Как создать свой VPN: подробное руководство по настройке собственного сервера

Зачем нужен собственный VPN и чем он лучше коммерческих сервисов

Собственный VPN — это туннель, который вы поднимаете на арендованном виртуальном сервере и используете для защиты трафика на своих устройствах. В отличие от коммерческих VPN-сервисов, где вы делите канал с сотнями других пользователей и зависите от политики компании, собственный сервер даёт полный контроль над инфраструктурой.

Главные преимущества:

• Конфиденциальность. Трафик идёт через ваш личный сервер, и никто посторонний не имеет к нему доступа. Коммерческие провайдеры могут хранить логи и передавать данные третьим лицам.
• Скорость. Вы не конкурируете за пропускную способность с другими клиентами. Скорость ограничена только характеристиками вашего VPS и каналом до провайдера.
• Гибкость. Вы сами выбираете протокол, порт, настройки шифрования и можете менять их в любой момент.
• Экономия для семьи. Один сервер можно использовать для нескольких устройств — телефонов, компьютеров, роутеров. При аренде за пару сотен рублей в месяц это выгоднее, чем несколько подписок на коммерческие сервисы.

Однако есть и минусы: нужно разбираться в базовых настройках, следить за безопасностью сервера и самостоятельно решать проблемы. Для новичка оптимальный путь — использовать готовые инструменты вроде Amnezia, которые автоматизируют установку.

Что нужно для создания VPN: подготовка и выбор сервера

Для создания собственного VPN понадобится виртуальный сервер (VPS или VDS). Это удалённый компьютер, на котором будет работать VPN-сервер. При выборе провайдера обратите внимание на:

• Юрисдикцию. Лучше выбирать компании в нейтральных юрисдикциях, которые не подчиняются агрессивным законам о хранении данных.
• Скорость порта. Для комфортного просмотра видео и звонков желательно от 1 Гбит/с, но подойдёт и 100 Мбит/с для базовых задач.
• Цену и способы оплаты. Некоторые хостеры принимают криптовалюты, карты МИР, СБП.
• Операционную систему. Для установки VPN обычно выбирают Ubuntu 24.04 или Debian 12.

Для стандартного использования достаточно конфигурации с 1 ядром и 2 ГБ оперативной памяти. Если планируете подключать много устройств или использовать сервер для других задач, возьмите конфиг помощнее.

После оплаты вы получите IP-адрес и root-пароль — эти данные понадобятся для подключения к серверу и установки VPN.

Способ 1: Amnezia — самый простой вариант для новичков

Amnezia — это бесплатное приложение с открытым исходным кодом, которое автоматически разворачивает VPN на вашем сервере. Оно доступно для Windows, macOS, Linux, Android и iOS.

Пошаговая инструкция:

1. Скачайте AmneziaVPN с официального сайта или GitHub.
2. Установите и запустите приложение.
3. При первом запуске выберите «Self-hosted VPN».
4. Введите IP-адрес вашего сервера и root-пароль.
5. Следуйте подсказкам мастера — программа сама установит необходимое ПО и настроит VPN.
6. Нажмите «Подключиться».

После этого вы сразу можете пользоваться VPN. Amnezia поддерживает несколько протоколов: OpenVPN, WireGuard, IPsec, XRay с VLESS и Reality. В настройках можно переключаться между ними.

Дополнительные функции Amnezia:

• Раздельное туннелирование сайтов и приложений — можно указать, какие ресурсы идут через VPN, а какие напрямую.
• Kill Switch — блокирует интернет, если VPN-соединение прервётся, чтобы трафик не утёк.
• Функция «Поделиться подключением» — позволяет дать доступ другим пользователям без передачи root-пароля.

Этот способ идеален для тех, кто не хочет вникать в технические детали.

Способ 2: Виртуальный сервер с предустановленным VPN

Некоторые хостинг-провайдеры при заказе сервера предлагают сразу установить VPN-сервер с веб-интерфейсом для управления пользователями. Это удобно, если вы не хотите вводить команды вручную.

Как это работает:

1. При заказе VPS выберите опцию «с предустановленным VPN» (обычно доступны OpenVPN и WireGuard).
2. После активации сервера зайдите в веб-интерфейс управления VPN.
3. Создайте нового пользователя и скачайте его конфигурационный файл.
4. Импортируйте этот файл в любой VPN-клиент на вашем устройстве.

Популярные VPN-клиенты:

• OpenVPN Connect — поддерживает Windows, macOS, Linux, Android, iOS, ChromeOS.
• WireGuard — официальный клиент для всех платформ, а также встроен в некоторые роутеры.

