Свій домен і Let's Encrypt для VPN на VPS: налаштування

Налаштування власного домену та сертифіката Let's Encrypt для VPN-сервера на VPS забезпечує стабільні підключення для 10-50 користувачів, ефективну маскування трафіку та довірене TLS-шифрування, дозволяючи уникнути переналаштування клієнтів при зміні IP-адреси або блокуванні, а сам процес займає до 30 хвилин за допомогою Certbot.

Навіщо VPN-серверу власний домен замість IP-адреси та що таке довірений TLS?

Багато користувачів, які вперше налаштовують VPN на власному віртуальному сервері (VPS), починають з прямого підключення за IP-адресою. Це просто, швидко і здається логічним. Однак такий підхід має низку істотних недоліків, особливо якщо йдеться про стабільну роботу VPN для кількох користувачів або в умовах активних блокувань. Використання власного домену та сертифіката Let's Encrypt вирішує ці проблеми, пропонуючи набагато надійніше та гнучкіше рішення.

Стабільність та зручність для користувачів: власний домен замість IP

Уявіть, що ваш VPS-провайдер змінює IP-адресу сервера (що трапляється рідко, але буває) або, що набагато ймовірніше, ваша поточна IP-адреса блокується інтернет-провайдером у вашій країні. У цьому випадку всі ваші користувачі, підключені до VPN, зіткнуться з непрацездатністю сервісу. Якщо у вас 5, 10 або 50 користувачів, то кожному з них доведеться вручну змінювати IP-адресу в конфігурації свого клієнта. Це трудомістко, незручно та викликає розчарування.

Коли ваш VPN-сервер прив'язаний до доменного імені (наприклад, myvpn.com), ситуація змінюється кардинально. Якщо IP-адреса сервера блокується або змінюється, вам достатньо змінити лише один запис у DNS-налаштуваннях домену, вказавши новий IP. Після оновлення DNS (яке зазвичай займає від кількох хвилин до кількох годин) усі ваші користувачі автоматично почнуть підключатися до нової IP за старим доменним ім'ям, не вимагаючи жодних змін у своїх конфігураціях. Це критично важлива перевага для забезпечення безперебійної роботи та зручності. Детальне керівництво зі створення та налаштування VPN на VPS ви знайдете у нашій основній статті про VPN на власному VPS.

Маскування та довіра: SSL-сертифікат для VPN-сервера

Сучасні VPN-протоколи, такі як VLESS, Reality, Trojan, Shadowsocks з TLS, активно використовують TLS-шифрування для маскування трафіку. Без TLS-сертифіката трафік VPN легко ідентифікувати як такий, що робить його вразливим до блокувань за сигнатурами. Саме тут на сцену виходить SSL-сертифікат для VPN-сервера.

TLS-сертифікат, виданий довіреним центром сертифікації (Certificate Authority, CA), таким як Let's Encrypt, робить ваш VPN-трафік невідрізним від звичайного HTTPS-трафіку, наприклад, при перегляді веб-сайтів або використанні онлайн-сервісів. Це значно ускладнює його блокування методами глибокої інспекції пакетів (DPI). Крім того, використання сертифіката Let's Encrypt на VPS для VLESS або інших протоколів забезпечує:

Довіра: Клієнтське програмне забезпечення VPN (наприклад, Xray, Sing-box, Nekoray) довіряє сертифікатам Let's Encrypt за замовчуванням, оскільки вони є частиною стандартних кореневих сховищ довіри операційних систем. Це позбавляє необхідності встановлювати самопідписані сертифікати, що спрощує налаштування та підвищує безпеку.
Маскування: Коли ваш VPN-сервер використовує домен та SSL-сертифікат, його трафік виглядає як звичайний веб-трафік до цього домену. Це особливо ефективно у поєднанні з протоколами, які імітують HTTPS, такими як VLESS з WebSocket та TLS, або Reality.
Безпека: TLS забезпечує наскрізне шифрування, захищаючи ваш трафік від перехоплення та підміни даних.

