Создание ключа VPN: полное руководство по генерации ключей и сертификатов для OpenVPN и WireGuard

Зачем нужен собственный VPN и при чем здесь ключи

Когда вы подключаетесь к общедоступной Wi-Fi сети в кафе, аэропорту или отеле, ваш трафик может быть перехвачен злоумышленниками, которые находятся в той же сети. Использование VPN решает эту проблему, создавая зашифрованный туннель между вашим устройством и сервером. Однако, чтобы такой туннель был по-настоящему безопасным, необходимо правильно сгенерировать ключи и сертификаты.

Ключи VPN — это криптографические материалы, которые используются для аутентификации и шифрования данных. В зависимости от протокола, это могут быть предварительные общие ключи (PSK), пары «приватный/публичный ключ» или сертификаты, подписанные центром сертификации (CA). Без корректно созданных ключей невозможно установить защищенное соединение, а ошибки в генерации могут привести к уязвимостям.

Создание собственного VPN-сервера дает вам полный контроль над ключами и конфигурацией, в отличие от коммерческих сервисов, где вы вынуждены доверять свои данные третьей стороне. Многие коммерческие VPN-провайдеры, такие как NordVPN или ExpressVPN, видят весь ваш трафик, и хотя они заявляют о политике отсутствия логов, проверить это невозможно. Собственный сервер — это гарантия того, что никто, кроме вас, не имеет доступа к вашим ключам и данным.

Основные протоколы VPN: OpenVPN, WireGuard и другие

Существует несколько протоколов VPN, каждый из которых имеет свои особенности генерации ключей.

OpenVPN — один из самых старых и надежных протоколов. Он использует инфраструктуру открытых ключей (PKI) на основе сертификатов X.509. Для работы OpenVPN требуется создать центр сертификации (CA), серверный сертификат и клиентские сертификаты. Генерация ключей выполняется с помощью утилиты Easy-RSA, которая входит в состав большинства дистрибутивов Linux.

WireGuard — более современный протокол, который использует криптографию на основе Curve25519. Он проще в настройке: достаточно сгенерировать пару ключей (приватный и публичный) для сервера и каждого клиента. Ключи WireGuard представляют собой строки base64 и могут быть созданы одной командой.

IPsec — еще один распространенный протокол, часто используемый для сайт-туннелей. Он также требует генерации ключей и сертификатов, но его настройка сложнее, и он менее популярен для личного использования.

Также существуют протоколы VLESS и другие, но для большинства пользователей оптимальным выбором является OpenVPN или WireGuard. OpenVPN поддерживается большинством роутеров и устройств, а WireGuard отличается высокой скоростью и простотой.

Подготовка к созданию ключей: выбор сервера и установка ПО

Прежде чем приступить к генерации ключей, необходимо подготовить сервер. Вам понадобится виртуальный сервер (VPS/VDS) с операционной системой Linux, например Ubuntu 24.04 или Debian 12. При выборе хостинга обратите внимание на следующие критерии:

• Географическое расположение: чем ближе сервер к вам, тем ниже пинг и выше скорость. Для российских пользователей хорошим выбором являются серверы в Германии или Нидерландах.
• Политика конфиденциальности: выбирайте хостинг, который не передает данные вашей страны. Например, серверы в Великобритании могут быть предпочтительны из-за напряженности между странами.
• Стоимость и условия оплаты: после 2022 года многие зарубежные хостеры перестали принимать российские карты, поэтому обратите внимание на российские или дружественные сервисы, такие как VDSina.

После аренды сервера вам будет предоставлен IP-адрес и root-пароль. Подключитесь к серверу по SSH и выполните базовую настройку: создайте нового пользователя, обновите списки пакетов и установите необходимое ПО.

Для OpenVPN потребуется установить пакеты openvpn и easy-rsa. Для WireGuard — wireguard. Убедитесь, что у вас есть доступ к интернету с сервера и что все команды выполняются от имени пользователя с правами sudo.

Генерация ключей OpenVPN с помощью Easy-RSA: пошаговая инструкция

Рассмотрим процесс создания ключей для OpenVPN на примере Ubuntu 24.04. Этот метод подходит для любого дистрибутива Linux и даже для Windows с минимальными отличиями.

Шаг 1. Установка Easy-RSA

Выполните команды:

sudo apt update
sudo apt install openvpn easy-rsa -y

Шаг 2. Создание структуры Easy-RSA

Создайте директорию и символическую ссылку:

mkdir ~/easy-rsa
ln -s /usr/share/easy-rsa/* ~/easy-rsa/
chmod 700 ~/easy-rsa

Шаг 3. Инициализация PKI

Перейдите в директорию и создайте конфигурационный файл vars:

cd ~/easy-rsa
echo -e 'set_var EASYRSA_ALGO ec\nset_var EASYRSA_DIGEST sha512' > vars
./easyrsa init-pki

Шаг 4. Создание центра сертификации (CA)

./easyrsa build-ca nopass

Система запросит ввести универсальное имя (Common Name). Можно просто нажать Enter. В результате будут созданы два файла: ca.crt (сертификат CA) и ca.key (приватный ключ CA). Приватный ключ CA должен храниться в секрете.

