- Šifruotų tunelių diegimas naudojant SSL/TLS protokolus, siekiant užtikrinti visišką duomenų privatumą.
- Konfigūracijos lankstumas tarp TUN režimų 3 sluoksnio maršrutizavimui ir TAP režimų 2 sluoksnio tilteliams.
- Tvirtas autentifikavimo valdymas, pagrįstas viešojo rakto infrastruktūra (PKI) su skaitmeniniais sertifikatais.
- Našumo optimizavimas naudojant UDP ir modernias technologijas, tokias kaip duomenų kanalų perkrovimas (DCO).
Šiandien apsaugoti savo skaitmeninį pėdsaką ir išlaikyti privatumą beveik neįmanoma, jei nekontroliuojame. Vienas geriausių būdų apsaugoti savo ryšį yra susikurti savo VPN serverį , kuris leidžia mums sukurti saugų tunelį tarp mūsų įrenginių ir vietinio tinklo, nepasikliaujant trečiosiomis šalimis, kurios gali šnipinėti mūsų duomenis. Jei abejojate dėl našumo, galite išanalizuoti, ar pasirinktinis VPN, ar komercinis, yra geriausias pasirinkimas jūsų privatumui.
Jei techniniai terminai jus šiek tiek glumina, nesijaudinkite, čia išsamiai aptarsime visą procesą. „OpenVPN“ yra pagrindinė priemonė šiam tikslui, nes ji yra atvirojo kodo, itin lanksti ir, nors iš pradžių reikia priprasti, suteikia visišką kontrolę , kas patenka į jūsų tinklą ir kaip keliauja užšifruota informacija.
Pagrindinės sąvokos ir veikimas
Prieš pradedant detaliau kalbėti, svarbu suprasti, kad VPN (virtualus privatus tinklas) iš esmės yra jūsų vietinio tinklo (LAN) plėtinys per viešąjį tinklą, pvz., internetą. Norėdamas tai pasiekti, „OpenVPN“ naudoja užšifruotus ryšius, pagrįstus SSL ir TLS standartais , užtikrindamas, kad bet kuris įsilaužėlis ar šnipinėjimo programišius, bandantis užfiksuoti srautą, matys tik neįskaitomą triukšmą.
Svarbiausia yra pasirinkti veikimo režimą. TUN (tunelio) režimas yra labiausiai paplitęs, nes jis imituoja „taškas-taškas“ 3 lygio įrenginį, idealiai tinkantį IP srautui nukreipti. Kita vertus, TAP (tilto) režimas imituoja 2 lygio Ethernet plokštę, leisdamas klientams atrodyti fiziškai esantiems tame pačiame potinklyje, o tai labai naudinga ne IP protokolams arba senesniems žaidimams.
Būtinos sąlygos ir aparatinė įranga
Kad tai veiktų, jums reikia serverio. Tai gali būti „Windows 10“ kompiuteris, „Debian“ serveris su „Linux“, „Raspberry Pi“ arba net VPS debesyje, jei nenorite turėti aparatinės įrangos namuose. Būtinas stabilus interneto ryšys , o jei norite prie jo prisijungti ne namuose, jums reikės viešojo IP adreso. Jei jūsų interneto paslaugų teikėjas jus numatė už CG-NAT , kils problemų atidarant prievadus, todėl rekomenduoju susisiekti su jais ir paprašyti tikro viešojo IP adreso.
Konfigūravimas „Windows“ aplinkose
Norėdami nustatyti serverį sistemoje „Windows“, pirmiausia turite atsisiųsti oficialią „OpenVPN“ diegimo programą. Diegimo metu labai svarbu pažymėti langelį „EasyRSA 2 Certificate Management Scripts“ , nes tai būtina saugos raktams generuoti. Įdiegus programinę įrangą, ji sukuria virtualų TAP adapterį, kuris valdys VPN IP adresą.
Daugiausiai darbo reikalaujanti dalis yra sertifikatų kūrimas. Naudodami komandų eilutę kaip administratorius, turime pereiti į „Easy-RSA“ aplanką ir paleisti tokias komandas kaip „init-config“ ir redaguoti failą „vars.bat“, kad įvestume savo informaciją. Tada sugeneruojame sertifikatų išdavimo tarnybą (CA), serverio raktą ir „Diffie-Hellman“ (dh) parametrus, kurie leidžia serveriui ir klientui susitarti dėl slapto rakto jo iš anksto neapsikeitus.
Kalbant apie konfigūracijos failą (.ovpn), turite apibrėžti protokolą (dažniausiai UDP, nes jis greitesnis ir atsparesnis DoS atakoms), prievadą (standartas yra 1194) ir kelius į sukurtus sertifikatus. Nepamirškite sukonfigūruoti IP adresų diapazono, kurį serveris priskirs klientams, pavyzdžiui, 10.8.0.0/24 segmento , kad išvengtumėte konfliktų su jūsų namų tinklu.
