Установка и настройка OpenVPN Server на VPS: развёртывание корпоративного VPN-сервера

Что мы настраиваем и зачем

В этом руководстве мы будем настраивать OpenVPN сервер на виртуальном частном сервере (VPS). OpenVPN — это надёжное и гибкое решение для создания виртуальных частных сетей (VPN), которое широко используется для обеспечения безопасного удалённого доступа к корпоративным ресурсам, защиты трафика от перехвата и обхода географических ограничений.

Основная задача, которую мы решаем, — это развёртывание корпоративного VPN-сервера. Это позволит вашим сотрудникам безопасно подключаться к внутренней сети компании из любой точки мира, как если бы они находились в офисе. Весь трафик между клиентским устройством и сервером будет зашифрован, что предотвратит несанкционированный доступ к конфиденциальным данным.

В итоге читатель получит полностью функционирующий OpenVPN сервер, способный принимать подключения от множества клиентов, с настроенным шифрованием, аутентификацией и правилами маршрутизации. Мы покроем все этапы: от подготовки сервера до создания клиентских конфигураций и рекомендаций по обслуживанию.

Альтернативы и почему Self-Hosted на VPS

Существует несколько подходов к организации VPN:

• Облачные управляемые VPN-сервисы (Cloud-Managed VPN): Такие провайдеры, как AWS VPN Client, Google Cloud VPN или Azure VPN Gateway, предлагают готовые решения. Они удобны в управлении, масштабируемы и не требуют глубоких знаний в настройке. Однако они могут быть дороже, предлагают меньше гибкости в кастомизации и вы зависите от политики и инфраструктуры стороннего провайдера.
• Другие Self-Hosted решения:
  • WireGuard: Современный, быстрый и простой в настройке протокол VPN. Имеет меньшую кодовую базу, что теоретически повышает безопасность. Отлично подходит для простых сценариев и высокой производительности.
  • IPsec/IKEv2: Часто используется в корпоративных сетях, поддерживается большинством операционных систем. Более сложен в настройке, но предлагает высокую степень безопасности и производительности.
  • SoftEther VPN: Многопротокольный VPN-сервер, поддерживающий OpenVPN, L2TP/IPsec, MS-SSTP, EtherIP и SoftEther VPN протоколы.

Почему Self-Hosted OpenVPN на VPS?

Выбор OpenVPN на VPS оправдан по нескольким причинам:

• Полный контроль: Вы полностью контролируете сервер, его конфигурацию, данные и безопасность. Это критически важно для корпоративных данных и соблюдения политик конфиденциальности.
• Экономичность: Стоимость аренды VPS обычно значительно ниже, чем ежемесячные платежи за управляемые облачные VPN-сервисы, особенно при небольшом или среднем количестве пользователей.
• Гибкость и кастомизация: OpenVPN чрезвычайно гибок. Вы можете настроить его под любые специфические требования вашей сети, использовать различные методы аутентификации (сертификаты, логин/пароль, PAM), маршрутизацию и многое другое.
• Проверенная надёжность: OpenVPN существует уже много лет, имеет огромное сообщество и считается одним из самых надёжных и безопасных VPN-протоколов. Его безопасность была многократно проверена и подтверждена.
• Кроссплатформенность: Клиенты OpenVPN доступны практически для всех операционных систем (Windows, macOS, Linux, Android, iOS), что упрощает подключение сотрудников с любыми устройствами.

Настройка OpenVPN на VPS — это идеальный баланс между контролем, безопасностью, гибкостью и стоимостью для большинства малых и средних компаний, а также для индивидуальных пользователей, которым нужна надёжная защита.

Какой VPS-конфиг нужен под эту задачу

Выбор правильного VPS-конфига является ключевым для обеспечения стабильной и производительной работы OpenVPN сервера. Требования зависят от предполагаемого количества одновременных пользователей, объёма передаваемого трафика и интенсивности его использования.

Минимальные требования для OpenVPN сервера (до 10-20 пользователей)

• CPU: 1 ядро (x86-64). OpenVPN не является сильно процессорозависимым, но шифрование требует некоторой мощности. Современные процессоры с инструкциями AES-NI значительно ускоряют процесс.
• RAM: 512 МБ - 1 ГБ. Для самой операционной системы и OpenVPN этого будет достаточно. При большом количестве клиентов или интенсивном логировании может потребоваться больше.
• Диск: 10-20 ГБ SSD. SSD значительно ускоряет работу ОС и чтение/запись логов. Основное пространство займёт ОС, сам OpenVPN и его конфигурации занимают очень мало места.
• Сеть: 100 Мбит/с с неограниченным трафиком (или очень большим лимитом). Пропускная способность сети — это основной фактор для VPN. Убедитесь, что ваш тарифный план не имеет жёстких ограничений по трафику или скорости.

