Инструкция: Как настроить свой VPN-сервер

В связи с претензиями к популярным VPN-сервисам и появлением новой компании, которая обещает «100% блокировку Telegram».

Как мы все уже на TJ знаем, Роскомнадзор выдал тендер «РДП.ру» на установку их системы DPI, для того чтобы попытаться окончательно заблокировать Telegram на территории РФ. Пытаются ввести всякие законы о ещё большем контроле трафика внутри РФ, и помимо этого Роскомнадзор попросил многие популярные VPN-провайдеры зарегистрироваться в его системе, в противном случае пригрозив им блокировкой. Из-за этого всё больше людей изучают возможности создания своего собственного VPN соединения, а не покупки сервиса у кого-то другого.

Для начала поймём, в чём разница в сравнении с покупкой VPN-сервиса:

• Дешевле (иногда);
• Приватнее и безопаснее. Вы точно будете знать, ведёте ли вы сами записи о посещаемых сайтах на вашем VPN-сервере или нет;
• Быстрее. Вы можете выбрать сервер ближе к вашей локации для меньшего пинга, да и на самом сервере будете вы один;
• Круче (100%).

Для того чтобы запустить на своём сервере VPN, нужно понимать, какой клиент, протокол и тому подобное вы собираетесь для него использовать. Об этом и будет конкретно эта статья.

Проект, который начали разрабатывать ещё в 2001 году и с тех пор потихоньку улучшали. Является в какой-то степени академическим исследованием.

На мой взгляд, самый умный, интересный и легкий для установки и подключения клиент. Главная фишка даже не в том, что его разрабатывали в Японии от имени прекрасного университета Цукубы, а в том, что его функциональность уникалmyf по сравнению с любыми другими VPN-клиентами (хоть и немного ограничена по ОС).

SoftEther VPN позволяет подключаться к себе, шифруя трафик в:

• DNS. Таким образом можно использовать интернет на полную, даже если ваш провайдер отключил вам интернет, но не ограничил DNS-соединения;
• ICMP. Аналогично DNS-соединению, все ваши пакеты будут видны на уровне DPI как обычный ICMP;
• SSL. Самое крутое на мой взгляд, 100% соответствие HTTPS-пакетам. Отличить от обычного подключения на сайт через HTTPS невозможно (как заверяет SoftEther);
• L2TPv3/IPsec;
• OpenVPN.

Вдобавок всё это даётся бесплатно из коробки, а в версии для Windows есть графический интерфейс.

Минус SoftEther: на macOS использовать его в полном объёме не выйдет, как и на телефонах. SSL-VPN соединение (то самое которое упаковывает трафик в HTTPS) работает только при условии подключения с компьютера под операционной системой Windows. А для того, чтобы запустить и без того полурабочий клиент для macOS, придётся собирать клиент вручную.

Других серьёзных минусов у него нет. Я с удовольствием использовал его в свои времена, когда на рабочем Wi-Fi отфильтровали OpenVPN, L2TP, IPSec и другие, а на Reddit мне всё равно хотелось заходить.

(Обновлено благодаря Золотому Наномишке)

Самый популярный в мире клиент OpenVPN для создания VPN-подключений. Его тоже можно установить бесплатно на любой сервер Linux, а их можно достать всего за 2 евро в месяц: работать OpenVPN на них будет прекрасно.

В интернете существует куча руководств по установке данного VPN-сервера. Запустить его ужасающе просто.

OpenVPN используют много компаний, есть вдоволь публичных и приватных VPN-сервисов на продажу и для бесплатного подключения. Всё это позволяет коммьюнити вокруг клиента быстро находить баги и уязвимости, а разработчикам — исправлять их.

Эксплуатировать OpenVPN возможно разными способами: пропуская свой трафик через обычный OpenVPN-протокол или же модернизируя клиент, к которому существует множество интересных модулей. По словам пользователя TJ Золотого Наномишки, нижеперечисленное используют для обхода блокировок в Китае:

• Stunnel. Позволяет превратить трафик между OpenVPN-сервером и OpenVPN-клиентом в полную копию TLS/TCP (HTTPS трафика, о котором уже говорилось в клиенте SoftEther);
• obfsproxy. Он хоть и старый модуль, но в каком-то смысле «морфит» (изменяет вид) трафика, пакуя его в нужный человеку формат. Он сложен для настройки на серверной стороне, да и новый модифицированный пакет может быть заблокирован, и несколько внутренностей всегда останутся теми же — время, размеры пакета, другие основные характеристики. Однако когда в Иране в 2012 году начали фильтровать SSL-трафик и подключение к ТОРу было заблокировано, это на какое-то время спасло ситуацию.

Для кого-то устанавливать модули поверх OpenVPN может показаться проблемой, однако это до момента, пока не будет найдена инструкция на установку популярного модуля. В основном это не занимает больше пары-тройки строк в командной строке.

