Теплый и ламповый VPN

сразу видно, что софт не доведен до уровня пользователя.

автор, ты писал это для пользователей у которых зарублен youtube и т.п. или просто историю из своей жизни?

>Как спасти свою милую от стресса в 2 часа ночи?
Есть другие более приятные способы.

Ага, а потом она будет жаловаться на надписи
«К сожалению, это музыкальное содержание ИМЯ_КОПИРАСТА_КРЫШУЕМОГО_ГЕМОЙ не доступно в Германии, потому что организация GEMA не предоставила соответствующие издательские права.»
Проблему решил настройкой IPv6 от HE.net (гуглом все сети туннельброкера определяются как США), подцепленного к тому самому серверу в Германии. Но там все сложнее с настройкой DualStack поверх tap.

Для Android нынче рынок VPN не такой тусклый как был раньше, и сейчас можно подключиться в пару кликов. Поэтому париться с настройкой под мобильный я бы по крайней мере не стал. Кроме того, учитывая, что надо еще и на вдс деньги тратить… лучше уж софт готовый поюзаю с халявушкой.

play.google.com/store/search?q=vpn

В этом посте я узнал про замечательного хостера. Завтра вышлю админа покупать сервера.

Возможно она специально забанила youtube, чтобы ты к ней приехал, а ты взял и VPN поднял ))

Напомнило
habrastorage.org/storage2/e80/254/d3d/e80254d3d8d4617b86d35b4f1edce694.jpg

Если абстрагироваться от удовольствия сделать это с нуля собственными руками и от прокачки кармы :), то есть смысл сравнить упомянутые затраты на сервер — «Hetzner подойдет, цена вопроса всего 7.90 Евро/мес» с тарифами упоминаемого Вами в ссылках «Hide My Ass» — от $11.52/мес до $6.55/мес при заказе срока пользования VPN соответственно 1 мес. и 1 год.
При этом у НМА 282 сервера в 51-й стране. Завтра Вам может понадобиться американский IP — например, захочется послушать радио pandora.com или какой-то ролик на youtube окажется заблокированным и для немцев.

Можно вместо хетзнера взять Amazon AWS. Недавно настраивал работает вполне сносно. По цене вообще полная шара (ну ток за трафик не вылазить), ибо в Free акк оно вписывается без особых проблем.
Для тех, кому лень заморачиваться с настройками, есть openvpn.net/ ставиться в пару кликов, работает прямо из коробки, как на серверное стороне так и на клиентской.

не знаю почему, но содержание топика вызвало ностальгию по интернету начала 2000х. недостаток underground'a видимо

Тоже думаю последнее время про VPN. Анонимность меня не сильно волнует (точнее волнует, но я вроде не параноик), но в универе есть открытая сеть и вот там с некоторых пор приходится часто пользоваться ноутбуком и вобщем-то опасаюсь за свои пароли и прочую ерунду. Насколько безопасно пользоваться открытой точкой доступа wifi и при этом по соединению ssl? Gmail, google account, google reader и т.п. — т.е. все что угодно, но через ssl(https)?

Собственноручно поднятый vpn-сервер безопаснее коммерческой услуги? Если предположить, что коммерческих провайдеров vpn обязывают вести логи и предоставлять их в случае чего?

Я себе такой-же практически поднял. Очень доволен.
Подключаюсь с Android телефона и с ноутбука.

Думаю не помешает заметить, что в Linux можно подключаться очень просто через openvpn плагин для NetworkManager через GUI и без ковыряния конфигов.

Я ключи генерирую в /etc/openvpn/keys а не в /usr/share/doc/openvpn/examples/easy-rsa/2.0/ т.к. второй смотрится как-то не интуитивно =)

Вот мои конфиги, если кому интересно.

