настройки, производительность и доступные функции.

Windows

• Подходит для небольших сетей и тестирования. Установка через MSI-инсталлятор проста, а графический интерфейс упрощает управление.
• Десктопные версии Windows 10/11 (Pro, Enterprise) поддерживают до 20 одновременных подключений для файлового доступа, но для OpenVPN это ограничение не действует.
• Windows Server обеспечивает более продвинутые возможности маршрутизации и NAT, но требует лицензирования.

Linux

• Более гибкая и производительная платформа. OpenVPN-сервер на Linux часто используется в корпоративной среде благодаря стабильности и возможности тонкой настройки.
• Требует знания командной строки и основ администрирования Linux.
• Позволяет использовать продвинутые функции, такие как интеграция с LDAP, сложные правила маршрутизации и скрипты автоматизации.

Для большинства домашних и небольших офисных сценариев подойдёт Windows. Если вы планируете масштабировать решение или нуждаетесь в высокой производительности, лучше выбрать Linux.

Установка OpenVPN на Windows

Установка OpenVPN на Windows начинается с загрузки установщика с официального сайта openvpn.net. Рекомендуется использовать последнюю стабильную версию Community Edition.

При установке важно выбрать правильные компоненты:

• OpenVPN Service — основной сервис, необходимый для работы сервера и клиента.
• OpenSSL Utilities — включает скрипты Easy-RSA для генерации сертификатов.
• Драйвер Data Channel Offload (ovpn-dco-win) — современный драйвер, обеспечивающий высокую производительность за счёт обработки трафика в ядре Windows.

Отключите установку компонента OpenVPN GUI, если вы планируете использовать только серверную часть. Также не требуется устанавливать устаревший драйвер TAP-Windows6, если вы используете ovpn-dco-win.

После установки в системе появится новый сетевой адаптер OpenVPN Data Channel Offload. Он будет отключён, пока служба OpenVPN не запущена.

По умолчанию OpenVPN устанавливается в каталог C:\Program Files\OpenVPN. Конфигурационные файлы сервера и клиента хранятся в подкаталогах config-auto и config соответственно.

Создание сертификатов и ключей с помощью Easy-RSA

Для обеспечения безопасности OpenVPN использует инфраструктуру открытых ключей (PKI). Необходимо создать корневой сертификат (CA), сертификаты сервера и клиентов, а также ключи Диффи-Хеллмана.

Процесс генерации выполняется с помощью скриптов Easy-RSA, которые входят в состав установки OpenVPN.

1. Откройте командную строку и перейдите в каталог easy-rsa:

   cd "C:\Program Files\OpenVPN\easy-rsa"

1. Скопируйте файл vars.example в vars и отредактируйте его, указав данные вашей организации (страна, город, email и т.д.). Это необязательно, но рекомендуется для корректной идентификации сертификатов.
2. Запустите оболочку EasyRSA:

   .\EasyRSA-Start.bat

1. Инициализируйте PKI:

   ./easyrsa init-pki

1. Создайте корневой сертификат CA:

   ./easyrsa build-ca

Введите пароль для CA (обязательно запомните его).

1. Сгенерируйте запрос и ключ для сервера:

   ./easyrsa gen-req server nopass

Опция nopass создаёт ключ без пароля, что упрощает автоматический запуск сервера.

1. Подпишите сертификат сервера:

   ./easyrsa sign-req server server

1. Создайте ключи Диффи-Хеллмана (займёт некоторое время):

   ./easyrsa gen-dh

1. Для дополнительной защиты TLS-канала сгенерируйте ключ tls-crypt:

   cd "C:\Program Files\OpenVPN\bin"
   ./openvpn --genkey secret tc.key

1. Для каждого клиента создайте отдельный ключ и сертификат:

    ./easyrsa build-client-full client1

Эта команда создаст сертификат и ключ, защищённый паролем. Если пароль не нужен, используйте nopass.