Įgyvendinimas GNU/Linux (Debian) aplinkoje
„Linux“ sistemoje procesas yra paprastesnis naudojant terminalą. Įdiegiame paketą su apt install openvpn ir mes naudojame Easy-RSA 3 PKI valdymui. Čia galime pasirinkti didesnį saugumą, naudodami Elipsinės kreivės (EC) su secp521r1 algoritmu ir SHA512 parašais, kurie sumažina apdorojimo apkrovą ir padidina šifravimo patikimumą.
Sugeneravus serverio ir kliento sertifikatus, sukuriame failą server.confRekomenduojama pridėti direktyvą tls-kriptas Norėdami apsaugoti valdymo kanalą ir užkirsti kelią paslaugų teikimo trikdymo atakoms, turime jį įjungti, kad klientai galėtų pasiekti kitus namuose esančius įrenginius. IP peradresavimas (ip_forward) „Linux“ branduolyje, leidžiant serveriui veikti kaip tiltui į vietinį tinklą. Norėdami sustiprinti apsaugą, galite sužinoti Kaip sukonfigūruoti „Fail2Ban“, kad apsaugotumėte savo „Linux“ serverį.
Greitos alternatyvos ir verslo sprendimai
Jei nenorite vargti su konsole, yra automatinio diegimo scenarijai (pvz., garsusis) openvpn-install.sh), kurie viską sukonfigūruoja per kelias sekundes VPS serveryje. Taip pat yra „OpenVPN Access Server“, versija su daug intuityvesne žiniatinklio sąsaja, leidžiančia valdyti naudotojus ir atsisiųsti klientų profilius neliečiant nė vienos kodo eilutės.
Tiems, kurie siekia itin didelio našumo, naujoji duomenų kanalo perkrovimo (DCO) funkcija, integruota į šiuolaikinius „Linux“ branduolius, perkelia šifravimą į sistemos branduolį, padvigubindama perdavimo greitį ir drastiškai sumažindama procesoriaus apkrovą. Jei tai atrodo pernelyg sudėtinga, yra alternatyvų, pavyzdžiui, VPN nustatymas su „WireGuard“ „Raspberry Pi“ kompiuteryje , kuris yra modernesnis ir greitesnis, nors „OpenVPN“ išlieka pirmaujantis suderinamumo ir pritaikymo požiūriu.
Ryšys ir nuotolinė prieiga
Kad išorinis pasaulis galėtų rasti jūsų serverį, turite pasiekti maršrutizatoriaus nustatymus ir sukonfigūruoti UDP prievado 1194 peradresavimą į serverio statinį IP adresą. Jei jūsų viešasis IP adresas dažnai keičiasi, geriausia nustatyti dinaminio DNS (DDNS) paslaugą, pvz., „No-IP“ arba „DynDNS“. Tai leis jums prisijungti naudojant vardą (pvz., myhome.ddns.net), o ne skaitmeninį IP adresą.
Kliento pusėje, nesvarbu, ar tai „Windows“, „Android“, ar „iOS“, jums tereikia importuoti .ovpn failą ir atitinkamus sertifikatus. Svarbu patikrinti, ar šifras abiejose pusėse yra tas pats, pavyzdžiui, AES-256-GCM , kad išvengtumėte patvirtinimo klaidų ar autentifikavimo gedimų tunelio kūrimo metu.
Dažnas trikčių šalinimas
Normalu, kad pirmą kartą kažkas nepavyksta. Jei klientas užstringa laukimo būsenoje, greičiausiai prievadą blokuoja „Windows“ užkarda arba maršrutizatorius . Norėdami tai optimizuoti, galite patikrinti išplėstinius užkardos nustatymus serveriuose . Jei matote pranešimus „TLS klaida“, patikrinkite, ar ta.key failas yra identiškas ir serveryje, ir kliente. Galiausiai, jei ryšys užmegztas, bet negalite pasiekti vietinio tinklo, patikrinkite, ar maršrutizatoriuje sukūrėte statinį maršrutą, nukreipiantį į VPN serverio IP adresą.
Vietinio „OpenVPN“ serverio nustatymas bet kurį paprastą kompiuterį paverčia privatumo tvirtove, palengvindamas saugią nuotolinę prieigą prie failų, IP kamerų ar spausdintuvų, tiesiogiai jų neatskleidžiant internetu. Nesvarbu, ar pasirinksite išsamią rankinę konfigūraciją, kad galėtumėte visiškai kontroliuoti, ar VPS serveryje naudosite automatinius scenarijus, ar diegsite suderinamuose maršrutizatoriuose, svarbiausia yra tinkamas sertifikatų valdymas ir tikslus prievadų peradresavimas užkardoje.