Без домену та сертифіката ваш VPN-сервер, навіть якщо він використовує TLS, видаватиме попередження про недовірений сертифікат (якщо він самопідписаний) або буде легко ідентифікований, якщо TLS взагалі відсутній. Для протоколів на кшталт VLESS через Cloudflare CDN, домен та TLS-сертифікат є наріжним каменем архітектури.

Ваш VPS для VPN: скільки користувачів може витримати?

Для 50 одночасних користувачів достатньо 4 vCPU, 8 GB RAM та NVMe-диска на 80 GB.

Користувачів	vCPU	RAM	Диск	Мережевий порт	Орієнтовна ціна ($/міс)
1-5	1	1 GB	20 GB SSD	100 Мбіт/с	$5-7
5-20	2	2 GB	40 GB SSD/NVMe	500 Мбіт/с	$7-15
20-50	4	4-8 GB	80 GB NVMe	1 Гбіт/с	$15-30
50-100+	6-8	8-16 GB	160+ GB NVMe	1-10 Гбіт/с	$30-60+

Зверніть увагу, що це загальні рекомендації. Реальне навантаження залежить від активності користувачів, використовуваного протоколу VPN та інших фонових процесів на вашому VPS. Для більшості користувачів, особливо в домашніх умовах або для невеликих команд, VPS з 2 vCPU та 2-4 GB RAM буде більш ніж достатнім. Valebyte.com пропонує різні тарифи VPS, які ідеально підходять для розгортання VPN-серверів.

Як обрати та зареєструвати домен для VPN-сервера на VPS?

Вибір доменного імені для вашого VPN-сервера — це важливий крок, який впливає на зручність використання та, потенційно, на стійкість до блокувань. Слід врахувати кілька факторів.

Критерії вибору доменного імені

Простота та запам'ятовуваність: Оберіть домен, який легко запам'ятати та ввести. Короткі та зрозумілі імена завжди кращі.
Нейтральність: Уникайте імен, які прямо вказують на "VPN" або "проксі", якщо ви хочете посилити маскування. Нейтральне ім'я, наприклад, myservice.online або securelink.net, виглядає як звичайний веб-сайт.
Доступність TLD: .com, .net, .org — це універсальні домени верхнього рівня (TLD), але вони можуть бути дорожчими та складніше знайти вільне ім'я. Нові TLD, такі як .online, .tech, .xyz, .app, пропонують більше варіантів і часто бувають дешевшими. Переконайтеся, що обраний TLD підтримується всіма DNS-провайдерами та не має специфічних обмежень.
Ціна: Ціни на домени можуть сильно варіюватися від $5 до $50+ на рік залежно від TLD та реєстратора.

Де зареєструвати домен?

Існує безліч акредитованих реєстраторів доменних імен. Ось кілька популярних варіантів:

Namecheap: Відрізняється хорошою ціною, безкоштовним WhoisGuard (захист особистих даних) та зручним інтерфейсом.
Cloudflare Registrar: Пропонує домени за закупівельною ціною без націнки, але вимагає використання їхніх DNS-серверів. Відмінний варіант, якщо ви плануєте використовувати Cloudflare CDN.
GoDaddy: Один з найбільших реєстраторів, пропонує широкий спектр послуг, але іноді може бути дорожчим.
Регіональні реєстратори: У деяких країнах є свої великі реєстратори, які можуть запропонувати місцеві TLD (наприклад, .ru, .kz).

Після вибору реєстратора та доменного імені, процес реєстрації зазвичай виглядає так:

Шукаєте надійний сервер для ваших проєктів?

VPS від $10/міс та виділені сервери від $9/міс з NVMe, DDoS-захистом та підтримкою 24/7.

Переглянути пропозиції →

Перейдіть на сайт реєстратора.
Використайте пошук для перевірки доступності обраного домену.
Додайте домен у кошик та оформіть замовлення, дотримуючись інструкцій.
Оплатіть реєстрацію. Вам потрібно буде надати свої контактні дані, які використовуватимуться для Whois-інформації. Рекомендується використовувати послугу WhoisGuard (якщо вона не включена), щоб захистити свої особисті дані від публічного доступу.