$ ls /etc/openvpn/
keys  README  server.conf  update-resolv-conf  vars

$ cat /etc/openvpn/server.conf | grep -E "^[a-z]"
port 1194
proto udp
dev tun
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key  # This file should be kept secret
dh /etc/openvpn/keys/dh1024.pem
server 10.8.0.0 255.255.255.128
push "redirect-gateway def1"
push "dhcp-option DNS 208.67.222.222"
client-to-client
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
verb 3

$ cat /etc/openvpn/vars | grep -E "^[a-z]"
export EASY_RSA="`pwd`"
export OPENSSL="openssl"
export PKCS11TOOL="pkcs11-tool"
export GREP="grep"
export KEY_CONFIG=`$EASY_RSA/whichopensslcnf $EASY_RSA`
export KEY_DIR="/etc/openvpn/keys"
echo NOTE: If you run ./clean-all, I will be doing a rm -rf on $KEY_DIR
export PKCS11_MODULE_PATH="dummy"
export PKCS11_PIN="dummy"
export KEY_SIZE=1024
export CA_EXPIRE=3650
export KEY_EXPIRE=3650
export KEY_COUNTRY="RU"
export KEY_PROVINCE="Moscow"
export KEY_CITY="Moscow"
export KEY_ORG="seriyps"
export KEY_EMAIL="me@*********"

$ cat /etc/openvpn/README
http://habrahabr.ru/blogs/linux/67209/
http://lithium.opennet.ru/articles/openvpn/openvpn-howto.html

# NAT
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/25 -o eth0 -j MASQUERADE 
sudo sysctl net.ipv4.ip_forward=1

# Generate new key
sudo su
cd /usr/share/doc/openvpn/examples/easy-rsa/2.0/
source /etc/openvpn/vars
export CLIENT_NAME="client_name"
./build-key-pass $CLIENT_NAME
tar -cf /home/seriy/$CLIENT_NAME.tar /etc/openvpn/keys/ca.crt /etc/openvpn/keys/$CLIENT_NAME.{crt,key}
sudo chown seriy:seriy /home/seriy/$CLIENT_NAME.tar

У себя дома в Молдове сделал домашнюю файлопомойку, с торрент клиентом, и бонусом добавил VPN сервер. Как в воду глядел.
В Молдове на работе внешка была зарезана до полумегабита, а интранет доступен на 100 мегабит, вот и нужен был vpn сервер, чтобы пользоваться с работы быстрым домашним 30мегабитным инетом. Как оказалось, не зря я курил маны по установке vpn сервера на Ubuntu.
Понаехав в Россию, мой молдавский сервер VPN оказался как никогда актуален в свете последних событий, так как в Молдове не блочат сервера в интернете — нет смысла, да и законодательство не позволяет.

Для России цена этого сервера без налога €6.64. Плюс, если планируете у них держать NS — €0.5 один раз за добавление домена. Сам пользуюсь уже больше года. Не только VPN, а еще всякие разные сервисы для себя.

У меня VPN до дома есть уже давно. В качестве сервера D-Link DFL-800, так как никаких секретных данных не гоняю, то все без изысков. Стандартный PPTP с минимальным шифрованием (ибо настраивалось еще на русской прошивке, а там все что больше 56бит недоступно ибо ФЗ). Плюс PPTP в том, что работает на всем, чем нужно вообще без плясок с бубном (Win, OS X, Android, iOS), спокойно НАТится в обе стороны, в отличии от L2TP и чистого IPSec-а, и не надо ничего устанавливать.
Недавно тоже прикупил себе на всякий случай серверок и поднял до него IPSec (с той стороны racoon под CentOS) в тестовых целях. Хотя РТК (да и остальные провы в нашем регионе) пока ничего не блокирует, но так спокойнее. Если что-то заблокируют, можно зарулить в IPSec-овый туннель.

В такой конфигурации какая максимальная скорость соединения была?

А кто бы подсказал подходящего провайдера для размещения VPN-сервера внутри России. А то в наших палестинах и со спутника толком ничего не транслируют на русском и по IP большинство русскоязычных сервисов режут. А так хоть к ним доступ бы был. А то есть у человека желание смотреть отечественное ТВ, а как помочь, да так чтобы за недорого, пока не придумал.

А насколько правильно править ручками файлы в /usr/ пусть даже в директории examples?