Рекомендуемый VPS-план для корпоративного использования (20-50+ пользователей)

Для более серьёзного корпоративного использования, где требуется стабильность и высокая пропускная способность для большего числа пользователей, рекомендуется следующий конфиг:

• CPU: 2 vCPU (виртуальных ядра).
• RAM: 2 ГБ - 4 ГБ. Это обеспечит запас для операционной системы, OpenVPN и потенциальных дополнительных сервисов (мониторинг, расширенные логи).
• Диск: 40 ГБ - 80 ГБ SSD. Достаточно для ОС, логов, бэкапов и других утилит.
• Сеть: 1 Гбит/с с неограниченным трафиком. Это критически важно для обеспечения высокой скорости передачи данных для всех подключенных клиентов.

Для таких характеристик можно рассмотреть VPS с указанными характеристиками.

Когда нужен Dedicated Server, а не VPS

Dedicated server (выделенный сервер) становится необходим, когда:

• Очень большое количество пользователей: Более 100-200 одновременно подключённых клиентов, активно использующих VPN.
• Экстремально высокая пропускная способность: Если VPN используется для передачи очень больших объёмов данных (например, стриминг видео, большие файловые обмены) на постоянной основе, и 1 Гбит/с на VPS становится недостаточно.
• Специфические требования к безопасности или железу: Если вам нужен физический контроль над оборудованием, специальные аппаратные модули безопасности (HSM) или очень высокая производительность дисковой подсистемы.
• Гарантированная производительность: На выделенном сервере вы не делите ресурсы с другими пользователями, что даёт предсказуемую и стабильную производительность.

Для этих сценариев можно рассмотреть подходящий dedicated.

Локация VPS: на что влияет

Выбор локации VPS имеет существенное значение:

• Задержка (Latency): Чем ближе сервер к большинству ваших пользователей, тем ниже будет задержка (пинг), что напрямую влияет на скорость отклика и общий комфорт работы. Для корпоративного VPN выбирайте локацию, максимально близкую к основному местоположению ваших сотрудников.
• Законодательство: Законы о хранении данных и конфиденциальности информации различаются в разных странах. Убедитесь, что выбранная локация соответствует требованиям вашей компании и применимым нормативным актам (например, GDPR).
• Доступность и пропускная способность: Некоторые регионы имеют лучшую сетевую инфраструктуру и более высокую пропускную способность до других частей света.

Всегда выбирайте локацию, которая оптимизирует производительность для ваших пользователей и соответствует вашим юридическим требованиям.

Подготовка сервера

Прежде чем приступить к установке OpenVPN, необходимо выполнить первоначальную настройку вашего VPS для обеспечения безопасности и стабильности. Мы будем использовать Ubuntu 24.04 LTS (Noble Numbat) как основу, так как это актуальная и поддерживаемая версия на 2026 год.

1. Подключение к серверу

Подключитесь к вашему VPS по SSH, используя предоставленные провайдером данные (обычно логин root и пароль или SSH-ключ).

ssh root@ВАШ_IP_АДРЕС_VPS

2. Обновление системы

Первым делом обновите список пакетов и установленные пакеты до последних версий. Это обеспечит наличие всех актуальных исправлений безопасности и стабильности.

sudo apt update && sudo apt upgrade -y

Если ядро или другие критические компоненты были обновлены, может потребоваться перезагрузка:

sudo reboot

После перезагрузки переподключитесь к серверу.

3. Создание нового пользователя с правами sudo

Работа под пользователем root небезопасна. Создадим нового пользователя и дадим ему права sudo.

# Замените 'ваш_пользователь' на желаемое имя пользователя
sudo adduser ваш_пользователь

Следуйте инструкциям, чтобы установить пароль и заполнить (или пропустить) дополнительную информацию.

Добавьте нового пользователя в группу sudo, чтобы он мог выполнять команды с правами администратора:

sudo usermod -aG sudo ваш_пользователь

Теперь выйдите из сессии root и войдите под новым пользователем:

exit
ssh ваш_пользователь@ВАШ_IP_АДРЕС_VPS

4. Настройка SSH-ключей (рекомендуется)

Для повышения безопасности рекомендуется использовать SSH-ключи вместо паролей. Если у вас ещё нет пары SSH-ключей, сгенерируйте их на вашем локальном компьютере:

# На вашем локальном компьютере
ssh-keygen -t rsa -b 4096 -C "ваш[email protected]"

Скопируйте публичный ключ на сервер:

# На вашем локальном компьютере
ssh-copy-id ваш_пользователь@ВАШ_IP_АДРЕС_VPS

Если ssh-copy-id недоступен, скопируйте ключ вручную:

# На вашем локальном компьютере
cat ~/.ssh/id_rsa.pub

Затем на сервере (под вашим новым пользователем):

mkdir -p ~/.ssh
chmod 700 ~/.ssh
nano ~/.ssh/authorized_keys

Вставьте скопированный публичный ключ в файл authorized_keys, сохраните и закройте. Установите правильные права:

chmod 600 ~/.ssh/authorized_keys

Теперь вы можете отключить аутентификацию по паролю для SSH (опционально, но рекомендуется). Отредактируйте файл конфигурации SSH-демона:

sudo nano /etc/ssh/sshd_config

Найдите и измените следующие строки (или добавьте, если отсутствуют):

# Отключить вход для root (если вы создали пользователя)
PermitRootLogin no
# Отключить аутентификацию по паролю (после проверки входа по ключу!)
PasswordAuthentication no
# Разрешить аутентификацию по ключу
PubkeyAuthentication yes

Перезапустите SSH-сервис:

sudo systemctl restart sshd

ВАЖНО: Прежде чем выходить из текущей сессии, откройте новую терминальную сессию и убедитесь, что вы можете войти с помощью SSH-ключа под новым пользователем. Если что-то пойдёт не так, у вас всё ещё будет открыта старая сессия для исправления ошибок.

