Налаштування` -> `налаш

Що ми налаштовуємо і навіщо

У цьому посібнику ми будемо налаштовувати OpenVPN сервер на віртуальному приватному сервері (VPS). OpenVPN — це надійне та гнучке рішення для створення віртуальних приватних мереж (VPN), яке широко використовується для забезпечення безпечного віддаленого доступу до корпоративних ресурсів, захисту трафіку від перехоплення та обходу географічних обмежень.

Основне завдання, яке ми вирішуємо, — це розгортання корпоративного VPN-сервера. Це дозволить вашим співробітникам безпечно підключатися до внутрішньої мережі компанії з будь-якої точки світу, ніби вони перебувають в офісі. Весь трафік між клієнтським пристроєм та сервером буде зашифрований, що запобігатиме несанкціонованому доступу до конфіденційних даних.

У підсумку читач отримає повністю функціонуючий OpenVPN сервер, здатний приймати підключення від багатьох клієнтів, з налаштованим шифруванням, автентифікацією та правилами маршрутизації. Ми охопимо всі етапи: від підготовки сервера до створення клієнтських конфігурацій та рекомендацій щодо обслуговування.

Альтернативи та чому Self-Hosted на VPS

Існує кілька підходів до організації VPN:

• Хмарні керовані VPN-сервіси (Cloud-Managed VPN): Такі провайдери, як AWS VPN Client, Google Cloud VPN або Azure VPN Gateway, пропонують готові рішення. Вони зручні в керуванні, масштабовані та не вимагають глибоких знань у налаштуванні. Однак вони можуть бути дорожчими, пропонують менше гнучкості в кастомізації, і ви залежите від політики та інфраструктури стороннього провайдера.
• Інші Self-Hosted рішення:
  • WireGuard: Сучасний, швидкий і простий у налаштуванні протокол VPN. Має меншу кодову базу, що теоретично підвищує безпеку. Чудово підходить для простих сценаріїв та високої продуктивності.
  • IPsec/IKEv2: Часто використовується в корпоративних мережах, підтримується більшістю операційних систем. Складніший у налаштуванні, але пропонує високий ступінь безпеки та продуктивності.
  • SoftEther VPN: Багатопротокольний VPN-сервер, що підтримує OpenVPN, L2TP/IPsec, MS-SSTP, EtherIP та SoftEther VPN протоколи.

Чому Self-Hosted OpenVPN на VPS?

Вибір OpenVPN на VPS виправданий з кількох причин:

• Повний контроль: Ви повністю контролюєте сервер, його конфігурацію, дані та безпеку. Це критично важливо для корпоративних даних та дотримання політик конфіденційності.
• Економічність: Вартість оренди VPS зазвичай значно нижча, ніж щомісячні платежі за керовані хмарні VPN-сервіси, особливо при невеликій або середній кількості користувачів.
• Гнучкість та кастомізація: OpenVPN надзвичайно гнучкий. Ви можете налаштувати його під будь-які специфічні вимоги вашої мережі, використовувати різні методи автентифікації (сертифікати, логін/пароль, PAM), маршрутизацію та багато іншого.
• Перевірена надійність: OpenVPN існує вже багато років, має величезну спільноту та вважається одним з найнадійніших та найбезпечніших VPN-протоколів. Його безпека була багаторазово перевірена та підтверджена.
• Кросплатформність: Клієнти OpenVPN доступні практично для всіх операційних систем (Windows, macOS, Linux, Android, iOS), що спрощує підключення співробітників з будь-якими пристроями.

Налаштування OpenVPN на VPS — це ідеальний баланс між контролем, безпекою, гнучкістю та вартістю для більшості малих та середніх компаній, а також для індивідуальних користувачів, яким потрібен надійний захист.

Який VPS-конфіг потрібен для цього завдання

Вибір правильного VPS-конфігу є ключовим для забезпечення стабільної та продуктивної роботи OpenVPN сервера. Вимоги залежать від передбачуваної кількості одночасних користувачів, обсягу передаваного трафіку та інтенсивності його використання.