Шаг 5. Генерация серверного ключа и сертификата

./easyrsa gen-req server nopass
./easyrsa sign-req server server

При выполнении первой команды снова нажмите Enter для Common Name. Вторая команда запросит подтверждение — введите yes и пароль CA, если он был установлен.

Шаг 6. Копирование файлов в каталог OpenVPN

sudo cp ~/easy-rsa/pki/private/server.key /etc/openvpn/server
sudo cp ~/easy-rsa/pki/issued/server.crt /etc/openvpn/server
sudo cp ~/easy-rsa/pki/ca.crt /etc/openvpn/server

Шаг 7. Создание ключа HMAC (ta.key)

sudo openvpn --genkey secret /etc/openvpn/server/ta.key

Этот ключ используется для дополнительной защиты от DDoS-атак и сканирования портов.

Шаг 8. Генерация клиентских ключей

Для каждого клиента выполните:

./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

После этого скопируйте файлы клиента в отдельную директорию и создайте конфигурационный файл .ovpn, который будет содержать все необходимые ключи и сертификаты.

Создание ключей WireGuard: просто и быстро

WireGuard — это современный протокол, который набирает популярность благодаря своей простоте и высокой производительности. Для генерации ключей WireGuard не требуется сложная инфраструктура PKI — достаточно сгенерировать пару ключей для сервера и для каждого клиента.

Установка WireGuard

sudo apt install wireguard -y

Генерация ключей сервера

wg genkey | tee server_private.key | wg pubkey > server_public.key

Эта команда создает два файла: server_private.key (приватный ключ) и server_public.key (публичный ключ). Приватный ключ должен храниться в секрете, а публичный — передаваться клиентам.

Генерация ключей клиента

Аналогично для каждого клиента:

wg genkey | tee client1_private.key | wg pubkey > client1_public.key

Настройка конфигурации

Создайте файл /etc/wireguard/wg0.conf на сервере, указав приватный ключ сервера и публичные ключи клиентов. Пример:

[Interface]
Address = 10.0.0.1/24
PrivateKey = <server_private_key>
ListenPort = 51820

[Peer]
PublicKey = <client1_public_key>
AllowedIPs = 10.0.0.2/32

На клиенте создайте аналогичный файл, указав приватный ключ клиента и публичный ключ сервера. После этого можно запустить WireGuard командой sudo wg-quick up wg0.

WireGuard поддерживается на большинстве современных устройств, включая роутеры с прошивками OpenWrt и DD-WRT, а также на всех популярных операционных системах.

Автоматизация создания ключей: скрипты и готовые решения

Если вы не хотите вручную выполнять все команды, можно воспользоваться готовыми скриптами или специализированными инструментами.

Скрипты на GitHub

Существуют универсальные скрипты, которые автоматизируют процесс настройки VPN и генерации ключей. Например, популярный скрипт для OpenVPN задает несколько вопросов и сам создает все необходимые ключи и конфигурационные файлы. Для WireGuard также есть аналогичные скрипты.

AmneziaVPN

Это бесплатное приложение с открытым исходным кодом, которое позволяет развернуть VPN-сервер всего за несколько минут. При первом запуске вы выбираете опцию «Self-hosted VPN», вводите IP-адрес и root-пароль сервера, и программа автоматически устанавливает и настраивает VPN, включая генерацию ключей. AmneziaVPN поддерживает протоколы OpenVPN, WireGuard, IPsec и другие.

Предустановленные VPN на хостинге

Некоторые хостеры, например VDSina, предлагают при заказе сервера сразу установить VPN с веб-интерфейсом управления. В этом случае вам не нужно вручную генерировать ключи — достаточно создать пользователя в панели и скачать готовый конфигурационный файл.

Использование таких решений значительно упрощает процесс, особенно для новичков, но помните, что для полного контроля над безопасностью лучше понимать, как работают ключи, и уметь создавать их вручную.

Настройка сервера OpenVPN: конфигурация и запуск

После генерации ключей необходимо настроить конфигурационный файл OpenVPN. Обычно используется шаблон, который поставляется вместе с пакетом. Скопируйте его в рабочую директорию:

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/server/

Откройте файл в редакторе и внесите следующие изменения:

• Замените dh dh2048.pem на dh none (если вы используете ECDH).
• Раскомментируйте строку push "redirect-gateway def1 bypass-dhcp".
• Раскомментируйте строки с DNS-серверами, например push "dhcp-option DNS 1.1.1.1" и push "dhcp-option DNS 1.0.0.1" (Cloudflare).
• Замените tls-auth ta.key 0 на tls-crypt ta.key.
• Замените cipher AES-256-CBC на cipher AES-256-GCM и добавьте строку auth SHA256.
• В конце файла добавьте user nobody и group nogroup для безопасности.