Як пов'язати домен з вашим VPS та налаштувати DNS?

Після реєстрації домену необхідно пов'язати його з IP-адресою вашого VPS. Це робиться через налаштування DNS (Domain Name System). DNS — це як телефонна книга інтернету, яка перетворює доменні імена на IP-адреси.

Налаштування DNS-записів: A та AAAA

Основний DNS-запис, який вам потрібно налаштувати, це запис типу A (Address record) для IPv4 або AAAA (Quad-A record) для IPv6. Більшість VPS-провайдерів, включаючи Valebyte.com, надають щонайменше один публічний IPv4-адреса. Деякі також пропонують IPv6.

Отримайте IP-адресу вашого VPS: Вона буде вказана в панелі керування вашого VPS-провайдера.
Перейдіть до панелі керування DNS: Це може бути панель вашого реєстратора доменів або стороннього DNS-провайдера, такого як Cloudflare.
Додайте A-запис:
- Ім'я (Host): Зазвичай це @ для кореневого домену (наприклад, example.com) або ім'я субдомену (наприклад, vpn для vpn.example.com).
- Значення (Value/Points to): Введіть IPv4-адресу вашого VPS.
- TTL (Time To Live): Час у секундах, протягом якого DNS-сервери повинні кешувати цей запис. Для швидких змін можна встановити низьке значення (наприклад, 300 секунд або 5 хвилин), але для стабільної роботи можна використовувати 3600 або 14400.
(Опціонально) Додайте AAAA-запис: Якщо ваш VPS має IPv6-адресу, повторіть крок 3, але оберіть тип запису AAAA та введіть IPv6-адресу.

Приклад DNS-записів для домену myvpn.com, що вказують на VPS з IP 192.0.2.1:


Тип    Ім'я    Значення    TTL
A      @      192.0.2.1   300
A      vpn    192.0.2.1   300

У цьому прикладі @ вказує на myvpn.com, а vpn на vpn.myvpn.com. Ви можете використовувати будь-який субдомен, який вам зручний.

Використання Cloudflare CDN для проксіювання та маскування

Cloudflare — це не тільки CDN, але й потужний DNS-провайдер з функціями безпеки та проксіювання. Використання Cloudflare для вашого домену може значно покращити маскування та стійкість вашого VPN-сервера.

Змініть NS-записи: У панелі реєстратора домену вкажіть NS-сервери Cloudflare (наприклад, anna.ns.cloudflare.com та denis.ns.cloudflare.com). Це делегує керування DNS вашому акаунту Cloudflare.
Налаштуйте A-запис у Cloudflare: Додайте A-запис, як описано вище.
- З проксіюванням (помаранчева хмарка): Якщо ви увімкнете проксіювання Cloudflare (помаранчева хмарка активна), трафік до вашого домену йтиме через сервери Cloudflare. Це приховує реальну IP-адресу вашого VPS і може допомогти в обході блокувань, оскільки трафік до вашого VPS виглядатиме як трафік до Cloudflare. Це особливо ефективно для протоколів, що використовують WebSocket+TLS, таких як VLESS. Однак, не всі VPN-протоколи добре працюють через проксіювання Cloudflare, оскільки воно може додавати затримку та змінювати заголовки.
- Без проксіювання (сіра хмарка): Якщо ви вимкнете проксіювання (сіра хмарка), Cloudflare працюватиме як звичайний DNS-провайдер, просто вказуючи на вашу IP-адресу. Це підходить для більшості VPN-протоколів, які несумісні з проксіюванням, але при цьому ви все одно отримуєте переваги від швидкого DNS та захисту від DDoS, що надається Cloudflare.

Для протоколів VLESS Reality використання власного домену та прямого підключення (без проксіювання Cloudflare) часто є оптимальним рішенням, оскільки сам протокол Reality вже надає відмінне маскування. Проте для VLESS через Cloudflare CDN проксіювання є ключовим елементом.

