OpenVPN Linux: полное руководство по установке, настройке и безопасному подключению

Что такое OpenVPN и зачем он нужен в Linux

OpenVPN — это свободная реализация технологии виртуальных частных сетей (VPN), которая позволяет создавать защищённые туннели между компьютерами через интернет. В отличие от многих коммерческих VPN-сервисов, OpenVPN даёт полный контроль над инфраструктурой: вы можете развернуть собственный сервер, управлять ключами и сертификатами, а также настраивать параметры шифрования под свои задачи.

В Linux OpenVPN особенно востребован, поскольку эта ОС традиционно используется на серверах и у опытных пользователей, которым важны гибкость и безопасность. С помощью OpenVPN можно:

объединить несколько офисов или удалённых сотрудников в единую защищённую сеть;
получить доступ к корпоративным ресурсам из любой точки мира;
обходить региональные блокировки и ограничения интернет-провайдеров;
защитить трафик при использовании публичных Wi-Fi сетей.

В отличие от проприетарных решений, OpenVPN использует открытые протоколы и стандарты шифрования, что позволяет аудировать его безопасность. Кроме того, он работает практически на любом дистрибутиве Linux, от Ubuntu до CentOS, и может быть настроен как вручную, так и с помощью автоматизированных скриптов.

Подготовка системы к установке OpenVPN

Перед установкой OpenVPN необходимо убедиться, что система готова к работе. В зависимости от дистрибутива набор зависимостей может отличаться.

Для Debian-based систем (Ubuntu, Debian, Linux Mint) потребуется установить компиляторы и библиотеки, необходимые для сборки OpenSSL и OpenVPN из исходников, если вы планируете использовать расширенные возможности, например поддержку эллиптической криптографии (ECC). Базовая установка из репозиториев обычно не требует дополнительных действий.

Для RedHat-based систем (RHEL, CentOS, Fedora) набор пакетов будет иным. Например, для Fedora команда установки зависимостей выглядит так:

# dnf install lzo lzo-devel pam-devel gcc gcc-c++ libcurl curl perl

Важно понимать, что стандартные репозитории большинства дистрибутивов содержат готовые пакеты OpenVPN, которые подходят для большинства сценариев. Однако если вам нужна поддержка ECC или другие специфические возможности, может потребоваться сборка из исходников.

Также перед началом работы стоит проверить, доступен ли в системе интерфейс TUN, который необходим для создания виртуального сетевого адаптера. В некоторых виртуальных средах TUN может быть отключён, и его нужно включить в настройках гипервизора.

Установка OpenVPN из репозиториев

Самый простой способ установить OpenVPN в Linux — воспользоваться менеджером пакетов вашего дистрибутива. Это гарантирует совместимость с системой и упрощает обновления.

Для Debian-based систем (Ubuntu, Debian, Linux Mint) выполните:

sudo apt-get install openvpn

Для RedHat-based систем (RHEL, CentOS, Fedora) используйте:

# dnf install openvpn

После установки OpenVPN обычно не создаёт конфигурационных файлов, поскольку они зависят от того, будет ли машина использоваться как сервер или как клиент. Примеры конфигураций можно найти в каталоге /usr/share/doc/openvpn/examples/sample-config-files/.

Если вы планируете использовать OpenVPN для подключения к коммерческому VPN-сервису, например DeepWebVPN, то установки пакета из репозитория будет достаточно для работы с RSA-конфигурациями. Однако для поддержки ECC-конфигураций может потребоваться сборка OpenVPN с библиотекой Mbed TLS, как описано в следующем разделе.

Сборка OpenVPN с поддержкой ECC

Эллиптическая криптография (ECC) обеспечивает более высокую безопасность при меньшей длине ключей по сравнению с RSA. Некоторые VPN-провайдеры предлагают конфигурации, использующие ECC, и для их поддержки может потребоваться специальная сборка OpenVPN.

Стандартный пакет OpenVPN из репозиториев обычно компилируется с библиотекой OpenSSL, которая может не поддерживать все алгоритмы ECC, используемые провайдером. В этом случае необходимо собрать OpenVPN с библиотекой Mbed TLS.