5. Настройка брандмауэра (UFW)

UFW (Uncomplicated Firewall) — это удобная оболочка для iptables. Настроим его для базовой защиты сервера.

sudo apt install ufw -y

Разрешите SSH-подключения (по умолчанию порт 22). Если вы используете другой порт для SSH, укажите его:

sudo ufw allow OpenSSH
# Или, если вы изменили порт SSH на, например, 2222:
# sudo ufw allow 2222/tcp

Разрешите подключения для OpenVPN. По умолчанию OpenVPN использует UDP порт 1194. Мы будем использовать этот порт.

sudo ufw allow 1194/udp

Включите UFW:

sudo ufw enable

Подтвердите действие, введя y. Проверьте статус брандмауэра:

sudo ufw status verbose

6. Установка Fail2ban

Fail2ban сканирует файлы логов на предмет подозрительной активности (например, неудачных попыток входа по SSH) и блокирует IP-адреса злоумышленников с помощью правил брандмауэра.

sudo apt install fail2ban -y

Создайте копию конфигурационного файла по умолчанию, чтобы не потерять изменения при обновлениях:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Отредактируйте jail.local, чтобы настроить параметры. Для большинства случаев настройки по умолчанию для SSH (секция [sshd]) достаточно, но вы можете изменить bantime (время блокировки) и findtime (период для обнаружения попыток) по желанию.

sudo nano /etc/fail2ban/jail.local

Убедитесь, что секция [sshd] имеет enabled = true:

[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

Перезапустите Fail2ban:

sudo systemctl restart fail2ban
sudo systemctl enable fail2ban

Проверьте статус:

sudo systemctl status fail2ban
sudo fail2ban-client status sshd

Теперь ваш сервер надёжно подготовлен к установке OpenVPN.

Установка ПО — пошагово

В этом разделе мы установим OpenVPN и Easy-RSA, а затем настроим инфраструктуру открытых ключей (PKI) для безопасной аутентификации. Мы будем использовать Easy-RSA версии 3.x, которая является актуальной на 2026 год и обеспечивает надёжное управление сертификатами.

1. Установка OpenVPN и Easy-RSA

Установим необходимые пакеты из официальных репозиториев Ubuntu 24.04 LTS.

# Обновляем список пакетов
sudo apt update
# Устанавливаем OpenVPN и Easy-RSA
sudo apt install openvpn easy-rsa -y

На момент 2026 года, вероятнее всего, будет доступна OpenVPN версии 2.6.x или новее, и Easy-RSA 3.x.

2. Подготовка PKI с Easy-RSA

Easy-RSA — это набор скриптов для создания и управления инфраструктурой открытых ключей (PKI), которая необходима для OpenVPN. Все сертификаты и ключи будут храниться в отдельной директории.

# Создаём директорию для PKI
sudo make-cadir /etc/openvpn/easy-rsa
# Переходим в директорию Easy-RSA
cd /etc/openvpn/easy-rsa

3. Инициализация PKI

Инициализируем PKI. Это создаст необходимые поддиректории и файлы.

# Инициализация PKI
sudo ./easyrsa init-pki

4. Создание Центра сертификации (CA)

Центр сертификации (Certificate Authority, CA) — это корневой сертификат, который будет подписывать все остальные сертификаты (сервера и клиентов). Он является основой доверия в вашей VPN-сети.

# Создаём CA. При запросе Common Name (CN) введите что-то осмысленное, например "Corporate OpenVPN CA"
sudo ./easyrsa build-ca nopass

nopass означает, что для корневого ключа не будет установлен пароль. Для максимальной безопасности можно установить пароль, но тогда его придётся вводить при каждом действии с CA.

5. Генерация сертификата и ключа сервера

Теперь создадим запрос на сертификат для нашего OpenVPN сервера, подпишем его с помощью CA и сгенерируем ключ.

# Генерируем запрос на сертификат сервера. При запросе Common Name (CN) введите "server"
sudo ./easyrsa gen-req server nopass
# Подписываем запрос сертификата сервера с помощью CA
sudo ./easyrsa sign-req server server

При запросе подтверждения введите yes.

6. Генерация параметров Диффи-Хеллмана (DH)

Параметры Диффи-Хеллмана используются для безопасного обмена ключами между сервером и клиентами. Этот процесс может занять некоторое время (до нескольких минут в зависимости от мощности вашего VPS).

# Генерируем параметры Диффи-Хеллмана
sudo ./easyrsa gen-dh

7. Создание ключа HMAC (tls-auth)

Ключ HMAC (или tls-auth) добавляет дополнительный уровень безопасности, защищая TLS-рукопожатие от атак типа "отказ в обслуживании" (DoS) и сканирования портов. Он используется для предварительной аутентификации пакетов.

