Как установить VPN на Ubuntu: пошаговое руководство по OpenVPN

Зачем нужен VPN на Ubuntu и как он работает

VPN (виртуальная частная сеть) создает зашифрованный туннель между вашим устройством и удаленным сервером. Весь интернет-трафик проходит через этот туннель, что скрывает ваш реальный IP-адрес и местоположение от посторонних. Это особенно важно при использовании общедоступных Wi-Fi сетей, где злоумышленники могут перехватывать данные. VPN также позволяет обходить географические блокировки и цензуру, получая доступ к контенту, недоступному в вашем регионе.

На Ubuntu наиболее популярным и надежным решением является OpenVPN — программное обеспечение с открытым исходным кодом, использующее протокол SSL/TLS для шифрования. OpenVPN поддерживает как TCP, так и UDP, а также различные алгоритмы шифрования, включая 256-битное шифрование. Благодаря кроссплатформенности, клиенты OpenVPN доступны для Windows, macOS, Linux, Android и iOS, что позволяет использовать один сервер для всех ваших устройств.

Важно понимать разницу между использованием готового VPN-сервиса и настройкой собственного сервера. Готовые сервисы проще в использовании, но требуют доверия к провайдеру. Собственный сервер дает полный контроль над конфигурацией и безопасностью, но требует определенных технических навыков. В этом руководстве мы рассмотрим оба подхода, но основной акцент сделаем на установке собственного сервера OpenVPN на Ubuntu.

Выбор способа установки VPN: скрипт или ручная настройка

Существует два основных способа установки OpenVPN на Ubuntu: использование автоматического скрипта и ручная настройка. Автоматический скрипт, например openvpn-install.sh от Angristan, значительно упрощает процесс, задавая несколько вопросов и создавая все необходимые файлы конфигурации. Этот метод рекомендуется новичкам, так как он минимизирует риск ошибок и экономит время.

Ручная настройка включает установку пакетов openvpn и easy-rsa, создание инфраструктуры открытых ключей (PKI), генерацию сертификатов и настройку сервера. Этот метод дает больше контроля и понимания процесса, но требует знаний командной строки и принципов работы PKI. Ручная настройка также позволяет использовать отдельный сервер в качестве центра сертификации (CA), что повышает безопасность, но усложняет конфигурацию.

Для большинства пользователей, желающих быстро получить работающий VPN, лучше использовать скрипт. Однако если вы планируете развернуть VPN в корпоративной среде или нуждаетесь в тонкой настройке, ручной метод будет предпочтительнее. В следующих разделах мы подробно рассмотрим оба подхода, начиная с автоматического.

Подготовка системы и проверка IP-адреса

Перед установкой VPN необходимо убедиться, что ваша система Ubuntu обновлена. Выполните в терминале:

sudo apt update && sudo apt upgrade

Это обновит список пакетов и установит последние версии программного обеспечения. Также убедитесь, что у вас есть доступ к интернету и права sudo.

Следующий шаг — проверка вашего текущего IP-адреса. Это важно, чтобы после подключения к VPN вы могли убедиться, что ваш IP изменился. Используйте команду:

dig +short myip.opendns.com @resolver1.opendns.com

Или альтернативный способ:

wget -qO - icanhazip.com

Запишите полученный IP-адрес — он понадобится для сравнения после настройки VPN. Также обратите внимание, что если ваш сервер находится за NAT, скрипт установки может неправильно определить публичный IP. В этом случае вам нужно будет указать его вручную.

Автоматическая установка OpenVPN с помощью скрипта

Самый простой способ установить OpenVPN-сервер на Ubuntu — использовать скрипт openvpn-install.sh. Этот скрипт автоматизирует установку, настройку и генерацию клиентских конфигураций. Для начала установите curl, если он не установлен:

sudo apt install curl

Затем загрузите скрипт и сделайте его исполняемым:

curl -O https://raw.githubusercontent.com/angristan/openvpn-install/master/openvpn-install.sh
chmod +x openvpn-install.sh

Запустите скрипт с правами sudo:

sudo bash openvpn-install.sh

Скрипт задаст несколько вопросов:

• Поддержка IPv6: выберите, если ваш сервер поддерживает IPv6.
• Порт: по умолчанию 1194, можно оставить.
• Протокол: UDP или TCP. UDP быстрее, TCP надежнее.
• DNS: выберите предпочитаемый DNS-резолвер.
• Сжатие: рекомендуется отключить для повышения безопасности.
• Параметры шифрования: оставьте значения по умолчанию.