Процесс сборки включает несколько этапов:

Установка зависимостей (как описано в разделе подготовки).
Скачивание и установка OpenSSL (если требуется обновление).
Скачивание и установка Mbed TLS.
Скачивание исходного кода OpenVPN и его компиляция с флагом --with-crypto-library=mbedtls.

Например, для OpenVPN 2.5.8 команда сборки выглядит так:

# cd openvpn-2.5.8 && ./configure --with-crypto-library=mbedtls && make && make install

После сборки стоит проверить, что OpenVPN действительно использует Mbed TLS, выполнив команду openvpn --version. В выводе должно быть указано [SSL (mbed TLS)].

Важно отметить, что сборка из исходников требует определённых навыков и может быть нестабильной на некоторых дистрибутивах. Поэтому, если у вас нет явной необходимости в ECC, рекомендуется использовать стандартные пакеты.

Настройка сервера OpenVPN вручную

Ручная настройка сервера OpenVPN даёт максимальный контроль над параметрами, но требует понимания принципов работы VPN и управления сертификатами.

Основные шаги:

Установка OpenVPN и Easy-RSA (инструмент для управления сертификатами):

   sudo apt install openvpn easy-rsa

Создание центра сертификации (ЦС). ЦС используется для подписи сертификатов клиентов и сервера. Рекомендуется размещать ЦС на отдельной машине, но для небольших сетей можно использовать тот же сервер.

   sudo mkdir /etc/openvpn/easy-rsa
   sudo cp -R /usr/share/easy-rsa /etc/openvpn/easy-rsa
   cd /etc/openvpn/easy-rsa
   source ./vars
   ./clean-all
   ./build-ca

Генерация серверных ключей и сертификатов:

   ./build-key-server server
   ./build-dh

Создание конфигурационного файла сервера /etc/openvpn/server.conf. Минимальная конфигурация может выглядеть так:

   port 1194
   proto udp
   dev tun
   ca /etc/openvpn/easy-rsa/keys/ca.crt
   cert /etc/openvpn/easy-rsa/keys/server.crt
   key /etc/openvpn/easy-rsa/keys/server.key
   dh /etc/openvpn/easy-rsa/keys/dh.pem
   server 10.8.0.0 255.255.255.0
   topology subnet

Запуск сервера:

   openvpn /etc/openvpn/server.conf

После запуска сервер будет ожидать подключения клиентов. Для обеспечения доступа клиентов в интернет через VPN необходимо настроить форвардинг пакетов и правила iptables (см. раздел о маршрутизации).

Настройка клиента OpenVPN

Клиентская настройка OpenVPN зависит от того, подключаетесь ли вы к собственному серверу или к коммерческому VPN-сервису.

Подключение к собственному серверу:

Установите OpenVPN на клиентскую машину.
Скопируйте с сервера файлы ca.crt, а также созданные для клиента сертификат и ключ (например, client.crt и client.key).
Создайте конфигурационный файл клиента, например /etc/openvpn/client.conf:

   client
   dev tun
   proto udp
   remote 194.67.215.125 1194
   resolv-retry infinite
   nobind
   persist-key
   persist-tun
   ca /etc/openvpn/keys/ca.crt
   cert /etc/openvpn/keys/client.crt
   key /etc/openvpn/keys/client.key
   verb 3

Запустите клиент:

   openvpn /etc/openvpn/client.conf

Подключение к коммерческому VPN-сервису:

Большинство провайдеров предоставляют готовые конфигурационные файлы (.ovpn). Вам нужно только:

Скачать файл конфигурации.
Поместить его в /etc/openvpn/ (или использовать путь напрямую).
Запустить подключение:

   openvpn --config /path/to/config.ovpn

При подключении к коммерческому сервису OpenVPN может запросить имя пользователя и пароль. Обычно они совпадают с данными учётной записи на сайте провайдера.