# Генерируем ключ HMAC
openvpn --genkey --secret /etc/openvpn/easy-rsa/pki/ta.key

8. Копирование файлов PKI на сервер OpenVPN

Переместим все сгенерированные файлы, необходимые для работы OpenVPN сервера, в его конфигурационную директорию.

# Создаём директорию для серверных конфигов OpenVPN
sudo mkdir -p /etc/openvpn/server
# Копируем CA-сертификат
sudo cp pki/ca.crt /etc/openvpn/server/
# Копируем серверный сертификат и ключ
sudo cp pki/issued/server.crt /etc/openvpn/server/
sudo cp pki/private/server.key /etc/openvpn/server/
# Копируем параметры Диффи-Хеллмана
sudo cp pki/dh.pem /etc/openvpn/server/dh.pem
# Копируем ключ HMAC
sudo cp pki/ta.key /etc/openvpn/server/ta.key

9. Генерация сертификата и ключа клиента (пример для одного клиента)

Для каждого клиента, который будет подключаться к VPN, необходимо сгенерировать уникальную пару сертификат/ключ. Здесь мы покажем пример для одного клиента с именем client1.

# Генерируем запрос на сертификат клиента. При запросе Common Name (CN) введите "client1"
sudo ./easyrsa gen-req client1 nopass
# Подписываем запрос сертификата клиента с помощью CA
sudo ./easyrsa sign-req client client1

При запросе подтверждения введите yes. Эти файлы (client1.crt, client1.key, ca.crt, ta.key) понадобятся клиенту для подключения. Мы соберём их в один файл .ovpn позже.

На этом этапе основные компоненты OpenVPN установлены, а PKI настроена. Теперь перейдём к конфигурации самого сервера.

Конфигурация

После установки OpenVPN и генерации всех необходимых ключей и сертификатов, следующим шагом является настройка серверного конфигурационного файла, правил маршрутизации и брандмауэра.

1. Создание конфигурационного файла сервера OpenVPN

Создадим файл server.conf в директории /etc/openvpn/server/. Этот файл будет определять, как работает ваш OpenVPN сервер.

sudo nano /etc/openvpn/server/server.conf

Вставьте следующее содержимое. Это хорошо сбалансированный конфиг для большинства корпоративных нужд. Комментарии поясняют каждую опцию.

# Указываем, что это сервер
port 1194
proto udp
dev tun

# Файлы CA, сертификата сервера, ключа сервера
ca ca.crt
cert server.crt
key server.key
# Параметры Диффи-Хеллмана
dh dh.pem
# Ключ HMAC для защиты от DoS-атак и сканирования портов
tls-auth ta.key 0

# Диапазон IP-адресов, из которого OpenVPN будет выдавать адреса клиентам
# Важно: этот диапазон не должен пересекаться с вашей локальной сетью
server 10.8.0.0 255.255.255.0

# Перенаправлять весь трафик клиентов через VPN.
# Если вы хотите, чтобы клиенты имели доступ только к вашей корпоративной сети,
# но не использовали VPN для всего интернет-трафика, закомментируйте эту строку.
push "redirect-gateway def1 bypass-dhcp"

# DNS-серверы, которые будут использоваться клиентами.
# Здесь указаны публичные DNS от Cloudflare и Google.
# Можно указать внутренние DNS вашей корпоративной сети.
push "dhcp-option DNS 1.1.1.1"
push "dhcp-option DNS 8.8.8.8"

# Разрешает клиентам видеть друг друга (необходимо, если вы хотите,
# чтобы клиенты взаимодействовали между собой через VPN)
client-to-client

# Сохраняет состояние ключей и устройства tun/tap при перезапусках,
# что помогает избежать разрывов соединения при кратковременных проблемах.
keepalive 10 120
persist-key
persist-tun

# Тип шифрования и аутентификации. AES-256-GCM - современный и безопасный.
# SHA256 - для хэширования.
cipher AES-256-GCM
auth SHA256

# Сжатие данных (lz4-v2 - современный и эффективный).
# Если у вас есть проблемы с производительностью, попробуйте закомментировать эту строку.
compress lz4-v2

# Отключает привилегии root после запуска
user nobody
group nogroup

# Отзыв сертификатов (Certificate Revocation List).
# Необходимо для отзыва скомпрометированных или устаревших клиентских сертификатов.
# Создадим этот файл позже.
crl-verify crl.pem

# Подробность логов (0-9). 3 - хороший баланс для отладки.
verb 3
# Файл статуса и логов
status /var/log/openvpn-status.log
log /var/log/openvpn.log

Сохраните файл (Ctrl+O, Enter, Ctrl+X).

2. Включение перенаправления IP (IP Forwarding)

Чтобы OpenVPN мог маршрутизировать трафик между клиентами и интернетом (или вашей внутренней сетью), необходимо включить перенаправление IP на сервере.

sudo nano /etc/sysctl.conf

Найдите строку #net.ipv4.ip_forward=1, раскомментируйте её (удалите #) или добавьте, если её нет:

net.ipv4.ip_forward=1

Примените изменения без перезагрузки:

sudo sysctl -p

3. Настройка правил NAT (Masquerading) для UFW

Для того чтобы клиенты OpenVPN могли выходить в интернет через ваш VPS, необходимо настроить NAT (Network Address Translation) или "маскарадинг". UFW по умолчанию не поддерживает NAT напрямую, поэтому мы отредактируем его конфигурационные файлы.