Также необходимо включить переадресацию IP-пакетов. Раскомментируйте строку net.ipv4.ip_forward=1 в файле /etc/sysctl.conf и примените изменения:

sudo sed -i '/net.ipv4.ip_forward=1/s/^#//g' /etc/sysctl.conf
sudo sysctl -p

Затем настройте iptables для маскарадинга. Узнайте имя сетевого интерфейса командой ip route list default и выполните:

sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/8 -o ens3 -j MASQUERADE

Замените ens3 на ваш интерфейс. Сохраните правила с помощью netfilter-persistent save.

Наконец, запустите сервис:

sudo systemctl enable openvpn-server@server.service
sudo systemctl start openvpn-server@server.service

Проверьте статус командой sudo systemctl status openvpn-server@server.service.

Создание клиентского конфигурационного файла .ovpn

Клиентский конфигурационный файл .ovpn объединяет все необходимые ключи и сертификаты в одном файле, что упрощает подключение. Вы можете создать его вручную или с помощью скрипта.

Вручную файл должен содержать:

client
dev tun
proto udp
remote YOUR_SERVER_IP 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher AES-256-GCM
auth SHA256
verb 3

(содержимое ca.crt)

(содержимое client1.crt)

(содержимое client1.key)

(содержимое ta.key)

Вместо YOUR_SERVER_IP укажите IP-адрес вашего сервера. Вставьте содержимое соответствующих файлов между тегами.

Для автоматизации можно использовать BASH-скрипт, который собирает файл из отдельных компонентов. Пример такого скрипта приведен в статье на Хабре. После создания файла его можно импортировать в любой OpenVPN-клиент, например OpenVPN Connect, или загрузить на роутер с поддержкой OpenVPN.

Важно: файл .ovpn содержит приватные ключи, поэтому храните его в безопасном месте и не передавайте третьим лицам.

Безопасность ключей и типичные ошибки

Ключи VPN — это самый ценный элемент вашей инфраструктуры. Если злоумышленник получит доступ к вашему приватному ключу, он сможет расшифровать ваш трафик или выдать себя за вас. Поэтому соблюдайте следующие правила:

• Храните приватные ключи только на сервере и на устройствах, которым они принадлежат. Никогда не передавайте их по незащищенным каналам.
• Используйте надежные пароли для центра сертификации, если вы его создаете.
• Регулярно обновляйте ключи и сертификаты, особенно если есть подозрение на компрометацию.
• Ограничьте доступ к файлам ключей с помощью прав доступа (chmod 600).

Типичные ошибки при создании ключей:

• Забыли скопировать файлы в правильные директории — сервер не запускается.
• Неправильно указали имя интерфейса в iptables — трафик не маршрутизируется.
• Использовали слабые алгоритмы шифрования (например, SHA1) — снижается безопасность.
• Не включили переадресацию IP — клиенты не могут получить доступ в интернет.

Если что-то пошло не так, проверьте журналы OpenVPN командой sudo journalctl -u openvpn-server@server.service.

Выбор между собственным VPN и коммерческими сервисами

Многие пользователи задаются вопросом: стоит ли создавать собственный VPN или проще воспользоваться коммерческим сервисом? У каждого подхода есть свои плюсы и минусы.

Коммерческие VPN-сервисы (NordVPN, ExpressVPN, CyberGhost) предлагают удобство: не нужно разбираться в настройках, достаточно установить приложение и ввести логин. Однако они видят весь ваш трафик, и хотя заявляют о политике отсутствия логов, проверить это невозможно. Кроме того, на одном сервере могут находиться тысячи пользователей, что приводит к снижению скорости и увеличению пинга.

Собственный VPN-сервер дает вам полный контроль: вы сами выбираете страну, протокол, алгоритмы шифрования и управляете ключами. Это обеспечивает максимальную конфиденциальность, так как никто, кроме вас, не имеет доступа к данным. Однако это требует определенных технических навыков и времени на настройку.

Для большинства пользователей, которые заботятся о безопасности, собственный VPN является более предпочтительным вариантом. Он также позволяет обходить блокировки, как и коммерческие сервисы, но без риска утечки данных третьим лицам.

Если вам нужен VPN срочно, а своего сервера нет, можно временно воспользоваться коммерческим сервисом, но для постоянного использования лучше создать собственный.

Вопросы и ответы