Після налаштування DNS-записів, знадобиться деякий час (до 24-48 годин, хоча зазвичай швидше) для їхнього поширення по всьому світу. Ви можете перевірити поширення DNS за допомогою таких інструментів, як dnschecker.org.

rocket_launch Швидкий вибір

Шукаєте сервер, який просто працює?

Valebyte VPS — NVMe, підтримка 24/7, розгортання за 60 секунд.

Переглянути тарифи VPS arrow_forward

Let's Encrypt на VPS: як налаштувати SSL-сертифікат для VPN-сервера

Отримання SSL/TLS-сертифіката від Let's Encrypt — це обов'язковий крок для забезпечення безпеки та маскування вашого VPN-трафіку. Let's Encrypt надає безкоштовні, довірені сертифікати, які автоматично приймаються всіма браузерами та операційними системами.

Що таке Let's Encrypt і чому він важливий?

Let's Encrypt — це центр сертифікації (CA), який видає безкоштовні SSL/TLS-сертифікати. Він автоматизував процес видачі сертифікатів, зробивши HTTPS доступним для всіх. Для VPN-сервера сертифікат Let's Encrypt критично важливий, тому що:

Він забезпечує довіру: ваш VPN-клієнт не видаватиме попереджень про недовірене з'єднання.
Він дозволяє використовувати TLS-шифрування, яке є основою для маскування трафіку та захисту від перехоплення.
Він є частиною багатьох сучасних VPN-протоколів, таких як VLESS, Reality, Trojan, для створення вигляду звичайного HTTPS-трафіку.

Встановлення Certbot для отримання сертифіката

Certbot — це офіційний клієнт Let's Encrypt, який автоматизує процес отримання та встановлення сертифікатів. Для встановлення Certbot на ваш VPS (передбачається, що використовується Debian/Ubuntu або CentOS/RHEL) виконайте наступні кроки.

Для Debian/Ubuntu:


sudo apt update
sudo apt install certbot python3-certbot-nginx -y # Якщо ви використовуєте Nginx
# Або sudo apt install certbot python3-certbot-apache -y # Якщо ви використовуєте Apache
# Або sudo apt install certbot -y # Для standalone або webroot методів

Для CentOS/RHEL:


sudo dnf install epel-release -y
sudo dnf install certbot python3-certbot-nginx -y # Якщо ви використовуєте Nginx
# Або sudo dnf install certbot python3-certbot-apache -y # Якщо ви використовуєте Apache
# Або sudo dnf install certbot -y # Для standalone або webroot методів

Переконайтеся, що у вас встановлено Nginx або Apache, якщо ви плануєте використовувати їхні плагіни Certbot. Якщо ні, ви можете отримати сертифікат за допомогою методу standalone або webroot.

Отримання сертифіката за допомогою Certbot

Є кілька способів отримати сертифікат за допомогою Certbot:

1. Використання плагіна Nginx/Apache (рекомендується, якщо у вас є веб-сервер)

Якщо на вашому VPS вже встановлено та налаштовано веб-сервер (Nginx або Apache) для вашого домену, Certbot може автоматично налаштувати його та отримати сертифікат. Переконайтеся, що ваш домен вже вказує на IP вашого VPS і веб-сервер відповідає на порту 80.


sudo certbot --nginx -d ваш_домен.com -d www.ваш_домен.com
# Або sudo certbot --apache -d ваш_домен.com -d www.ваш_домен.com

Certbot поставить кілька запитань: ваш email (для сповіщень про прострочення), згода з умовами обслуговування. Якщо все успішно, він автоматично налаштує Nginx/Apache для використання HTTPS та видасть сертифікат.