Сначала узнайте имя вашего основного сетевого интерфейса. Обычно это eth0 или ens3.

ip a

В выводе найдите интерфейс, который имеет ваш публичный IP-адрес (например, eth0).

# Замените 'eth0' на имя вашего основного сетевого интерфейса
sudo nano /etc/ufw/before.rules

Добавьте следующие строки в самое начало файла, перед строкой filter:

# START OPENVPN RULES
# Allow traffic from OpenVPN client to eth0 (replace eth0 with your main network interface)
nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
COMMIT
# END OPENVPN RULES

Не забудьте заменить eth0 на имя вашего основного сетевого интерфейса, если оно другое. 10.8.0.0/24 — это подсеть OpenVPN, которую мы указали в server.conf.

Теперь отредактируйте файл /etc/default/ufw, чтобы разрешить форвардинг по умолчанию.

sudo nano /etc/default/ufw

Найдите строку DEFAULT_FORWARD_POLICY="DROP" и измените её на:

DEFAULT_FORWARD_POLICY="ACCEPT"

Перезагрузите UFW, чтобы применить все изменения:

sudo ufw disable
sudo ufw enable

Проверьте статус UFW. Теперь в правилах должны отображаться разрешенные порты.

sudo ufw status verbose

4. Запуск и проверка OpenVPN сервера

Теперь, когда все настроено, можно запустить OpenVPN сервер.

# Запускаем сервис OpenVPN, указывая имя нашего конфига (server.conf)
sudo systemctl start openvpn-server@server
# Включаем автозапуск OpenVPN при загрузке системы
sudo systemctl enable openvpn-server@server

Проверьте статус сервиса, чтобы убедиться, что он запущен без ошибок:

sudo systemctl status openvpn-server@server

Вывод должен содержать Active: active (running). Если есть ошибки, проверьте логи:

sudo journalctl -u openvpn-server@server

Также убедитесь, что OpenVPN прослушивает порт 1194 UDP:

sudo ss -tulnp | grep 1194

Вы должны увидеть строку, указывающую на прослушивание порта 1194 процессом OpenVPN.

5. Создание клиентского конфигурационного файла

Для подключения клиентов вам понадобится файл .ovpn, содержащий всю необходимую информацию: сертификаты, ключи и настройки сервера. Создадим скрипт для генерации таких файлов.

sudo nano /etc/openvpn/easy-rsa/generate_client_config.sh

Вставьте следующий скрипт:

#!/bin/bash

# Скрипт для генерации клиентских .ovpn файлов
# Запустите из директории /etc/openvpn/easy-rsa/

if [ -z "$1" ]; then
    echo "Использование: $0 <имя_клиента>"
    exit 1
fi

CLIENT_NAME=$1
OVPN_DIR="/etc/openvpn/client_configs"
EASY_RSA_DIR="/etc/openvpn/easy-rsa"
SERVER_PUBLIC_IP=$(curl -s ifconfig.me) # Получаем публичный IP сервера

mkdir -p "$OVPN_DIR"

# Генерируем клиентский запрос и ключ
cd "$EASY_RSA_DIR" || exit
./easyrsa gen-req "$CLIENT_NAME" nopass
./easyrsa sign-req client "$CLIENT_NAME"

# Собираем все необходимые файлы в один .ovpn
echo "client" > "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "dev tun" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "proto udp" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "remote ${SERVER_PUBLIC_IP} 1194" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "resolv-retry infinite" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "nobind" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "persist-key" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "persist-tun" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "remote-cert-tls server" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "cipher AES-256-GCM" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "auth SHA256" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "compress lz4-v2" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "verb 3" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "explicit-exit-notify 1" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"

echo "" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
cat pki/ca.crt >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"

echo "" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
cat pki/issued/"${CLIENT_NAME}".crt >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"

echo "" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
cat pki/private/"${CLIENT_NAME}".key >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"

echo "" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
cat pki/ta.key >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"
echo "" >> "${OVPN_DIR}/${CLIENT_NAME}.ovpn"

echo "Клиентский файл ${OVPN_DIR}/${CLIENT_NAME}.ovpn успешно создан."
echo "Скопируйте его на клиентское устройство и используйте с OpenVPN клиентом."

Сделайте скрипт исполняемым:

sudo chmod +x /etc/openvpn/easy-rsa/generate_client_config.sh

Теперь вы можете генерировать клиентские файлы .ovpn, выполнив скрипт с именем клиента:

cd /etc/openvpn/easy-rsa
sudo ./generate_client_config.sh client1

После создания файла, его нужно скопировать на клиентское устройство (например, с помощью scp).

# На вашем локальном компьютере
scp ваш_пользователь@ВАШ_IP_АДРЕС_VPS:/etc/openvpn/client_configs/client1.ovpn ~/Downloads/

Теперь вы можете использовать этот файл client1.ovpn с OpenVPN клиентом на вашем устройстве.