Наверняка можно поставить как DIY приложение на OpenShift (https://openshift.redhat.com/ ), тогда получаем вообще бесплатное решение

Статья хорошая, но у моей бы крыша точно бы уехала)

А что мешает использовать купленный сервер как прокси используя ssh-туннель?
Поставить программку Bitvise Tunnelier, прописать там динамический туннелинг и дать наказ жёношке запускать эту прогу и в настройках браузера прописать полученный прокси? Там телодвижений намного меньше

А Hetzner не банит за использование VPN? Где-то читал, что запрещено… но что-то сейчас не найду гед ((

А с какой стати вообще youtube заблокирован? И почему не сменить провайдера на другого, «годного»?

1) Не рекомендуется для генерации ключей использовать VPN сервер. При компрометации ca.* файлов компрометируется вся сеть. Лучше вынести папку easy-rsa куда-нибудь в безопасное место.

2) Не стоит использовать стандартный порт. Причины очевидны. Устанете дяде из ФСБ объяснять, что это Вы ютуб смотрите, а не «central processors» (CP) передаете через этот Ваш буржуйский openvpn.

3) Включите tls-auth:
openvpn --genkey --secret ta.key
раскидываем ta.key на сервер и клиенты, Далее
tls-auth ta.key 0 — на сервере
tls-auth ta.key 1 — на клиентах
Телодвижений минимум, а выгода: скрытие факта существования VPN сервера и защита от (D)DOS'a, даже если спалите нестандартный порт.

4) (да, я параноик!) chroot наше все. OpenVPN это прекрасно умеет.
5) Включите верификацию сертификата сервера на клиентах (remote-cert-tls server), а то школьник Вася, прилежно загугливший про man-in-the-middle атаки будет слушать весь Ваш трафик, в то время, как Вы будете успокоены безопасностью VPN.
6) Чем длинее ключи, тем спокойнее спится. У меня VDSка за 150 рублей вполне спокойно рулит трафиком с
KEY_SIZE=2048
cipher AES-256-CBC
7) С помощью iptables не только трафик форвардить надо, еще все порты, что не нужно лучше сразу закрыть.

Подробная инструкция на английском: openvpn.net/index.php/open-source/documentation/howto.html#security

А может кто знающий подскажет решение следующих идей:
1. Контролировать/органичить траффик (объем скажем в день/месяц) по VPN для отдельного пользователя.
2. На клиенте пустить по VPN только определенные хосты (для экономии платного траффика), скажем только Youtube.
3. Получить доступ (объеденить в одну сеть) по Windows Network внутрь Windows виртуальной машины на том же сервере, что и VPN.

Хм, насколько я понимаю на iOS (Apple) под OpenVPN клиента не существует? (везде предлагают только для джелбрекнутых версий клиенты)?

Вот буквально на днях выбрал себе такую же конфигурацию. Автор, спасибо! теперь руки точно дойдут.

Ubuntu server 12.04.1, локальный IP: 192.168.1.33, Маршрутизатор: 192.168.1.1 + внешний IP, порт 1194 проброшен.

Сделал всё по инструкции. Windows-машина подключается, но доступ почему то есть только к 192.168.1.33. Любые другие адреса не отвечают. (Подсоединялся с другого провайдера.)

server.conf http://paste.org.ru/?0l9n5a
openvpn-windows клиент http://paste.org.ru/?i1lhzq

В чем может быть проблема?

Простите, возможно глупый вопрос, но мне не понятно — после установки впн-клиента на андроиде и подключения его к серверу — почему вдруг браузер или любое другое приложение должно идти на запрашиваемый ресурс не напрямую, а через канал впн?
Клиент впн под андроид назначает шлюз по умолчанию для активного интерфейса? Или создает виртуальный интерфейс, связывает его с интерфейсом сервера впн, делая его шлюзом по-умолчанию?
Если я при этом расшариваю этот интернет с помощью телефона (делаю его wifi-точкой доступа) — то клиенты этого wifi — тоже пойдут в интернет по впн?
Простите еще раз за возможную глупость, просто хотелось бы все до конца понять. Связывая 2 сети через интернет с помощью openvpn мне пришлось править iptables направляя трафик из одной сети в другую и наоборот.

«создает виртуальный интерфейс, связывает его с интерфейсом сервера впн, делая его шлюзом по-умолчанию?»