Автоматизация настройки с помощью скрипта openvpn-install

Для тех, кто не хочет вручную разбираться с сертификатами и конфигурациями, существует скрипт openvpn-install, который автоматизирует процесс установки и настройки сервера OpenVPN. Этот скрипт особенно полезен для новичков и позволяет развернуть рабочий VPN-сервер за несколько минут.

Скрипт доступен по адресу https://git.io/vpn. Для его использования выполните:

wget https://git.io/vpn -O openvpn-install.sh
bash openvpn-install.sh

Скрипт задаст несколько вопросов:

IP-адрес вашего сервера (обычно это публичный IP VPS);
протокол (UDP или TCP);
порт (по умолчанию 1194);
DNS-серверы (например, Google Public DNS);
имя первого клиента.

После ответов скрипт установит все необходимые пакеты, создаст центр сертификации, сгенерирует ключи и сертификаты, настроит сервер и добавит его в автозагрузку. В результате будет создан файл конфигурации для клиента (например, /root/client-name.ovpn), который нужно скопировать на клиентскую машину.

Для добавления новых клиентов достаточно запустить скрипт повторно и выбрать соответствующую опцию. Это значительно упрощает управление пользователями.

Однако стоит учитывать, что скрипт может быть чувствителен к версии ОС. Например, некоторые версии скрипта отказываются работать на Linux Mint, считая его слишком старым. В таких случаях можно отредактировать скрипт, закомментировав проверку версии, но это требует осторожности.

Настройка маршрутизации и межсетевого экрана

Чтобы клиенты VPN могли не только подключаться к серверу, но и выходить в интернет через туннель, необходимо настроить форвардинг пакетов и правила межсетевого экрана.

Включение форвардинга:

На сервере Linux выполните:

sysctl -w net.ipv4.ip_forward=1

Для постоянного включения добавьте строку net.ipv4.ip_forward=1 в файл /etc/sysctl.conf.

Правила iptables:

Разрешите входящие подключения к порту OpenVPN (по умолчанию 1194 UDP):

iptables -A INPUT -p udp --dport 1194 -j ACCEPT

Разрешите пересылку пакетов между интерфейсом VPN (tun0) и внешним сетевым интерфейсом (например, eth0):

iptables -I FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -I FORWARD -i eth0 -o tun0 -j ACCEPT

Включите NAT (маскарадинг), чтобы клиенты могли выходить в интернет:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Эти правила необходимо сохранить, чтобы они пережили перезагрузку. В зависимости от дистрибутива это можно сделать с помощью iptables-save или утилит типа firewalld.

Важно помнить, что если на сервере действует строгая политика межсетевого экрана, нужно убедиться, что правила не блокируют трафик VPN. Также стоит проверить, что интерфейс tun0 правильно создаётся при запуске OpenVPN.

Решение типичных проблем при работе с OpenVPN

При использовании OpenVPN пользователи часто сталкиваются с рядом типичных проблем. Рассмотрим наиболее распространённые.

1. Не открываются некоторые сайты после подключения.

Это может быть связано с проблемами MTU (максимального размера пакета). Попробуйте уменьшить MTU в конфигурации клиента или сервера, добавив строку mssfix 1400 или tun-mtu 1400.

2. Ошибка "Unrecognized option" при запуске конфигурации.

Эта ошибка возникает, когда конфигурационный файл содержит опции, не поддерживаемые установленной версией OpenVPN. Например, опция tls-crypt появилась в OpenVPN 2.4, и если у вас установлена версия 2.3, она не будет распознана. Решение — обновить OpenVPN или удалить неподдерживаемые опции.

3. Ошибка "The system does not have the TUN device available".

Это означает, что в системе (или виртуальной машине) не включён интерфейс TUN. Включите его в настройках гипервизора или загрузите модуль ядра tun командой modprobe tun.

4. Нет доступа в интернет после подключения.

Проверьте, настроен ли форвардинг и правила iptables на сервере. Также убедитесь, что DNS-серверы, указанные в конфигурации, доступны.

5. Проблемы с подключением из-за несовместимости версий.

Если клиент и сервер используют разные версии OpenVPN, могут возникать ошибки при согласовании параметров. Старайтесь использовать одинаковые или совместимые версии.