После завершения установки скрипт создаст файл конфигурации клиента в текущей директории (например, /home/username/client.ovpn). Этот файл необходимо сохранить и использовать для подключения клиентов. Также скрипт выведет публичный IP-адрес сервера, который понадобится для настройки клиента.

Ручная установка OpenVPN: настройка центра сертификации

Ручная установка OpenVPN требует больше шагов, но дает полный контроль. Первым делом необходимо настроить центр сертификации (CA), который будет выдавать сертификаты серверу и клиентам. В идеале CA должен быть на отдельном сервере, но для простоты можно использовать тот же сервер.

Установите easy-rsa:

sudo apt install easy-rsa

Создайте каталог для PKI и символические ссылки:

mkdir ~/easy-rsa
ln -s /usr/share/easy-rsa/* ~/easy-rsa/
chmod 700 ~/easy-rsa
cd ~/easy-rsa
./easyrsa init-pki

Создайте файл vars с параметрами организации:

nano vars

Вставьте:

set_var EASYRSA_REQ_COUNTRY "US"
set_var EASYRSA_REQ_PROVINCE "NewYork"
set_var EASYRSA_REQ_CITY "New York City"
set_var EASYRSA_REQ_ORG "MyOrg"
set_var EASYRSA_REQ_EMAIL "admin@example.com"
set_var EASYRSA_REQ_OU "IT"
set_var EASYRSA_ALGO "ec"
set_var EASYRSA_DIGEST "sha512"

Создайте корневой сертификат CA:

./easyrsa build-ca nopass

Эта команда создаст файлы ca.crt и ca.key в каталоге pki. Файл ca.crt будет использоваться всеми клиентами и сервером для проверки подлинности. Файл ca.key должен храниться в секрете — если он попадет к злоумышленнику, он сможет подделывать сертификаты.

Ручная установка: генерация сертификатов сервера и клиентов

После настройки CA необходимо сгенерировать сертификат для сервера OpenVPN. Установите OpenVPN и easy-rsa на сервер:

sudo apt install openvpn easy-rsa

Создайте PKI для сервера (аналогично CA):

mkdir ~/easy-rsa
ln -s /usr/share/easy-rsa/* ~/easy-rsa/
chmod 700 ~/easy-rsa
cd ~/easy-rsa
./easyrsa init-pki

Создайте запрос на сертификат (CSR) для сервера:

./easyrsa gen-req server nopass

Скопируйте закрытый ключ сервера в каталог OpenVPN:

sudo cp ~/easy-rsa/pki/private/server.key /etc/openvpn/server/

Теперь нужно подписать CSR с помощью CA. Скопируйте файл server.req на CA-сервер (или на тот же сервер, если CA и OpenVPN на одной машине):

scp ~/easy-rsa/pki/reqs/server.req user@ca_server:/tmp/

На CA-сервере импортируйте и подпишите запрос:

cd ~/easy-rsa
./easyrsa import-req /tmp/server.req server
./easyrsa sign-req server server

Введите пароль CA, если он был установлен. После подписания скопируйте подписанный сертификат server.crt обратно на сервер OpenVPN в каталог /etc/openvpn/server/.

Для каждого клиента необходимо повторить процесс: сгенерировать ключ и CSR, подписать его на CA и передать клиенту файлы .crt и .key.

Настройка сервера OpenVPN и файла конфигурации

После генерации сертификатов необходимо создать конфигурационный файл сервера. Обычно он находится в /etc/openvpn/server/server.conf. Пример базовой конфигурации:

port 1194
proto udp
dev tun
ca /etc/openvpn/server/ca.crt
cert /etc/openvpn/server/server.crt
key /etc/openvpn/server/server.key
dh none
topology subnet
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
cipher AES-256-GCM
auth SHA256
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
log-append /var/log/openvpn.log
verb 3

Обратите внимание на директиву dh none — она используется при ECC-шифровании. Если вы используете RSA, укажите путь к файлу dh.pem. Также настройте пересылку трафика (NAT) и брандмауэр UFW.