Роутеры со встроенным VPN-клиентом:

• Asus RT-AX53U, RT-AX55, RT-AC68U, RT-AC86U — поддерживают OpenVPN.
• TP-Link Archer AX55, AX72, AX73, AXE75 — OpenVPN.
• Asus RT-AX88U, TP-Link Archer BE900 — WireGuard.
• Роутеры с альтернативными прошивками (DD-WRT, OpenWrt) — обычно поддерживают OpenVPN, некоторые — WireGuard.

Перед покупкой роутера проверяйте совместимость с нужным протоколом.

Способ 3: Готовые скрипты для автоматической настройки

На GitHub есть готовые скрипты, которые автоматизируют установку и настройку VPN. Они задают несколько вопросов, а затем сами создают конфигурационные файлы.

Популярные скрипты:

• OpenVPN-install — универсальный скрипт для установки OpenVPN.
• WireGuard-install — аналогичный скрипт для WireGuard.

Процесс установки:

1. Подключитесь к серверу по SSH.
2. Скачайте скрипт с GitHub.
3. Запустите его с правами root.
4. Ответьте на вопросы (порт, DNS, протокол).
5. Скрипт установит и настроит VPN, создаст клиентский конфигурационный файл.

Этот способ подходит тем, кто хочет быстро получить рабочий VPN, но не желает разбираться в каждой команде. Однако скрипты могут устаревать, поэтому проверяйте актуальность репозитория.

Способ 4: Ручная настройка OpenVPN на Ubuntu 24.04

Этот способ даёт максимальный контроль, но требует базовых знаний Linux. Рассмотрим пошагово.

Шаг 1. Подготовка сервера

• Подключитесь к VPS как root.
• Создайте пользователя и добавьте его в sudo:

  adduser user
  usermod -aG sudo user

• Войдите как user и обновите пакеты:

  sudo apt update -y
  sudo apt install openvpn easy-rsa -y

Шаг 2. Настройка Easy-RSA

• Создайте директорию и символическую ссылку:

  mkdir ~/easy-rsa
  ln -s /usr/share/easy-rsa/* ~/easy-rsa/
  chmod 700 ~/easy-rsa

• Создайте конфигурационный файл и инициализируйте PKI:

  cd ~/easy-rsa
  echo -e 'set_var EASYRSA_ALGO ec\nset_var EASYRSA_DIGEST sha512' > vars
  ./easyrsa init-pki

• Сгенерируйте ключи удостоверяющего центра:

  ./easyrsa build-ca nopass

Шаг 3. Генерация серверных ключей

• Создайте запрос и подпишите сертификат:

  ./easyrsa gen-req server nopass
  ./easyrsa sign-req server server

• Скопируйте файлы в каталог OpenVPN:

  sudo cp ~/easy-rsa/pki/private/server.key /etc/openvpn/server
  sudo cp ~/easy-rsa/pki/issued/server.crt /etc/openvpn/server
  sudo cp ~/easy-rsa/pki/ca.crt /etc/openvpn/server

• Создайте предварительный общий ключ:

  sudo openvpn --genkey secret /etc/openvpn/server/ta.key

Шаг 4. Клиентские ключи

• Аналогично создайте ключи для клиента client1:

  ./easyrsa gen-req client1 nopass
  ./easyrsa sign-req client client1

• Скопируйте файлы в отдельную директорию.

Шаг 5. Конфигурация сервера

• Скопируйте шаблонный конфиг:

  sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/server/

• Отредактируйте server.conf: замените dh2048.pem на dh none, раскомментируйте redirect-gateway, укажите DNS (например, Cloudflare 1.1.1.1), замените tls-auth на tls-crypt, cipher на AES-256-GCM, добавьте auth SHA256, user nobody, group nogroup.

Шаг 6. Включение форвардинга

• Раскомментируйте net.ipv4.ip_forward=1 в /etc/sysctl.conf и примените:

  sudo sysctl -p

• Настройте iptables (замените ens3 на ваш интерфейс):

  sudo iptables -A INPUT -i tun+ -j ACCEPT
  sudo iptables -A FORWARD -i tun+ -j ACCEPT
  sudo iptables -A FORWARD -i ens3 -o tun+ -j ACCEPT
  sudo iptables -A FORWARD -i tun+ -o ens3 -j ACCEPT
  sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/8 -o ens3 -j MASQUERADE
  sudo netfilter-persistent save

Шаг 7. Запуск сервиса

sudo systemctl enable openvpn-server@server.service
sudo systemctl start openvpn-server@server.service

Шаг 8. Создание клиентского конфига

• Напишите скрипт create_client_config.sh, который объединяет сертификаты и ключи в файл .ovpn.
• Запустите его для client1.