2. Використання Standalone-методу

Цей метод тимчасово запускає вбудований веб-сервер Certbot на порту 80 для проходження перевірки. Це зручно, якщо у вас немає Nginx/Apache або ви не хочете, щоб Certbot їх змінював. Перед використанням переконайтеся, що порт 80 вільний (зупиніть Nginx/Apache, якщо вони запущені).


sudo systemctl stop nginx # Якщо Nginx запущений
sudo certbot certonly --standalone -d ваш_домен.com
sudo systemctl start nginx # Запустіть Nginx назад

Сертифікат буде видано до директорії /etc/letsencrypt/live/ваш_домен.com/. Вам знадобляться файли fullchain.pem та privkey.pem для налаштування вашого VPN-сервера.

3. Використання Webroot-методу

Цей метод вимагає, щоб у вас був працюючий веб-сервер, який може обслуговувати файли з певної директорії (webroot). Certbot розмістить файл-виклик у цю директорію, і Let's Encrypt перевірить його через HTTP.


sudo certbot certonly --webroot -w /var/www/html -d ваш_домен.com

Замініть /var/www/html на реальний шлях до кореневої директорії вашого веб-сервера.

Після отримання сертифіката ви побачите повідомлення про успішну видачу та шляхи до файлів сертифіката. Зазвичай вони знаходяться в /etc/letsencrypt/live/ваш_домен.com/.


/etc/letsencrypt/live/ваш_домен.com/fullchain.pem  # Повний ланцюжок сертифікатів
/etc/letsencrypt/live/ваш_домен.com/privkey.pem   # Приватний ключ

Ці шляхи використовуються при налаштуванні VPN-серверів, таких як Xray-core або Sing-box, для підтримки TLS. Наприклад, для Xray-core конфігурація може виглядати так:


{
  "inbounds": [
    {
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "ВАШ_UUID",
            "level": 0
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "ws",
        "security": "tls",
        "tlsSettings": {
          "alpn": ["http/1.1"],
          "certificates": [
            {
              "certificateFile": "/etc/letsencrypt/live/ваш_домен.com/fullchain.pem",
              "keyFile": "/etc/letsencrypt/live/ваш_домен.com/privkey.pem"
            }
          ]
        },
        "wsSettings": {
          "path": "/ваш_путь"
        }
      }
    }
  ]
}

Більш детальні інструкції щодо налаштування VLESS Reality з Xray-core можна знайти у статті Власний VPN на VPS: VLESS Reality + Xray-core за 10 хвилин.

Certbot автопродовження: як забезпечити безперебійну роботу вашого VPN?

Сертифікати Let's Encrypt видаються на 90 днів. Це зроблено для підвищення безпеки, але вимагає регулярного продовження. На щастя, Certbot включає механізм автопродовження, який гарантує, що ваш SSL-сертифікат для VPN-сервера завжди буде актуальним.

Налаштування автоматичного продовження

Certbot за замовчуванням встановлює системне завдання або завдання cron для автоматичного продовження сертифікатів. Це відбувається двічі на день, і якщо сертифікат скоро закінчується (зазвичай за 30 днів до закінчення терміну), Certbot намагається його продовжити.

Перевірка статусу автопродовження:


sudo certbot renew --dry-run

Ця команда імітує процес продовження, не вносячи реальних змін. Якщо ви бачите повідомлення про успішне "сухе" продовження для всіх ваших доменів, значить, автопродовження працює коректно. Якщо є помилки, Certbot повідомить про них.

Механізм автопродовження:

Systemd Timer (для більшості сучасних Linux-систем): Certbot встановлює юніт-файл certbot.timer, який запускає certbot.service (виконує certbot renew) двічі на день.
```
        sudo systemctl status certbot.timer
        
```
Якщо таймер не активний, його можна увімкнути:
```
        sudo systemctl enable certbot.timer
        sudo systemctl start certbot.timer
        
```
Cron Job (для старих систем або якщо systemd не використовується): У деяких випадках Certbot може додати запис у cron. Ви можете перевірити це, переглянувши файл cron:
```
        sudo cat /etc/crontab
        # Або sudo crontab -l
        
```
Шукайте рядок, схожий на 0 */12 * * * root /usr/bin/certbot renew.