Мінімальні вимоги для OpenVPN сервера (до 10-20 користувачів)

• CPU: 1 ядро (x86-64). OpenVPN не є сильно процесорозалежним, але шифрування вимагає певної потужності. Сучасні процесори з інструкціями AES-NI значно прискорюють процес.
• RAM: 512 МБ - 1 ГБ. Для самої операційної системи та OpenVPN цього буде достатньо. При великій кількості клієнтів або інтенсивному логуванні може знадобитися більше.
• Диск: 10-20 ГБ SSD. SSD значно прискорює роботу ОС та читання/запис логів. Основний простір займе ОС, сам OpenVPN та його конфігурації займають дуже мало місця.
• Мережа: 100 Мбіт/с з необмеженим трафіком (або дуже великим лімітом). Пропускна здатність мережі — це основний фактор для VPN. Переконайтеся, що ваш тарифний план не має жорстких обмежень щодо трафіку або швидкості.

Рекомендований VPS-план для корпоративного використання (20-50+ користувачів)

Для більш серйозного корпоративного використання, де потрібна стабільність та висока пропускна здатність для більшої кількості користувачів, рекомендується наступний конфіг:

• CPU: 2 vCPU (віртуальних ядра).
• RAM: 2 ГБ - 4 ГБ. Це забезпечить запас для операційної системи, OpenVPN та потенційних додаткових сервісів (моніторинг, розширені логи).
• Диск: 40 ГБ - 80 ГБ SSD. Достатньо для ОС, логів, резервних копій та інших утиліт.
• Мережа: 1 Гбіт/с з необмеженим трафіком. Це критично важливо для забезпечення високої швидкості передачі даних для всіх підключених клієнтів.

Для таких характеристик можна розглянути VPS із зазначеними характеристиками.

Коли потрібен Dedicated Server, а не VPS

Dedicated server (виділений сервер) стає необхідним, коли:

• Дуже велика кількість користувачів: Понад 100-200 одночасно підключених клієнтів, які активно використовують VPN.
• Екстремально висока пропускна здатність: Якщо VPN використовується для передачі дуже великих обсягів даних (наприклад, стримінг відео, великі файлові обміни) на постійній основі, і 1 Гбіт/с на VPS стає недостатньо.
• Специфічні вимоги до безпеки або обладнання: Якщо вам потрібен фізичний контроль над обладнанням, спеціальні апаратні модулі безпеки (HSM) або дуже висока продуктивність дискової підсистеми.
• Гарантована продуктивність: На виділеному сервері ви не ділите ресурси з іншими користувачами, що дає передбачувану та стабільну продуктивність.

Для цих сценаріїв можна розглянути відповідний dedicated.

Локація VPS: на що впливає

Вибір локації VPS має суттєве значення:

• Затримка (Latency): Чим ближче сервер до більшості ваших користувачів, тим нижчою буде затримка (пінг), що безпосередньо впливає на швидкість відгуку та загальний комфорт роботи. Для корпоративного VPN вибирайте локацію, максимально близьку до основного місцезнаходження ваших співробітників.
• Законодавство: Закони про зберігання даних та конфіденційність інформації різняться в різних країнах. Переконайтеся, що вибрана локація відповідає вимогам вашої компанії та застосовним нормативним актам (наприклад, GDPR).
• Доступність та пропускна здатність: Деякі регіони мають кращу мережеву інфраструктуру та вищу пропускну здатність до інших частин світу.

Завжди вибирайте локацію, яка оптимізує продуктивність для ваших користувачів та відповідає вашим юридичним вимогам.

Підготовка сервера

Перш ніж приступити до встановлення OpenVPN, необхідно виконати початкове налаштування вашого VPS для забезпечення безпеки та стабільності. Ми будемо використовувати Ubuntu 24.04 LTS (Noble Numbat) як основу, оскільки це актуальна та підтримувана версія на 2026 рік.

1. Підключення до сервера

Підключіться до вашого VPS за допомогою SSH, використовуючи надані провайдером дані (зазвичай логін root та пароль або SSH-ключ).

ssh root@ВАШ_IP_АДРЕС_VPS

2. Оновлення системи

Насамперед оновіть список пакетів та встановлені пакети до останніх версій. Це забезпечить наявність усіх актуальних виправлень безпеки та стабільності.

sudo apt update && sudo apt upgrade -y

Якщо ядро або інші критичні компоненти були оновлені, може знадобитися перезавантаження:

sudo reboot

Після перезавантаження перепідключіться до сервера.

3. Створення нового користувача з правами sudo

Робота під користувачем root небезпечна. Створимо нового користувача та надамо йому права sudo.

# Замініть 'ваш_пользователь' на бажане ім'я користувача
sudo adduser ваш_пользователь

Дотримуйтесь інструкцій, щоб встановити пароль та заповнити (або пропустити) додаткову інформацію.