6. Проверка работоспособности

Подключитесь к VPN с клиентского устройства, используя сгенерированный файл client1.ovpn. После подключения:

• Проверьте IP-адрес: Откройте сайт типа whatismyip.com. Вы должны увидеть IP-адрес вашего VPS.
• Проверьте маршрутизацию: Попробуйте пингануть какой-нибудь публичный ресурс (например, ping google.com) и внутренние ресурсы, если они доступны через VPN.
• Проверьте DNS: Убедитесь, что используются DNS-серверы, которые вы указали в server.conf (например, 1.1.1.1).

На стороне сервера вы можете проверить активные подключения:

sudo cat /var/log/openvpn-status.log

Это покажет список подключенных клиентов.

Бэкапы и обслуживание

Регулярное резервное копирование и своевременное обслуживание сервера OpenVPN критически важны для обеспечения его надёжности, безопасности и непрерывной работы.

Что бэкапить

Для OpenVPN сервера наиболее важными являются следующие компоненты:

• PKI-директория: /etc/openvpn/easy-rsa/. Содержит ваш Центр Сертификации (CA), все сгенерированные сертификаты и ключи (сервера и клиентов), а также базу данных PKI. Это самый важный компонент, без которого вы не сможете выпускать новые сертификаты или отзывать старые.
• Серверные конфиги: /etc/openvpn/server/. Содержит server.conf, копии ca.crt, server.crt, server.key, dh.pem, ta.key.
• CRL (Certificate Revocation List): /etc/openvpn/server/crl.pem (если вы его создали). Список отозванных сертификатов.
• Клиентские конфиги: /etc/openvpn/client_configs/. Содержит сгенерированные клиентские .ovpn файлы.

Для полного восстановления достаточно иметь бэкап директории /etc/openvpn/.

Простой скрипт автобэкапа

Создадим простой скрипт, который будет архивировать важные директории и сохранять их в безопасное место.

sudo nano /usr/local/bin/backup_openvpn.sh

Вставьте следующее содержимое:

#!/bin/bash

# Директории для бэкапа
BACKUP_DIRS="/etc/openvpn"
# Директория для хранения бэкапов на сервере (можно изменить)
LOCAL_BACKUP_DIR="/var/backups/openvpn"
# Имя архива
TIMESTAMP=$(date +%Y%m%d_%H%M%S)
ARCHIVE_NAME="openvpn_backup_${TIMESTAMP}.tar.gz"

echo "Начинаем бэкап OpenVPN в ${LOCAL_BACKUP_DIR}/${ARCHIVE_NAME}"

# Создаём директорию для бэкапов, если её нет
mkdir -p "$LOCAL_BACKUP_DIR"

# Создаём архив
sudo tar -czf "${LOCAL_BACKUP_DIR}/${ARCHIVE_NAME}" "$BACKUP_DIRS"

# Удаляем старые бэкапы (оставляем только последние 7 дней)
find "$LOCAL_BACKUP_DIR" -type f -name "openvpn_backup_.tar.gz" -mtime +7 -delete

echo "Бэкап завершён. Файл: ${LOCAL_BACKUP_DIR}/${ARCHIVE_NAME}"

# Опционально: скопировать бэкап на удалённый S3 или другой сервер
# Пример для rclone (требует установки и настройки rclone)
# rclone copy "${LOCAL_BACKUP_DIR}/${ARCHIVE_NAME}" "my-s3-remote:openvpn-backups/"

# Пример для SCP на другой VPS (требует настройки SSH-ключей без пароля)
# scp "${LOCAL_BACKUP_DIR}/${ARCHIVE_NAME}" user@another_vps:/path/to/remote/backups/

sudo chmod +x /usr/local/bin/backup_openvpn.sh

sudo crontab -e

0 3    /usr/local/bin/backup_openvpn.sh > /dev/null 2>&1

Сохраните и закройте. Теперь бэкапы будут создаваться автоматически.

Куда складывать бэкапы

Хранить бэкапы на том же сервере, что и исходные данные, небезопасно. В случае выхода из строя VPS, вы потеряете всё. Рекомендуется использовать внешнее хранилище:

• S3-совместимое облачное хранилище: AWS S3, Backblaze B2, DigitalOcean Spaces, MinIO. Это надёжные и масштабируемые решения. Используйте такие утилиты, как rclone для синхронизации.
• Отдельный VPS: Вы можете арендовать небольшой, дешёвый VPS в другой локации специально для хранения бэкапов. Синхронизацию можно настроить через rsync по SSH.
• Локальное хранилище (для малых компаний): Если у вас есть надёжное локальное хранилище (NAS, сервер) с хорошим интернет-каналом, можно настроить scp или rsync для копирования бэкапов туда.

Важно: Всегда шифруйте бэкапы перед отправкой во внешнее хранилище, если оно не предлагает шифрование на стороне сервера (например, с помощью gpg или restic/borg).

Обновления: Rolling vs. Maintenance Window

Поддержание системы и OpenVPN в актуальном состоянии критично для безопасности.