Хуки для перезапуску VPN-сервера

Після успішного продовження сертифіката вашому VPN-серверу необхідно "дізнатися" про це, щоб почати використовувати нові файли сертифікатів. Більшість VPN-серверів не перезавантажують сертифікати "на льоту", тому потрібен перезапуск сервісу. Certbot дозволяє додати "хуки" (post-hook) — команди, які будуть виконані після успішного продовження.

Відредагуйте файл конфігурації Certbot для вашого домену (наприклад, /etc/letsencrypt/renewal/ваш_домен.com.conf) та додайте рядок post_hook:


# /etc/letsencrypt/renewal/ваш_домен.com.conf
# ...
[renewalparams]
authenticator = nginx
installer = nginx
# ...
post_hook = systemctl reload nginx && systemctl restart xray # Приклад для Nginx та Xray-core
# Або post_hook = systemctl restart sing-box # Приклад для Sing-box

Замініть systemctl restart xray або systemctl restart sing-box на команду, яка перезапускає ваш VPN-сервер. Якщо ви використовуєте Nginx як фронтенд для VLESS/WebSocket, достатньо перезавантажити Nginx (systemctl reload nginx), оскільки він оновить сертифікати без повного перезапуску.

Використання Certbot для автопродовження сертифікатів є ключовим елементом стабільної роботи вашого VPN-сервера, особливо для таких протоколів, як sing-box на VPS, які активно використовують TLS.

Домен для VLESS та інших протоколів: практичні сценарії та маскування

Застосування власного домену та TLS-сертифіката виходить далеко за рамки простої прив'язки IP. Це фундамент для просунутих технік маскування та обходу блокувань, особливо актуальних для протоколів VLESS та Reality.

VLESS з WebSocket та TLS: імітація HTTPS

Протокол VLESS у поєднанні з WebSocket та TLS (WSS) є одним з найпопулярніших та найстійкіших рішень для VPN. Він використовує TLS-шифрування, щоб зробити трафік невідрізним від звичайного HTTPS-трафіку. Домен тут відіграє центральну роль:

Ідентифікація сервера: Клієнт VLESS підключається до домену, а не до IP-адреси. Це дозволяє використовувати CDN, такі як Cloudflare, для проксіювання трафіку та приховування реальної IP-адреси VPS.
TLS-рукостискання: При встановленні з'єднання відбувається стандартне TLS-рукостискання з використанням сертифіката Let's Encrypt, виданого для вашого домену. Це створює ілюзію звичайного HTTPS-з'єднання з веб-сайтом.
WebSocket: Після успішного TLS-рукостискання, всередині TLS-тунелю встановлюється з'єднання WebSocket, через яке передається VLESS-трафік. WebSocket також є стандартним веб-протоколом, що ще більше посилює маскування.

Для налаштування такого сервера часто використовується Nginx як реверс-проксі, який приймає вхідні з'єднання на порту 443, обробляє TLS і потім перенаправляє WebSocket-трафік на внутрішній порт Xray-core або Sing-box. Таким чином, ваш VPN-сервер виглядає як звичайний веб-сервер, що обслуговує HTTPS-трафік за доменом, що значно знижує ймовірність виявлення та блокування DPI-системами.

Reality: передове маскування без CDN

Reality — це інноваційний протокол, розроблений для Xray-core, який забезпечує безпрецедентний рівень маскування без використання CDN. Він працює, видаючи ваш VPN-сервер за існуючий, популярний веб-сайт (наприклад, microsoft.com, google.com). Для цього Reality використовує свій власний механізм TLS-рукостискання, який імітує рукостискання цільового сайту.

Навіть у випадку з Reality, власний домен для VLESS все ще важливий. Хоча основний трафік маскується під інший сайт, ваш власний домен може використовуватися для:

Додаткових сервісів: На тому ж VPS ви можете розмістити невеликий веб-сайт або інші сервіси, які використовуватимуть ваш домен, посилюючи легітимність сервера.
Fallback: Якщо Reality з якоїсь причини не спрацює, ви завжди можете переключитися на VLESS+WS+TLS, використовуючи ваш власний домен та сертифікат Let's Encrypt.
Керування: Зручність керування та оновлення IP-адреси через DNS залишається актуальною.