Додайте нового користувача до групи sudo, щоб він міг виконувати команди з правами адміністратора:

sudo usermod -aG sudo ваш_пользователь

Тепер вийдіть із сесії root та увійдіть під новим користувачем:

exit
ssh ваш_пользователь@ВАШ_IP_АДРЕС_VPS

4. Налаштування SSH-ключів (рекомендується)

Для підвищення безпеки рекомендується використовувати SSH-ключі замість паролів. Якщо у вас ще немає пари SSH-ключів, згенеруйте їх на вашому локальному комп'ютері:

# На вашому локальному комп'ютері
ssh-keygen -t rsa -b 4096 -C "ваш[email protected]"

Скопіюйте публічний ключ на сервер:

# На вашому локальному комп'ютері
ssh-copy-id ваш_пользователь@ВАШ_IP_АДРЕС_VPS

Якщо ssh-copy-id недоступний, скопіюйте ключ вручну:

# На вашому локальному комп'ютері
cat ~/.ssh/id_rsa.pub

Потім на сервері (під вашим новим користувачем):

mkdir -p ~/.ssh
chmod 700 ~/.ssh
nano ~/.ssh/authorized_keys

Вставте скопійований публічний ключ у файл authorized_keys, збережіть та закрийте. Встановіть правильні права:

chmod 600 ~/.ssh/authorized_keys

Тепер ви можете відключити автентифікацію за паролем для SSH (опціонально, але рекомендується). Відредагуйте файл конфігурації SSH-демона:

sudo nano /etc/ssh/sshd_config

Знайдіть та змініть наступні рядки (або додайте, якщо відсутні):

# Відключити вхід для root (якщо ви створили користувача)
PermitRootLogin no
# Відключити автентифікацію за паролем (після перевірки входу за ключем!)
PasswordAuthentication no
# Дозволити автентифікацію за ключем
PubkeyAuthentication yes

Перезапустіть SSH-сервіс:

sudo systemctl restart sshd

ВАЖЛИВО: Перш ніж виходити з поточної сесії, відкрийте нову термінальну сесію та переконайтеся, що ви можете увійти за допомогою SSH-ключа під новим користувачем. Якщо щось піде не так, у вас все ще буде відкрита стара сесія для виправлення помилок.

5. Налаштування брандмауера (UFW)

UFW (Uncomplicated Firewall) — це зручна оболонка для iptables. Налаштуємо його для базового захисту сервера.

sudo apt install ufw -y

Дозвольте SSH-підключення (за замовчуванням порт 22). Якщо ви використовуєте інший порт для SSH, вкажіть його:

sudo ufw allow OpenSSH
# Або, якщо ви змінили порт SSH на, наприклад, 2222:
# sudo ufw allow 2222/tcp

Дозвольте підключення для OpenVPN. За замовчуванням OpenVPN використовує UDP порт 1194. Ми будемо використовувати цей порт.

sudo ufw allow 1194/udp

Увімкніть UFW:

sudo ufw enable

Підтвердіть дію, ввівши y. Перевірте статус брандмауера:

sudo ufw status verbose

6. Встановлення Fail2ban

Fail2ban сканує файли логів на предмет підозрілої активності (наприклад, невдалих спроб входу по SSH) та блокує IP-адреси зловмисників за допомогою правил брандмауера.

sudo apt install fail2ban -y

Створіть копію конфігураційного файлу за замовчуванням, щоб не втратити зміни під час оновлень:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Відредагуйте jail.local, щоб налаштувати параметри. Для більшості випадків налаштувань за замовчуванням для SSH (секція [sshd]) достатньо, але ви можете змінити bantime (час блокування) та findtime (період для виявлення спроб) за бажанням.

sudo nano /etc/fail2ban/jail.local

Переконайтеся, що секція [sshd] має enabled = true:

[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

Перезапустіть Fail2ban:

sudo systemctl restart fail2ban
sudo systemctl enable fail2ban

Перевірте статус:

sudo systemctl status fail2ban
sudo fail2ban-client status sshd

Тепер ваш сервер надійно підготовлений до встановлення OpenVPN.

Встановлення ПЗ — покроково

У цьому розділі ми встановимо OpenVPN та Easy-RSA, а потім налаштуємо інфраструктуру відкритих ключів (PKI) для безпечної автентифікації. Ми будемо використовувати Easy-RSA версії 3.x, яка є актуальною на 2026 рік та забезпечує надійне керування сертифікатами.

1. Встановлення OpenVPN та Easy-RSA

Встановимо необхідні пакети з офіційних репозиторіїв Ubuntu 24.04 LTS.