• Rolling Updates (непрерывные обновления):
  • ОС: Для Ubuntu LTS рекомендуется использовать автоматические обновления безопасности.

    
    sudo apt install unattended-upgrades -y
    sudo dpkg-reconfigure --priority=low unattended-upgrades
                        

    Выберите "Yes" для автоматической установки обновлений.
  • OpenVPN: Как правило, OpenVPN обновляется вместе с системой через apt upgrade. Однако, если вы используете сторонние репозитории или компилируете из исходников, вам нужно следить за обновлениями вручную.
• Maintenance Window (окно обслуживания):
  • Для крупных обновлений ОС, изменения версии OpenVPN или других критических компонентов рекомендуется планировать окно обслуживания. Это позволяет протестировать изменения на тестовом сервере, провести бэкап, выполнить обновление и убедиться в работоспособности до того, как пользователи будут затронуты.
  • Обязательно сообщайте пользователям о запланированных окнах обслуживания.

Управление CRL (Certificate Revocation List):

Если сертификат клиента был скомпрометирован или пользователь больше не должен иметь доступ, его сертификат необходимо отозвать. Для этого используется CRL. После отзыва сертификата, CRL нужно обновить и скопировать на сервер OpenVPN.

# Переходим в директорию Easy-RSA
cd /etc/openvpn/easy-rsa
# Отзываем сертификат клиента (например, client1)
sudo ./easyrsa revoke client1
# Генерируем новый CRL
sudo ./easyrsa gen-crl
# Копируем CRL на сервер OpenVPN
sudo cp pki/crl.pem /etc/openvpn/server/
# Перезапускаем OpenVPN, чтобы он загрузил обновлённый CRL
sudo systemctl restart openvpn-server@server

Регулярно проверяйте актуальность CRL и при необходимости обновляйте его.

Troubleshooting + FAQ

В этом разделе мы рассмотрим типичные проблемы, с которыми можно столкнуться при настройке и эксплуатации OpenVPN сервера, а также ответим на часто задаваемые вопросы.

Клиент не может подключиться к VPN-серверу. Что проверять?

Проблема: Клиент OpenVPN пытается подключиться, но соединение не устанавливается или постоянно прерывается.

Что проверить:

1. Доступность сервера: Убедитесь, что ваш VPS доступен из интернета. Попробуйте ping ВАШ_IP_АДРЕС_VPS с локальной машины.
2. Брандмауэр UFW: Проверьте, разрешён ли порт OpenVPN (по умолчанию UDP 1194) в UFW на сервере.

   sudo ufw status verbose

   Убедитесь, что есть правило 1194/udp ALLOW IN Anywhere.
3. Сервис OpenVPN: Проверьте, запущен ли сервис OpenVPN на сервере и нет ли ошибок в его логах.

   sudo systemctl status openvpn-server@server

   sudo journalctl -u openvpn-server@server -f

   Ищите ошибки, связанные с файлами сертификатов, ключей или конфигурации.
4. Конфигурация клиента: Убедитесь, что в клиентском .ovpn файле указан правильный IP-адрес сервера и порт. Проверьте, что все секции (<ca>, <cert>, <key>, <tls-auth>) содержат корректные данные.
5. Синхронизация времени: Большая разница во времени между клиентом и сервером может вызывать проблемы с TLS-рукопожатием. Убедитесь, что время на обеих машинах синхронизировано.

Низкая скорость VPN-соединения. Как диагностировать?

Проблема: Соединение устанавливается, но скорость передачи данных очень низкая.

Что проверить и как фиксить:

1. Нагрузка на VPS: Проверьте загрузку CPU и RAM на вашем VPS. Высокая загрузка может замедлять шифрование.

   top

   или

   htop

   Если CPU постоянно загружен, возможно, ваш VPS недостаточно мощен для текущего количества пользователей.
2. Сетевой канал VPS: Проверьте пропускную способность сетевого канала вашего VPS. Используйте утилиты типа iperf3 для тестирования.

   sudo apt install iperf3 -y

   Запустите iperf3 -s на сервере и iperf3 -c ВАШ_IP_АДРЕС_VPS на клиенте.
3. Шифрование: Убедитесь, что ваш OpenVPN сервер использует современные и быстрые шифры (например, AES-256-GCM). Устаревшие или слишком "тяжёлые" шифры могут замедлять трафик.
4. Сжатие: Если вы используете сжатие (compress lz4-v2), попробуйте его отключить, закомментировав строку в server.conf и перезапустив OpenVPN. В некоторых случаях сжатие может снижать производительность, особенно для уже сжатых данных.
5. Расстояние до сервера: Чем больше физическое расстояние между клиентом и сервером, тем выше задержка и ниже потенциальная пропускная способность.

Нет доступа к интернету или локальной сети за сервером после подключения к VPN.

Проблема: Клиент подключается к VPN, но не может получить доступ к интернету или к ресурсам в корпоративной сети.