Для налаштування VLESS Reality + Xray-core за 10 хвилин рекомендуємо ознайомитися з цією статтею.

Що робити при блокуванні домену для VPN: швидка заміна та стратегії стійкості

Навіть при найретельнішому маскуванні, в умовах активної цензури існує ризик блокування доменного імені, що використовується для VPN-сервера. Однак наявність власного домену значно спрощує процес відновлення роботи порівняно з блокуванням IP-адреси.

Ознаки блокування домену

Користувачі не можуть підключитися до VPN за доменним ім'ям.
Перевірка домену через ping або nslookup із заблокованого регіону не дає відповіді або вказує на IP-адресу блокуючої організації.
Доступ до домену через браузер також заблоковано.

Швидка заміна домену: покрокова інструкція

Перевага використання домену в тому, що при його блокуванні вам не потрібно змінювати IP-адресу VPS або переналаштовувати сам сервер. Достатньо замінити доменне ім'я.

Зареєструйте новий домен: Бажано мати кілька запасних доменів, зареєстрованих заздалегідь, або бути готовим швидко придбати новий. Обирайте домени з різними TLD, щоб не потрапити під загальне блокування.
Налаштуйте DNS нового домену: Прив'яжіть новий домен (або субдомен) до IP-адреси вашого існуючого VPS, як описано в розділі "Налаштування DNS-записів". Встановіть низький TTL (наприклад, 300 секунд).
Випустіть Let's Encrypt сертифікат для нового домену: Використайте Certbot для отримання сертифіката для нового домену. Якщо ви використовуєте Nginx як фронтенд, переконайтеся, що новий домен додано до його конфігурації.
```
        sudo certbot --nginx -d новий_домен.com
        
```
Якщо ви вже використовуєте Nginx з кількома доменами, просто додайте новий домен до існуючого сертифіката або отримайте новий, використовуючи опцію --expand.

Оновіть конфігурацію VPN-сервера: Змініть доменне ім'я в конфігурації вашого VPN-сервера (Xray-core, Sing-box тощо) на новий домен.


        # Приклад для Xray-core
        # ...
        "host": "новий_домен.com",
        # ...
        "certificateFile": "/etc/letsencrypt/live/новий_домен.com/fullchain.pem",
        "keyFile": "/etc/letsencrypt/live/новий_домен.com/privkey.pem"
        # ...

Перезапустіть VPN-сервер: Після оновлення конфігурації перезапустіть VPN-сервіс, щоб він почав використовувати новий домен та сертифікат.
```
        sudo systemctl restart xray # Або sing-box, або ваш_сервіс
        
```
Роздайте нові конфіги користувачам: Повідомте користувачам новий домен і, можливо, надайте оновлені конфігураційні файли. Оскільки IP-адреса VPS залишилася тією ж, зміни в конфігах мінімальні.

Стратегії стійкості до блокувань

Використання кількох доменів/субдоменів: Майте кілька доменів або субдоменів, що вказують на один і той же VPS. Якщо один блокується, ви можете швидко переключитися на інший.
CDN-фронтинг (Cloudflare): Як згадувалося, Cloudflare може приховувати реальну IP-адресу вашого VPS. Якщо домен блокується, ви можете швидко змінити його в Cloudflare, не змінюючи IP сервера. Це ефективно для VLESS+WS+TLS. Однак, сам Cloudflare також може бути заблокований у деяких регіонах.
Використання SNI-маршрутизації: Деякі протоколи, такі як Reality, використовують SNI (Server Name Indication) для маскування під інший сайт. Це ускладнює блокування за доменним ім'ям, оскільки ваш сервер видає себе за великий ресурс.
Регулярний моніторинг: Слідкуйте за доступністю вашого домену з різних регіонів. Інструменти моніторингу VPN-сервера на VPS допоможуть оперативно дізнатися про проблеми.
Резервні VPS: У найгірших випадках, якщо блокуються не тільки домени, а й IP-адреси цілих дата-центрів, може знадобитися резервний VPS в іншій локації. Valebyte.com пропонує VPS у різних географічних точках, що дозволяє вибрати найбільш стійкий до блокувань регіон.