Популярное и ещё более простое решение. IPSec является протоколом для VPN-соединений (выходящие из него — AH, ESP, IKE, и другие), и установить его можно одной строчкой в командной строке Linux-сервера. Он даёт достаточный уровень безопасности, скорости и всего остального, при этом функциональность ужасно скудна, да и сами протоколы легко блокируются и фильтруются.

С другой стороны, он также быстро и круто работает на телефонах, и многие публичные VPN-сервисы, которые продают к себе доступ для соединений с мобильных устройств, используют именно IPSec.

Самое смешное и простое подключение, которое позволяет создать прокси из пустого SSH подключения к стороннему серверу. Обнаружить трафик и определить какого он типа в этом случае возможно, однако не так легко, как кажется.

Реализуется простой командой в одну строку ("ssh -N [email protected] -L 3306:127.0.0.1:3306") — и вуаля, у вас прокси на указанном вами порте (в приведённом примере — 3306, а IP для подключения 127.0.0.1, потому что соединение открыто на локалхосте).

Удобен в использовании, относительно сложен и непопулярен в какой-то степени в блокировке. Позже его можно использовать как прокси, пуская всю систему через него — например, с помощью Proxifier или любого другого софта. Тем не менее обнаружение уже исходящего трафика, зашифрованного в вид SOCKS5 (например), возможно, а поскольку SOCKS5 очень популярен, руководства по его блокировке в сети пруд пруди, и шанс того, что ваш местный офисный сисадмин уже заблокировал его, довольно велик.

Очередной очень популярный протокол, встроенный в операционные системы Windows со времён, когда ещё мамонты были живы.

Относительно сложно настраивается и на стороне клиента, и на стороне сервера. Даже с учётом, что всё делается через графический интерфейс, работает относительно средне, ничем удивительным от других протоколов или видов подключений не отличается. Пакеты идут с понятным названием протоколов и легко фильтруются с помощью DPI. Это, наверное, один из самых старых и до сих пор самых используемых протоколов и систем соединения между сервером и клиентом.

Многие говорят, что он 100% безопасен для использования, и вообще не стоит даже думать его устанавливать. Он как самое худшее — в конце списка.

Используем SoftEther VPN для максимальной эффективности, поскольку имеем кучу протоколов, настроек, и всё удобно из коробки. Однако для того, чтобы всё работало хорошо, придётся иметь сервер на Windows: стоят они недёшево по сравнению с Linux, и платить придётся по 10-15 евро в месяц. Однако можно быть уверенным в том, что VPN тебе не заблокируют, да и ограничить доступ к нему в целом не смогут, а трафик будет надёжно защищён.

Использовать его стоит только в случае, если у вас основной компьютер на Windows, потому что без SSL-VPN, VPN через ICMP и VPN через DNS он в наших реалиях теряет смысл. Разве что ради возможности подключаться сразу к серверу с нескольких протоколов (и с OpenVPN можно, и с IPSec, да и с PPTP) и отсутствию необходимости устанавливать отдельно OpenVPN + IPsec + PPTP.

В случае, если ваш основной компьютер работает на macOS, или вы не хотите платить много денег за VPN и понимаете, что он нужен просто для обхода блокировок, а именно за вами конкретно никто не следит и к каким VPN серверам для обхода блокировок вы подключаетесь никого не волнует, можно использовать OpenVPN/Ipsec протоколы — выйдет дешевле и круче.

А если вам просто лень разбираться, запускать всякие клиенты и просто хочется иметь что-то похожее на VPN под рукой, вы можете купить сервер и подключаться к нему по SSH, создавая себе прокси-соединение. Таким образом вам не придётся настраивать ровно ничего на сервере, а прокси будет стабилен, однако нужно помнить о легкой его блокировке (при условии фильтрации исходящего трафика).

Существуют и другие протоколы, методы, клиенты для подключения. Тут перечислены те, которые я по своему мнению решил перечислить (помимо PPTP — я его просто так добавил): самые популярные, стабильные, быстрые и безопасные для использования. Существует IKe2, SSTP и ещё парочка, которые в принципе бесполезны и являются или клоном/новой версией PPTP, или просто недостоверными настолько, что их не использует почти никто и нигде из-за боязни наличия дыр, которые повлекут за собой утечку данных.

Это моя первая статья. Я не умею писать, но, мне кажется, ребятам, которые мало чего понимают в этом, будет интересно почитать. Особенно при том, что почти никто не знает про SoftEther, а это ведь реально очень хороший софт, который ушёл далеко в будущее по сравнению даже с OpenVPNом, и его отсутствие в массах объясняется лишь тем, что никто о нём не знает.

#блокировки #роскомнадзор #vpn #инструкции