OpenVPN-сервер на VPS: настройка своего VPN за 10 минут

Почему OpenVPN и когда его выбирать

OpenVPN - это ветеран самостоятельно развёрнутых VPN: ему больше двадцати лет, он проверен вдоль и поперёк и поддерживается любым VPN-приложением и роутером на планете. Это не самый быстрый вариант - WireGuard обходит его по скорости и расходу батареи - но у него есть один приём, которого нет у WireGuard: он умеет работать по TCP на порту 443, том же порту, что и обычный HTTPS. Это позволяет ему проскакивать через строгие файрволы в отелях, офисах и аэропортах, которые блокируют всё, кроме веб-трафика.

Где OpenVPN не подходящий инструмент, так это против тяжёлой цензуры на основе DPI. Системы вроде российского ТСПУ умеют распознавать и блокировать голый OpenVPN так же, как они блокируют голый WireGuard. Если ваша цель - обход именно такой блокировки, воспользуйтесь вместо этого нашим руководством по VLESS + Reality. Выбирайте OpenVPN, когда вам нужен надёжный, универсально совместимый персональный VPN и возможность прятаться на порту 443.

• Недорогой VPS на базе KVM под управлением Ubuntu 22.04 или 24.04 (установщик поддерживает Ubuntu 18.04 и новее).
• SSH-доступ с правами root - провайдер присылает его на почту после оплаты.
• Около 10 минут. Хорошо поддерживаемый скрипт сделает сложные части (сертификаты, файрвол, маршрутизацию) за вас.

Шаг 1: Подключитесь и обновите сервер

Зайдите по SSH (подставьте IP своего сервера) и установите последние обновления:

ssh root@YOUR_SERVER_IP
apt update && apt upgrade -y

Шаг 2: Скачайте установщик

Мы воспользуемся известным open-source-скриптом angristan/openvpn-install. Он устанавливает OpenVPN, генерирует все сертификаты, настраивает файрвол и маршрутизацию, а также управляет клиентскими файлами - то есть теми частями, которые делают ручную настройку OpenVPN мучительной. Скачайте его и сделайте исполняемым:

curl -O https://raw.githubusercontent.com/angristan/openvpn-install/master/openvpn-install.sh
chmod +x openvpn-install.sh

Шаг 3: Запустите его и ответьте на вопросы

Запустите установщик:

./openvpn-install.sh

Он задаёт короткий список вопросов. Для большинства людей значения по умолчанию верны - вот что выбирать:

• Публичный IP: он определяет IP вашего сервера автоматически. Примите его, если только сервер не находится за NAT.
• Протокол: UDP стоит по умолчанию и работает быстрее - оставьте его для повседневного использования. Выбирайте TCP только если вам действительно нужно спрятаться на порту 443 (см. подсказку ниже).
• Порт: оставьте порт по умолчанию 1194 для UDP. Если вы выбрали TCP, чтобы пройти через строгий файрвол, задайте порт 443.
• DNS: выберите публичный резолвер, например Cloudflare или Quad9, чтобы ваши запросы не утекали к местному провайдеру.
• Шифр и сертификат: просто примите значения по умолчанию - скрипт использует современные, безопасные настройки (AES-128-GCM, ECDSA).
• Имя клиента: введите короткое имя для вашего первого устройства, например phone.
• Защита паролем: скрипт спрашивает, должен ли клиент быть без пароля или защищённым паролем. Добавление пароля означает, что украденный файл .ovpn бесполезен без него - это стоит того для телефона или ноутбука, который можно потерять.

Скрипт работает около минуты и в конце создаёт клиентский конфиг с расширением .ovpn в папке /root.

Шаг 4: Перенесите файл .ovpn на своё устройство

Всё, что нужно клиенту, находится внутри этого единственного файла .ovpn - ключи, сертификаты и настройки. Скопируйте его с сервера на свой компьютер через scp (выполняйте это на своём компьютере, подставив имя и IP):

scp root@YOUR_SERVER_IP:/root/phone.ovpn .

Чтобы перенести его на телефон, используйте что удобнее: отправьте файл .ovpn сам себе в "Избранное" ("Saved Messages") в мессенджере, положите его в облачное хранилище и удалите после, либо заберите его с сервера графическим SFTP-приложением вроде Cyberduck или FileZilla. Относитесь к файлу как к паролю - любой, у кого он есть, сможет подключиться под вашим именем, поэтому удалите лишние копии, как только настроите устройство.

Шаг 5: Установите клиентское приложение и подключитесь

Официальное приложение OpenVPN Connect работает на любой платформе; на настольных системах можно также использовать более лёгкие альтернативы. Выберите своё, импортируйте файл .ovpn и подключитесь.

Шаг 6: Добавляйте или удаляйте устройства позже

Дайте каждому устройству собственный профиль, чтобы можно было отозвать один, не трогая остальные. Чтобы добавить ноутбук или отозвать потерянный телефон, просто запустите установщик снова - он обнаружит существующий сервер и предложит меню:

./openvpn-install.sh

Выберите Add a new user, чтобы создать ещё один .ovpn, или Revoke existing user, чтобы окончательно отключить устройство.

Шаг 7: Проверьте, что всё работает

С подключённым клиентом проверьте две вещи на нашей собственной странице Сетевые инструменты. Во-первых, интернет теперь должен показывать IP вашего сервера - он отображается вверху страницы. Во-вторых, откройте вкладку DNS Leak Test: перечисленные резолверы должны быть тем DNS, который вы выбрали на Шаге 3, и никогда - вашим домашним провайдером. Если оба пункта в порядке, ваш туннель OpenVPN работает.

Частые ошибки

• Файрвол облачного провайдера. У крупных хостеров - AWS, Oracle Cloud, Azure, Google Cloud - есть собственные Security Groups в веб-панели, отдельные от файрвола Ubuntu, и ваш порт там часто закрыт по умолчанию. Откройте выбранный порт (1194/udp или 443/tcp) и в панели провайдера тоже, а не только в ufw.
• Неверные ожидания от протокола. UDP быстрее, но некоторые строгие сети его блокируют - если публичный Wi-Fi отказывается подключаться, вот тогда и пригодится сборка на TCP-443.
• Использование одного профиля. Загрузка одного и того же .ovpn на два устройства одновременно вызывает обрывы. Генерируйте отдельный профиль на каждое устройство.
• OpenVPN против цензуры. Голый OpenVPN, даже на 443, обнаруживается продвинутым DPI. В сильно цензурируемых сетях используйте вместо него VLESS + Reality.

Честные ограничения

Самостоятельно развёрнутый сервер OpenVPN приватен от вашей локальной сети и вашего провайдера, но обычные ограничения самостоятельного хостинга всё равно действуют: ваш VPS-провайдер видит IP-адреса, подключающиеся к серверу, и на виртуальной машине может снять снимок её оперативной памяти. Чтобы уменьшить то, что ваш собственный сервер хранит на диске, продолжите нашим руководством о том, как заставить ваш VPS не хранить логов. И как всегда, VPN меняет то, откуда якобы приходит ваш трафик - он не ставит вас выше законов той страны, где вы живёте.