Что проверить и как фиксить:

1. IP Forwarding: Убедитесь, что IP-форвардинг включён на сервере.

   sysctl net.ipv4.ip_forward

   Должно быть net.ipv4.ip_forward = 1. Если нет, измените /etc/sysctl.conf и выполните sudo sysctl -p.
2. Правила NAT/Masquerading: Проверьте правила NAT в /etc/ufw/before.rules. Убедитесь, что строка -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE присутствует и eth0 заменён на ваш реальный сетевой интерфейс. После изменений перезапустите UFW.
3. DHCP Options (DNS/Routes): Убедитесь, что в server.conf правильно настроены push "redirect-gateway def1 bypass-dhcp" (для всего трафика) и push "dhcp-option DNS ...".
4. UFW для исходящего трафика: Убедитесь, что DEFAULT_FORWARD_POLICY="ACCEPT" в /etc/default/ufw.
5. Маршруты к внутренней сети: Если вам нужен доступ к внутренней корпоративной сети, а не только к интернету, вам нужно добавить соответствующие push "route X.X.X.X Y.Y.Y.Y" в server.conf и убедиться, что сервер OpenVPN имеет маршрут к этой внутренней сети.

Какой VPS-конфиг минимально подойдёт для OpenVPN сервера?

Минимально для OpenVPN сервера, обслуживающего до 10-20 пользователей, подойдёт VPS с 1 vCPU, 512 МБ - 1 ГБ оперативной памяти, 10-20 ГБ SSD диска и сетевым каналом от 100 Мбит/с с неограниченным трафиком. Этого будет достаточно для базовых задач и невысокой нагрузки.

Что выбрать — VPS или dedicated для этой задачи?

Выбор между VPS и выделенным сервером зависит от масштаба вашей задачи:

• VPS: Идеален для большинства корпоративных нужд (до 50-100 пользователей), если вам не требуется максимальная производительность или специфическое оборудование. Это более экономичное и гибкое решение, подходящее для быстрого развёртывания.
• Dedicated Server: Необходим для очень большого количества пользователей (более 100-200), крайне высокой пропускной способности (несколько Гбит/с), строгих требований к физическому контролю оборудования или если вам нужна гарантированная производительность без влияния "соседей" по гипервизору.

Как добавить нового пользователя в OpenVPN?

Для добавления нового пользователя необходимо сгенерировать новую пару сертификат/ключ и собрать клиентский .ovpn файл. Вы можете использовать скрипт generate_client_config.sh, который мы создали ранее:

cd /etc/openvpn/easy-rsa
sudo ./generate_client_config.sh имя_нового_клиента
    

Затем скопируйте сгенерированный файл /etc/openvpn/client_configs/имя_нового_клиента.ovpn на устройство нового пользователя.

Как отозвать сертификат пользователя?

Если сертификат пользователя скомпрометирован или пользователь больше не должен иметь доступ к VPN, его сертификат следует отозвать. Это делается с помощью Easy-RSA:

cd /etc/openvpn/easy-rsa
sudo ./easyrsa revoke имя_клиента
sudo ./easyrsa gen-crl
sudo cp pki/crl.pem /etc/openvpn/server/
sudo systemctl restart openvpn-server@server
    

После этого клиент с отозванным сертификатом больше не сможет подключиться к VPN.

OpenVPN не запускается или работает с ошибками. Куда смотреть в первую очередь?

Если OpenVPN не запускается или вы наблюдаете странное поведение, всегда начинайте с просмотра логов. Основные источники:

• Логи системд: sudo journalctl -u openvpn-server@server -f (для просмотра в реальном времени).
• Лог-файл OpenVPN: sudo tail -f /var/log/openvpn.log (путь указан в server.conf).

Внимательно изучите последние строки на предмет ошибок, предупреждений или сообщений о проблемах с файлами конфигурации или сертификатов. Часто проблема бывает в неправильном пути к файлу, некорректных правах доступа или синтаксической ошибке в server.conf.

Выводы и следующие шаги

В этом руководстве мы успешно развернули и настроили OpenVPN сервер на вашем VPS, обеспечив надёжный и безопасный удалённый доступ для корпоративных нужд. Теперь ваша команда может безопасно подключаться к внутренним ресурсам, а весь их трафик будет защищён шифрованием. Вы получили полный контроль над вашей VPN-инфраструктурой, что является ключевым преимуществом self-hosted решения.

Дальнейшие шаги для оптимизации и расширения вашей VPN-инфраструктуры могут включать:

1. Мониторинг и логирование: Настройте более продвинутые системы мониторинга (например, Prometheus + Grafana) для отслеживания производительности сервера, сетевого трафика и количества подключенных клиентов. Централизованное логирование (ELK Stack или Graylog) поможет быстро выявлять и устранять проблемы безопасности.
2. Расширенная аутентификация: Рассмотрите интеграцию с LDAP/Active Directory или использование двухфакторной аутентификации (2FA) для повышения безопасности доступа к VPN.
3. Автоматизация управления клиентами: Для больших команд можно разработать скрипты или использовать веб-интерфейсы для автоматической генерации, отзыва и распространения клиентских сертификатов, что значительно упростит администрирование.
4. Оптимизация производительности: Изучите возможности тюнинга ядра Linux и настроек OpenVPN для максимальной производительности, особенно если у вас много пользователей или высокий трафик.