6. Не удаётся подключиться к коммерческому VPN-сервису.

Убедитесь, что вы используете правильные учётные данные и что конфигурационный файл соответствует вашей подписке. Некоторые провайдеры требуют специальные клиенты, но большинство поддерживают стандартный OpenVPN.

Сравнение OpenVPN с другими VPN-решениями и рекомендации

OpenVPN — не единственная технология для создания VPN в Linux. Существуют также WireGuard, IPsec и другие. У каждого решения есть свои сильные и слабые стороны.

OpenVPN:

Высокая гибкость и настраиваемость;
Поддержка большого количества алгоритмов шифрования;
Работает через UDP и TCP, что позволяет обходить некоторые блокировки;
Более сложен в настройке по сравнению с WireGuard.

WireGuard:

Проще в настройке и быстрее работает;
Использует современную криптографию;
Меньше возможностей для обхода блокировок (только UDP).

IPsec:

Широко используется в корпоративной среде;
Сложен в настройке;
Может быть заблокирован провайдерами.

Выбор зависит от ваших задач. Если вам нужен максимальный контроль и совместимость, OpenVPN — отличный выбор. Если важна простота и производительность, стоит рассмотреть WireGuard.

Для пользователей, которые не хотят разворачивать собственный сервер, существуют коммерческие VPN-сервисы, предоставляющие готовые конфигурации для OpenVPN. Они удобны, но требуют доверия к провайдеру.

В любом случае, при использовании VPN важно помнить о безопасности: храните ключи и сертификаты в защищённом месте, регулярно обновляйте программное обеспечение и используйте надёжные пароли.

Вопросы и ответы

Как установить OpenVPN в Ubuntu?

Для установки OpenVPN в Ubuntu выполните команду sudo apt-get install openvpn. После этого вы можете использовать OpenVPN как клиент или сервер. Для настройки сервера также потребуется установить пакет easy-rsa для управления сертификатами.

Что такое ECC в OpenVPN и зачем это нужно?

ECC (Elliptic Curve Cryptography) — это метод шифрования на основе эллиптических кривых. Он обеспечивает более высокую безопасность при меньшей длине ключей по сравнению с RSA. Некоторые VPN-провайдеры используют ECC в своих конфигурациях, и для их поддержки может потребоваться сборка OpenVPN с библиотекой Mbed TLS.

Как добавить нового клиента к существующему серверу OpenVPN?

Если вы использовали скрипт openvpn-install, просто запустите его повторно и выберите опцию добавления нового клиента. При ручной настройке необходимо сгенерировать ключи и сертификат для нового клиента с помощью Easy-RSA, подписать их на сервере и передать клиенту.

Почему после подключения к OpenVPN не открываются некоторые сайты?

Это может быть связано с проблемами MTU (максимального размера пакета). Попробуйте добавить в конфигурацию клиента или сервера параметр mssfix 1400 или уменьшить tun-mtu. Также проверьте настройки DNS.

Как настроить автозапуск OpenVPN при загрузке системы?

В большинстве дистрибутивов с systemd можно включить автозапуск сервиса командой systemctl enable openvpn@server (для сервера) или systemctl enable openvpn@client (для клиента). Убедитесь, что конфигурационный файл имеет соответствующее имя в /etc/openvpn/.

Чем OpenVPN отличается от WireGuard?

OpenVPN более гибок и поддерживает больше алгоритмов шифрования, работает через UDP и TCP, что помогает обходить блокировки. WireGuard проще в настройке, быстрее работает, но использует только UDP и менее гибок. Выбор зависит от ваших задач.

Можно ли использовать OpenVPN для обхода блокировок в России?

OpenVPN может помочь обойти некоторые блокировки, особенно если использовать TCP-протокол и нестандартные порты. Однако эффективность зависит от конкретных ограничений и методов блокировки. Некоторые провайдеры могут блокировать OpenVPN-трафик, поэтому могут потребоваться дополнительные меры, такие как использование скрытых туннелей.