После этого импортируйте .ovpn в любой OpenVPN-клиент.

Подключение устройств: компьютеры, смартфоны и роутеры

После настройки VPN-сервера вы можете подключать к нему различные устройства.

Компьютеры и ноутбуки:

• Установите клиент (OpenVPN Connect, WireGuard, Amnezia).
• Импортируйте конфигурационный файл или вставьте ссылку-подписку.
• Нажмите «Подключиться».

Смартфоны (Android, iOS):

• Установите приложение Amnezia или официальный клиент.
• Введите IP-адрес сервера и root-пароль (для Amnezia) или импортируйте конфиг.
• Подключение займёт несколько секунд.

Роутеры:

• Роутер должен поддерживать VPN-клиент (OpenVPN или WireGuard).
• В панели управления роутера найдите раздел VPN.
• Загрузите файл .ovpn или введите параметры вручную.
• После подключения весь трафик домашней сети пойдёт через VPN.

Несколько устройств:

• Один сервер может обслуживать несколько устройств одновременно.
• Для каждого устройства можно использовать один и тот же конфиг или создать отдельные.
• Для быстрого переноса конфигурации используйте QR-код в Amnezia.

Раздельное туннелирование и Kill Switch: настройка под свои задачи

Раздельное туннелирование (split tunneling) позволяет направлять через VPN только часть трафика. Это полезно, когда некоторые приложения должны работать напрямую (например, банковские или геозависимые сервисы).

В Amnezia:

• В настройках выберите «Раздельное туннелирование».
• Укажите сайты или приложения, которые должны идти через VPN, или наоборот, исключите их.

В Happ (клиенте для VLESS/Reality):

• В настройках подключения есть режимы:
• Весь трафик — все приложения идут через VPN.
• Только выбранные — только отмеченные приложения.
• Все, кроме выбранных — все, кроме исключений.

Kill Switch:

• Эта функция блокирует интернет-соединение, если VPN-туннель разрывается. Это предотвращает утечку реального IP-адреса.
• В Amnezia Kill Switch включается в настройках безопасности.

Рекомендации:

• Не включайте банковские приложения в VPN, чтобы избежать блокировок.
• Для стриминга и торрентов VPN полезен, для локальных сервисов — нет.

Безопасность сервера: защита от несанкционированного доступа

Собственный VPN-сервер требует внимания к безопасности, иначе он может стать мишенью для злоумышленников.

Основные меры:

• Смена root-пароля сразу после установки VPN.
• Использование SSH-ключей вместо пароля для входа.
• Ограничение доступа по IP — разрешите SSH только с ваших IP-адресов.
• Регулярное обновление системы — устанавливайте обновления безопасности.
• Настройка файрвола — разрешите только нужные порты (SSH, VPN).
• Отключение root-входа по SSH — используйте пользователя с sudo.

Дополнительные рекомендации:

• Не используйте сервер для других целей, если это не требуется.
• Следите за логами на предмет подозрительной активности.
• При использовании Amnezia после установки можно сменить root-пароль, чтобы снизить риски.

Помните: безопасность — это процесс, а не разовая настройка.

Частые проблемы и их решение

При создании и использовании собственного VPN могут возникать типичные трудности. Рассмотрим основные.

Не подключается клиент:

• Проверьте, что сервер запущен: sudo systemctl status openvpn-server@server.service.
• Убедитесь, что порт (по умолчанию 1194 для OpenVPN) открыт в файрволе.
• Проверьте правильность конфигурационного файла: не должно быть лишних пробелов или обрезанных строк.

Низкая скорость:

• Возможно, сервер перегружен или канал провайдера ограничен.
• Попробуйте сменить протокол (например, WireGuard вместо OpenVPN).
• Проверьте, не используется ли раздельное туннелирование для тяжёлых приложений.

VPN работает, но не открываются некоторые сайты:

• Это может быть связано с блокировкой IP-адреса сервера.
• Попробуйте сменить DNS-серверы в конфигурации.
• Используйте протоколы с маскировкой (например, VLESS с Reality).

Ошибка установки Amnezia:

• Убедитесь, что вы используете root-доступ.
• Проверьте, что сервер имеет доступ к интернету.
• Попробуйте переустановить Docker, если ошибка связана с ним.

Не работает Kill Switch:

• Проверьте настройки в приложении.
• Убедитесь, что функция поддерживается на вашей ОС.

Вопросы и ответы