Как сделать свой VPN на Хаб: полное руководство по созданию собственного сервера

Зачем создавать собственный VPN-сервер

Собственный VPN-сервер даёт полный контроль над трафиком, скоростью и безопасностью. В отличие от коммерческих сервисов, где вы делите канал с сотнями других пользователей, ваш личный сервер обеспечивает стабильное соединение без ограничений по числу одновременных подключений. Вы сами выбираете протокол шифрования, DNS-серверы и правила маршрутизации.

Кроме того, собственный VPN позволяет обходить географические блокировки и цензуру, не полагаясь на сторонних провайдеров, которые могут вести логи или передавать данные третьим лицам. Экономия также существенна: аренда самого дешёвого VPS-сервера обходится в несколько сотен рублей в месяц, тогда как подписка на качественный VPN-сервис часто стоит столько же или дороже.

Однако важно понимать, что создание своего VPN требует начальных технических навыков: нужно уметь работать с командной строкой Linux, настраивать файрволл и управлять сертификатами. Для новичков существуют упрощённые решения, такие как Amnezia или готовые скрипты, которые автоматизируют большую часть работы.

Что нужно для создания VPN: подготовка сервера и инструментов

Для любого способа создания VPN потребуется виртуальный сервер (VPS или VDS). Минимальные характеристики: 1 ядро процессора, 1–2 ГБ оперативной памяти и 10–20 ГБ дискового пространства. Операционная система — Ubuntu 24.04 или Debian 12, так как они имеют самые свежие пакеты и широкую поддержку сообщества.

При заказе сервера обратите внимание на расположение дата-центра: чем ближе к вашему региону, тем ниже задержка. Некоторые хостинг-провайдеры при заказе предлагают сразу установить VPN-сервер с веб-интерфейсом управления — это удобно для начинающих.

После получения доступа к серверу (IP-адрес и root-пароль) можно приступать к настройке. Вам также понадобится SSH-клиент (например, PuTTY для Windows или встроенный терминал в macOS/Linux) для подключения к серверу. Для упрощённых методов, таких как Amnezia, достаточно установить клиентское приложение на компьютер или телефон.

Способ 1: Amnezia — самый простой и быстрый вариант

Amnezia — это бесплатное приложение с открытым исходным кодом, которое автоматически разворачивает VPN-сервер на вашем VPS. Достаточно установить клиент AmneziaVPN на компьютер или телефон, при первом запуске выбрать «Self-hosted VPN» и ввести IP-адрес и root-пароль сервера. Программа сама установит всё необходимое и настроит подключение.

Поддерживаемые протоколы: OpenVPN, WireGuard, IPsec и другие. Вы можете переключаться между ними в настройках клиента. Amnezia доступна для Windows, macOS, Linux, Android и iOS. Это идеальный вариант для тех, кто хочет получить работающий VPN за 5–10 минут без ручного ввода команд.

После настройки приложение экспортирует конфигурационный файл или ссылку-подписку, которую можно импортировать в другие клиенты, например Happ. Таким образом, вы можете использовать Amnezia как «мастер» для первоначальной настройки, а затем подключаться через более лёгкий клиент.

Способ 2: Виртуальный сервер с предустановленным VPN

Некоторые хостинг-провайдеры при заказе VPS предлагают сразу установить VPN-сервер с веб-интерфейсом управления. Это позволяет создавать пользователей, скачивать конфигурационные файлы и отслеживать статистику подключений без доступа к командной строке.

После активации такого сервера вы заходите в веб-интерфейс, создаёте нового пользователя и скачиваете его конфигурационный файл (обычно .ovpn для OpenVPN или .conf для WireGuard). Затем этот файл импортируется в любой VPN-клиент, поддерживающий соответствующий протокол.

Популярные клиенты: OpenVPN Connect (Windows, macOS, Linux, Android, iOS), WireGuard (все основные платформы). Многие современные роутеры также имеют встроенные VPN-клиенты, поддерживающие OpenVPN или WireGuard, что позволяет защитить все устройства в домашней сети без установки дополнительного ПО.

Способ 3: Готовые скрипты для полуавтоматической настройки

На GitHub существуют готовые скрипты, которые автоматизируют установку и настройку VPN-сервера. Мастер установки задаёт несколько вопросов (протокол, порт, DNS-серверы), после чего скрипт самостоятельно настраивает сервер и создаёт конфигурационный файл для клиента.

Один из наиболее популярных скриптов — для OpenVPN (openvpn-install). Он работает на Ubuntu, Debian, CentOS и других дистрибутивах. Скрипт для WireGuard (wireguard-install) также широко используется. Оба скрипта поддерживают создание нескольких клиентов и удобное управление ими.

Этот способ требует базовых навыков работы с командной строкой: нужно подключиться к серверу по SSH, скачать скрипт и запустить его с правами root. Всё остальное скрипт делает автоматически. После завершения вы получаете готовый конфигурационный файл, который можно импортировать в клиент.

Способ 4: Ручная настройка OpenVPN на Ubuntu 24.04

Этот метод даёт максимальный контроль над конфигурацией, но требует внимательности и понимания процессов. Рассмотрим пошагово.

1. Подключитесь к серверу как root, создайте нового пользователя и добавьте его в группу sudo:

adduser user
usermod -aG sudo user

Войдите под этим пользователем.