# Оновлюємо список пакетів
sudo apt update
# Встановлюємо OpenVPN та Easy-RSA
sudo apt install openvpn easy-rsa -y

На момент 2026 року, найімовірніше, буде доступна OpenVPN версії 2.6.x або новішої, та Easy-RSA 3.x.

2. Підготовка PKI з Easy-RSA

Easy-RSA — це набір скриптів для створення та керування інфраструктурою відкритих ключів (PKI), яка необхідна для OpenVPN. Усі сертифікати та ключі зберігатимуться в окремій директорії.

# Створюємо директорію для PKI
sudo make-cadir /etc/openvpn/easy-rsa
# Переходимо до директорії Easy-RSA
cd /etc/openvpn/easy-rsa

3. Ініціалізація PKI

Ініціалізуємо PKI. Це створить необхідні піддиректорії та файли.

# Ініціалізація PKI
sudo ./easyrsa init-pki

4. Створення Центру сертифікації (CA)

Центр сертифікації (Certificate Authority, CA) — це кореневий сертифікат, який підписуватиме всі інші сертифікати (сервера та клієнтів). Він є основою довіри у вашій VPN-мережі.

# Створюємо CA. При запиті Common Name (CN) введіть щось осмислене, наприклад "Corporate OpenVPN CA"
sudo ./easyrsa build-ca nopass

nopass означає, що для кореневого ключа не буде встановлено пароль. Для максимальної безпеки можна встановити пароль, але тоді його доведеться вводити при кожній дії з CA.

5. Генерація сертифіката та ключа сервера

Тепер створимо запит на сертифікат для нашого OpenVPN сервера, підпишемо його за допомогою CA та згенеруємо ключ.

# Генеруємо запит на сертифікат сервера. При запиті Common Name (CN) введіть "server"
sudo ./easyrsa gen-req server nopass
# Підписуємо запит сертифіката сервера за допомогою CA
sudo ./easyrsa sign-req server server

При запиті підтвердження введіть yes.

6. Генерація параметрів Діффі-Хеллмана (DH)

Параметри Діффі-Хеллмана використовуються для безпечного обміну ключами між сервером та клієнтами. Цей процес може зайняти деякий час (до кількох хвилин залежно від потужності вашого VPS).

# Генеруємо параметри Діффі-Хеллмана
sudo ./easyrsa gen-dh

7. Створення ключа HMAC (tls-auth)

Ключ HMAC (або tls-auth) додає додатковий рівень безпеки, захищаючи TLS-рукостискання від атак типу "відмова в обслуговуванні" (DoS) та сканування портів. Він використовується для попередньої автентифікації пакетів.

# Генеруємо ключ HMAC
openvpn --genkey --secret /etc/openvpn/easy-rsa/pki/ta.key

8. Копіювання файлів PKI на сервер OpenVPN

Перемістимо всі згенеровані файли, необхідні для роботи OpenVPN сервера, до його конфігураційної директорії.

# Створюємо директорію для серверних конфігів OpenVPN
sudo mkdir -p /etc/openvpn/server
# Копіюємо CA-сертифікат
sudo cp pki/ca.crt /etc/openvpn/server/
# Копіюємо серверний сертифікат та ключ
sudo cp pki/issued/server.crt /etc/openvpn/server/
sudo cp pki/private/server.key /etc/openvpn/server/
# Копіюємо параметри Діффі-Хеллмана
sudo cp pki/dh.pem /etc/openvpn/server/dh.pem
# Копіюємо ключ HMAC
sudo cp pki/ta.key /etc/openvpn/server/ta.key

9. Генерація сертифіката та ключа клієнта (приклад для одного клієнта)

Для кожного клієнта, який підключатиметься до VPN, необхідно згенерувати унікальну пару сертифікат/ключ. Тут ми покажемо приклад для одного клієнта з ім'ям client1.

# Генеруємо запит на сертифікат клієнта. При запиті Common Name (CN) введіть "client1"
sudo ./easyrsa gen-req client1 nopass
# Підписуємо запит сертифіката клієнта за допомогою CA
sudo ./easyrsa sign-req client client1

При запиті підтвердження введіть yes. Ці файли (client1.crt, client1.key, ca.crt, ta.key) знадобляться клієнту для підключення. Ми зберемо їх в один файл .ovpn пізніше.

На цьому етапі основні компоненти OpenVPN встановлено, а PKI налаштовано. Тепер перейдемо до конфігурації самого сервера.