Для користувачів з країн, де блокування особливо агресивні (наприклад, Казахстан), важливо розуміти, що кореневі сертифікати та протоколи можуть бути під особливою увагою. Ознайомтеся зі статтею VPS для Казахстану: кореневий сертифікат, блокування та робочі протоколи для глибшого розуміння.

Поширені запитання

Чи можна використовувати безкоштовний домен для VPN-сервера?

Так, теоретично можна, але це не рекомендується для критично важливих VPN-серверів. Безкоштовні домени часто менш надійні, можуть мати обмеження щодо DNS-налаштувань, і їх простіше заблокувати або відкликати, що призведе до перебоїв у роботі вашого VPN. Інвестиція в $5-10 на рік за надійний домен окупається стабільністю та впевненістю.

Чи потрібно встановлювати веб-сервер (Nginx/Apache) для Let's Encrypt?

Не обов'язково. Хоча встановлення Nginx або Apache спрощує процес з Certbot завдяки їхнім плагінам, ви можете отримати сертифікат, використовуючи --standalone метод Certbot. У цьому випадку Certbot тимчасово запустить свій власний веб-сервер на порту 80 для перевірки домену. Після отримання сертифіката цей веб-сервер буде зупинено, і порт 80 звільниться для інших потреб. Для VLESS з Reality веб-сервер не потрібен, але для VLESS+WS+TLS Nginx часто використовується як фронтенд.

Як часто потрібно продовжувати сертифікат Let's Encrypt?

Сертифікати Let's Encrypt видаються на 90 днів. Проте завдяки Certbot та його механізму автоматичного продовження (через systemd timer або cron job), вам не потрібно робити це вручну. Certbot автоматично перевіряє термін дії сертифікатів двічі на день і продовжує їх, якщо до закінчення терміну залишилося менше 30 днів. Це забезпечує безперебійну роботу вашого VPN-сервера без ручного втручання.

Що робити, якщо мій VPS не має IPv6, але я хочу використовувати домен?

Це абсолютно нормально. Більшість VPN-серверів та клієнтів за замовчуванням використовують IPv4. Якщо ваш VPS має лише IPv4-адресу, вам достатньо створити тільки A-запис у DNS, що вказує на вашу IPv4-адресу. Усі сучасні DNS-сервери та клієнти VPN коректно працюють лише з IPv4. Наявність IPv6 є приємним доповненням, але не обов'язковою вимогою для функціональності VPN з доменом.

Чи можна використовувати один домен для кількох VPN-серверів?

Так, можна використовувати один кореневий домен з різними субдоменами для кількох VPN-серверів. Наприклад, vpn1.myvpn.com для сервера в Німеччині та vpn2.myvpn.com для сервера в США. Кожен субдомен матиме свій A-запис, що вказує на відповідну IP-адресу VPS, та свій власний сертифікат Let's Encrypt. Це зручний спосіб централізованого керування, особливо якщо ви використовуєте кілька VPS від Valebyte.com у різних локаціях.

Висновки

Використання власного домену та сертифіката Let's Encrypt є не просто "доброю практикою", а фундаментальною вимогою для створення стабільного, безпечного та стійкого до блокувань VPN-сервера на VPS. Це забезпечує зручність для кінцевих користувачів, надійне маскування трафіку та можливість швидкої адаптації до змін IP-адреси або блокувань. Інвестиція в домен за $5-10 на рік та 30 хвилин на налаштування Certbot окупляться багатократно, забезпечуючи безперебійну роботу вашого VPN-сервісу.

Готові обрати сервер?

VPS та виділені сервери у 72+ країнах з миттєвою активацією та повним root-доступом.

Почати зараз →