Разрешите порт OpenVPN в брандмауэре:

sudo ufw allow 1194/udp

Измените политику пересылки в /etc/default/ufw:

sudo nano /etc/default/ufw
DEFAULT_FORWARD_POLICY="ACCEPT"

Добавьте правила NAT в /etc/ufw/before.rules (перед строкой *filter):

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
COMMIT

Замените eth0 на ваш сетевой интерфейс. Затем перезапустите UFW:

sudo ufw disable
sudo ufw enable

Запустите и включите сервис OpenVPN:

sudo systemctl start openvpn-server@server
sudo systemctl enable openvpn-server@server

Проверьте статус:

sudo systemctl status openvpn-server@server

Установка и настройка клиента OpenVPN на Ubuntu

Для подключения к OpenVPN-серверу с клиентской машины Ubuntu необходимо установить пакет openvpn и, для удобства, network-manager-openvpn (для интеграции с графическим интерфейсом Network Manager).

Установите пакеты:

sudo apt install openvpn network-manager-openvpn

Если вы использовали скрипт установки, файл конфигурации клиента (например, client.ovpn) уже создан. Скопируйте его на клиентскую машину, например, с помощью SCP:

scp user@server:/home/user/client.ovpn ~/

Теперь импортируйте конфигурацию в Network Manager. Откройте «Настройки» → «Сеть» → «VPN» → нажмите «+» → выберите «Импортировать из файла...» и укажите путь к файлу .ovpn. После импорта вы сможете подключиться к VPN, переключив тумблер в верхней панели.

Для подключения через командную строку используйте:

sudo openvpn --config ~/client.ovpn

Это запустит OpenVPN в терминале. Чтобы остановить, нажмите Ctrl+C. Для автоматического запуска при загрузке можно скопировать конфигурацию в /etc/openvpn/client.conf и запустить службу:

sudo cp ~/client.ovpn /etc/openvpn/client.conf
sudo systemctl start openvpn-client@client
sudo systemctl enable openvpn-client@client

Проверка подключения и устранение неполадок

После настройки VPN важно убедиться, что соединение работает корректно. Проверьте, изменился ли ваш IP-адрес:

dig +short myip.opendns.com @resolver1.opendns.com

Если IP отличается от исходного, VPN работает. Также проверьте наличие туннельного интерфейса:

ip add

Вы должны увидеть интерфейс tun0 с IP-адресом из подсети 10.8.0.0/24.

Если соединение не устанавливается, проверьте:

• Статус службы OpenVPN: sudo systemctl status openvpn-server@server
• Порт прослушивания: sudo ss -tupln | grep openvpn
• Логи: sudo tail -f /var/log/openvpn.log

Частые проблемы:

• Брандмауэр блокирует порт 1194 — убедитесь, что правило UFW добавлено.
• Неправильный IP-адрес сервера в конфигурации клиента — проверьте файл .ovpn.
• Проблемы с NAT — проверьте правила iptables и параметр MASQUERADE.
• Конфликт подсетей — если ваша локальная сеть использует 10.8.0.0/24, измените подсеть в конфигурации сервера.

Удаление OpenVPN и дополнительные советы

Если вам больше не нужен OpenVPN, его можно удалить. Для удаления сервера, установленного скриптом, просто запустите скрипт снова и выберите опцию «Удалить OpenVPN»:

sudo bash openvpn-install.sh

Для ручного удаления используйте:

sudo apt-get remove openvpn
sudo apt-get autoremove openvpn
sudo apt-get purge openvpn

Также удалите файлы конфигурации в /etc/openvpn/ и каталог ~/easy-rsa.

Дополнительные советы:

• Регулярно обновляйте систему и пакеты для поддержания безопасности.
• Используйте надежные пароли и сертификаты.
• Рассмотрите использование многофакторной аутентификации для дополнительной защиты.
• Для повышения производительности используйте UDP вместо TCP, если сеть стабильна.
• Если вы планируете использовать VPN на нескольких устройствах, создайте отдельные сертификаты для каждого клиента.
• Следите за логами OpenVPN для обнаружения подозрительной активности.

Вопросы и ответы