Все сгенерированные файлы будут находиться в каталоге pki. Скопируйте необходимые файлы на сервер и клиенты в соответствии с конфигурацией.

Конфигурация сервера OpenVPN

Конфигурационный файл сервера по умолчанию находится в C:\Program Files\OpenVPN\config-auto\server.ovpn. Вы можете создать новый файл или скопировать шаблон из sample-config.

В конфигурации необходимо указать:

• Порт и протокол: обычно используется UDP порт 1194, так как UDP обеспечивает лучшую производительность.
• Сетевые настройки: задайте пул IP-адресов для клиентов, например server 10.24.1.0 255.255.255.0.
• Пути к сертификатам: укажите расположение файлов ca.crt, server.crt, server.key, dh.pem и tc.key.
• Параметры шифрования: используйте современные шифры, например data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305.
• Параметры keepalive: keepalive 10 120 для поддержания соединения.

Пример базовой конфигурации сервера:

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-crypt tc.key
server 10.24.1.0 255.255.255.0
ifconfig-pool-persist ipp.txt
keepalive 10 120
persist-key
persist-tun
log-append server.log
status openvpn-status.log
verb 3
mute 20

После сохранения конфигурации необходимо открыть порт 1194 в файрволе Windows. Это можно сделать через PowerShell:

New-NetFirewallRule -DisplayName "OpenVPN" -Direction Inbound -Protocol UDP -LocalPort 1194 -Action Allow

Также на роутере нужно настроить проброс порта (NAT) с внешнего IP на внутренний адрес сервера, если сервер находится за NAT.

Настройка клиента OpenVPN

Клиент OpenVPN может быть установлен на Windows, Linux, macOS, Android или iOS. После установки необходимо создать конфигурационный файл с расширением .ovpn и поместить его в соответствующую папку.

Для Windows конфигурационные файлы хранятся в C:\Program Files\OpenVPN\config. Для Linux — в /etc/openvpn/ (например, client.conf).

Пример конфигурации клиента:

client
dev tun
proto udp
remote myvpn.example.com 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
dh dh2048.pem
tls-client
tls-auth ta.key 1
remote-cert-tls server
keepalive 10 120
comp-lzo
verb 3

Основные параметры:

• client — указывает, что это клиентское подключение.
• remote — адрес сервера и порт.
• dev tun — использование TUN-интерфейса (рекомендуется).
• proto udp — протокол передачи данных.
• ca, cert, key — пути к сертификатам.
• tls-auth или tls-crypt — дополнительная защита TLS.
• remote-cert-tls server — проверка, что сервер действительно является сервером (защита от MITM-атак).

После создания конфигурации запустите OpenVPN GUI (на Windows) или выполните команду openvpn --config client.conf (на Linux). Для автоматического запуска на Windows переместите конфигурацию в папку config-auto и настройте службу OpenVPNService на автозапуск. На Linux используйте systemctl enable openvpn@client.

Обеспечение безопасности и дополнительные настройки

OpenVPN предоставляет несколько уровней защиты, которые важно правильно настроить.

Использование tls-crypt или tls-auth

Эти параметры добавляют дополнительный ключ для аутентификации TLS-канала, что защищает от DoS-атак и сканирования портов. tls-crypt также шифрует управляющий канал, что предпочтительнее.

Выбор надёжных шифров

Используйте только современные алгоритмы: AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305. Избегайте устаревших шифров, таких как BF-CBC или DES.

Ограничение доступа по сертификатам

Каждый клиент должен иметь уникальный сертификат. При увольнении сотрудника или компрометации ключа необходимо отозвать сертификат с помощью команды ./easyrsa revoke client1 и обновить список отозванных сертификатов (CRL).

Настройка файрвола

На сервере разрешите только необходимые порты и ограничьте доступ к VPN-подсети. Используйте правила файрвола для фильтрации трафика.