1. Обновите списки пакетов и установите OpenVPN и Easy-RSA:

sudo apt update
sudo apt install openvpn easy-rsa -y

1. Создайте директорию для Easy-RSA и инициализируйте инфраструктуру открытых ключей (PKI):

mkdir ~/easy-rsa
ln -s /usr/share/easy-rsa/* ~/easy-rsa/
chmod 700 ~/easy-rsa
cd ~/easy-rsa
echo -e 'set_var EASYRSA_ALGO ec\nset_var EASYRSA_DIGEST sha512' > vars
./easyrsa init-pki

1. Сгенерируйте ключи удостоверяющего центра и сертификаты для сервера и клиента:

./easyrsa build-ca nopass
./easyrsa gen-req server nopass
./easyrsa sign-req server server

Скопируйте созданные файлы в каталог OpenVPN:

sudo cp ~/easy-rsa/pki/private/server.key /etc/openvpn/server
sudo cp ~/easy-rsa/pki/issued/server.crt /etc/openvpn/server
sudo cp ~/easy-rsa/pki/ca.crt /etc/openvpn/server

1. Создайте предварительный общий ключ (PSK) для дополнительной защиты:

sudo openvpn --genkey secret /etc/openvpn/server/ta.key

1. Выпустите сертификат для клиента (например, client1):

./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

1. Настройте конфигурационный файл сервера. Скопируйте шаблон:

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/server/

Отредактируйте файл /etc/openvpn/server/server.conf:

• Замените dh dh2048.pem на dh none
• Раскомментируйте push "redirect-gateway def1 bypass-dhcp"
• Раскомментируйте строки с DNS (рекомендуется CloudFlare 1.1.1.1 и 1.0.0.1)
• Замените tls-auth ta.key 0 на tls-crypt ta.key
• Замените cipher AES-256-CBC на cipher AES-256-GCM и добавьте auth SHA256
• Добавьте в конец файла user nobody и group nogroup

1. Включите переадресацию пакетов:

sudo sed -i '/net.ipv4.ip_forward=1/s/^#//g' /etc/sysctl.conf
sudo sysctl -p

1. Настройте iptables для форвардинга и маскарадинга. Определите имя публичного интерфейса командой ip route list default, затем выполните:

sudo iptables -A INPUT -i tun+ -j ACCEPT
sudo iptables -A FORWARD -i tun+ -j ACCEPT
sudo iptables -A FORWARD -i ens3 -o tun+ -j ACCEPT
sudo iptables -A FORWARD -i tun+ -o ens3 -j ACCEPT
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/8 -o ens3 -j MASQUERADE
sudo netfilter-persistent save

1. Запустите сервис OpenVPN и добавьте его в автозагрузку:

sudo systemctl enable openvpn-server@server.service
sudo systemctl start openvpn-server@server.service

1. Создайте конфигурационный файл для клиента. Напишите скрипт create_client_config.sh, который объединит сертификаты и ключи в один .ovpn файл. Укажите в нём IP-адрес вашего сервера. Запустите скрипт для client1. Полученный файл client1.ovpn импортируйте в любой OpenVPN-клиент.

Подключение через клиент Happ: пошаговая инструкция

Happ — это лёгкий VPN-клиент, который сам по себе не создаёт сервер, а подключается к уже настроенному. Чтобы использовать Happ со своим сервером, выполните следующие шаги:

1. Убедитесь, что на вашем сервере поднят VPN (например, через Amnezia или ручную настройку) и вы получили конфигурационную ссылку или файл.

1. Скачайте Happ из официального магазина приложений на телефон или компьютер.

1. Откройте Happ и нажмите «Добавить подключение». Вставьте скопированную ссылку-подписку (например, vless://...) или отсканируйте QR-код, если он есть.

1. Выберите добавленный сервер в списке и нажмите «Подключиться». Через несколько секунд туннель будет установлен.

1. Проверьте, что ваш внешний IP-адрес изменился на адрес сервера, открыв любой сервис определения IP.

Если подключение не устанавливается, проверьте целостность ссылки: часто проблема в лишнем пробеле или обрезанном символе. Скопируйте ссылку заново.

Раздельное туннелирование: настройка Happ для отдельных приложений

Happ поддерживает функцию раздельного туннелирования (split tunneling), которая позволяет направлять через VPN только трафик выбранных приложений, а остальные оставлять напрямую. Это полезно, когда некоторые сервисы (например, банковские приложения) не должны видеть ваш VPN-адрес.

Настройка выполняется в самом Happ на стороне клиента. В настройках подключения вы можете выбрать один из режимов:

• Весь трафик через VPN (по умолчанию)
• Только выбранные приложения
• Все, кроме выбранных (режим исключения)

Для новичков удобнее режим исключения: включите VPN для всего трафика, а в список исключений добавьте банк, доставку еды и другие локальные сервисы. Это снимает проблему, когда банк блокирует вход из-за «чужой» страны.

Важно: не добавляйте банковские приложения в VPN-туннель «на всякий случай». Банк может заподозрить необычную активность и запросить дополнительную верификацию.

Безопасность и стабильность: советы по эксплуатации

Чтобы ваш VPN-сервер работал стабильно и безопасно, соблюдайте несколько правил:

• Регулярно обновляйте операционную систему и установленное ПО. Используйте sudo apt update && sudo apt upgrade хотя бы раз в месяц.
• Используйте сильные пароли для root и пользователей. Рассмотрите возможность входа по SSH-ключам вместо пароля.
• Настройте файрволл (ufw или iptables), чтобы разрешить только необходимые порты (например, 1194 для OpenVPN, 22 для SSH).
• Включите автоматические резервные копии конфигурационных файлов сервера, чтобы быстро восстановить работу в случае сбоя.
• Мониторьте логи сервера (journalctl -u openvpn-server@server.service) для выявления подозрительной активности.
• Если используете Amnezia или готовые скрипты, проверяйте, что они загружены из официальных источников (GitHub репозиториев).

Для повышения производительности выбирайте сервер с достаточным объёмом RAM и быстрым процессором. Если планируется много одновременных подключений, увеличьте лимиты в конфигурации OpenVPN.

Вопросы и ответы