Маршрутизация и NAT

Если клиентам нужен доступ в интернет через VPN, настройте NAT на сервере. В Windows это можно сделать с помощью службы маршрутизации и удалённого доступа (RRAS) или через правила netsh. В Linux используйте iptables.

Мониторинг и логирование

Включите ведение логов (log-append server.log) и мониторинг статуса (status openvpn-status.log). Это поможет выявить проблемы и атаки.

Решение типичных проблем при настройке

При настройке OpenVPN могут возникнуть следующие проблемы:

Не удаётся подключиться к серверу

• Проверьте, что порт 1194 открыт на сервере и роутере.
• Убедитесь, что сервер запущен и служба OpenVPN работает.
• Проверьте правильность указания адреса сервера в конфигурации клиента.
• Проверьте логи на сервере и клиенте.

Ошибка аутентификации

• Убедитесь, что сертификаты и ключи соответствуют друг другу.
• Проверьте, что срок действия сертификатов не истёк.
• Если используется tls-auth, проверьте правильность ключа и параметра key-direction.

Нет доступа к ресурсам локальной сети

• Настройте маршрутизацию на сервере, чтобы клиенты могли достичь нужных подсетей.
• Добавьте параметр push "route 192.168.1.0 255.255.255.0" в конфигурацию сервера.
• Проверьте правила файрвола на сервере и целевых устройствах.

Низкая скорость соединения

• Используйте UDP вместо TCP.
• Проверьте качество интернет-канала.
• Попробуйте изменить MTU (параметр tun-mtu).

Проблемы с драйвером

• Если используется старый драйвер TAP-Windows6, обновите OpenVPN до последней версии.
• Убедитесь, что драйвер Data Channel Offload установлен и работает.

Автоматический запуск и управление службой

Для удобства использования OpenVPN можно настроить автоматический запуск сервера и клиента при старте системы.

Windows

• Служба OpenVPNService запускается автоматически после установки. Убедитесь, что она настроена на автозапуск в службах Windows.
• Для клиента переместите конфигурационный файл в папку config-auto, и OpenVPN GUI будет автоматически подключаться при входе в систему.

Linux

• Используйте systemd для управления службой:

  systemctl enable openvpn@server
  systemctl start openvpn@server

• Для клиента:

  systemctl enable openvpn@client
  systemctl start openvpn@client

Управление несколькими конфигурациями

• На Windows создайте отдельные папки в config для каждого VPN-сервера. В каждой папке разместите свой конфигурационный файл и сертификаты.
• На Linux создайте отдельные конфигурационные файлы в /etc/openvpn/ и запускайте их с помощью openvpn --config /path/to/config.

Мониторинг состояния

• Используйте команду openvpn --status для просмотра текущих подключений.
• Логи хранятся в файлах, указанных в конфигурации (log-append).

Сравнение OpenVPN с другими VPN-решениями

OpenVPN — не единственное решение для создания VPN. Существуют и другие популярные протоколы, такие как WireGuard, IPsec и L2TP.

WireGuard

• Более новый и быстрый протокол, использующий современную криптографию.
• Проще в настройке, но менее гибкий в плане конфигурации.
• Не поддерживает некоторые функции, такие как динамическая маршрутизация.

IPsec

• Стандартный протокол, широко поддерживаемый оборудованием.
• Сложен в настройке, особенно при использовании сертификатов.
• Может иметь проблемы с NAT.

L2TP

• Часто используется в связке с IPsec.
• Обеспечивает хорошую совместимость, но менее безопасен без IPsec.

OpenVPN

• Гибкий, кроссплатформенный, с открытым исходным кодом.
• Поддерживает множество алгоритмов шифрования и методов аутентификации.
• Может работать через NAT и файрволы.
• Требует установки клиентского программного обеспечения.

Выбор зависит от ваших потребностей: если нужна максимальная производительность и простота, рассмотрите WireGuard; если важна совместимость с существующей инфраструктурой — IPsec; для универсального и безопасного решения подойдёт OpenVPN.

Вопросы и ответы