Связывая 2 сети через интернет с помощью openvpn мне пришлось править iptables направляя трафик из одной сети в другую и наоборот.
Достаточно было сказать
push «redirect-gateway def1 bypass-dhcp»
в конфиге сервера. Кстати, это можно говорить для отдельных клиентов, используя параметр ccd.

Как раз решил настроить OpenVPN на своем VPS на базе CentOS.
Сделал по инструкции.
Прописываю параметр push «redirect-gateway def1 bypass-dhcp»
Трафик до сервера ходит нормально, но вот дальше начинаются проблемы.
Трассировка на доменные имена на работает.
Трассировка на, к примеру, 8.8.8.8 занимает пару минут.
На машине ничего не открывается.
Клиент под Windows.
route PRINT на нем выдает
IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.1.1 192.168.1.2 25
0.0.0.0 128.0.0.0 10.18.0.5 10.18.0.6 30
10.18.0.0 255.255.255.0 10.18.0.5 10.18.0.6 30
10.18.0.4 255.255.255.252 On-link 10.18.0.6 286
10.18.0.6 255.255.255.255 On-link 10.18.0.6 286
10.18.0.7 255.255.255.255 On-link 10.18.0.6 286
…

Ранее с такой проблемой не сталкивался. В iptables все прописано корректно. Как понять в чем может быть проблема?

Кстати хетцнеру не нравится, когда его пользуют под vpn. Был опыт — забанили.

Я попытался нагуглить эту статью по словам «OpenVPN на страже семейных отношений», так как фраза классная и запоминающаяся. Не получилось, хотя через посик хабра нашел.
Потом понял, что фраза была в самой картинке

Внес небольшие изменения в статью (конфиги и комментарии), надеюсь она не стала чуть более запутанной.

Вохможно есть вариант дешевле. Выбираем на Amazon Web Services Free Usage Tier получаете машинку примерно тех же параметров на год безплатно. Там же есть ещё Virtual Private Cloud но безплатно уже не выйдет. 5 центов в час.

Сделал все как в инструкции. Кто нибудь может объяснить, как сделать, чтобы whoer.net не палил мой российский DNS?

На днях заморочился автоматизацией подключения и хранением сертификатов для подключения, получилось достаточно дружелюбно.

SFX EXE файл с упакованным во внутрь томом TrueCrypt и самим TrueCrypt в портативном виде. При запуске exe файла, все его содержимое (бинарник truecrypt и том tc) извлекаются во временную директорию, ./tmp_vpn, рядом с exe файлом, удобно например если носишь на флешке.
после того как все будет распаковано, открывается консоль CMD и запрашивает пароль от тома tc, введенный пароль заменяется символами **** через EditV64 или EditV32 (архитектура определяется автоматом), если пароль на том введен верно, он монтируется в тихом режиме как флешка, на томе лежит защищенный паролем сертификат PFX и бинарники openvpn для 32 и 64 битных ПК, конфиг создается на лету из скрипта и кладется рядом с сертификатом, после этого консоль спрашивает второй IP, уже от сертификата, если пароль подошел, происходит подключение к тоннелю. Для разрыва соединения достаточно закрыть консоль.

Для конечного пользователя все выглядит достаточно просто, он вставляет флешку в любой ПК, запускает exe файл, вводит 2 пароля и всё, он подключен.

При закрытии терминала происходит автоматическое отключение от тоннеля и размонтирование тома TC. Все достаточно не плохо. Драйвера TAP ставятся на ПК при необходимости тоже в автоматическом режиме, разве что выйдет окно, доверяете ли вы издателю.

А есть такое же руководство, но для поднятия vpn pptp сервера? Спасибо.

Небольшое дополнение.

Если необходимо чётко установить исходящий IP-адрес (к примеру, если на сервере их много), то вместо:

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Указываем:

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source 111.222.333.444

где 111.222.333.444 — внешний IP сервера.

PS. Если вы уже ввели первое условие, то чтобы его удалить запускаем:

iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

т.е. вместо «-A», указываем «-D».

В последних версиях openvpn easy-rsa исключили из пакета. Есть ли где-то актуальная инструкция?

Старался всё делать по инструкции, но не взлетело.

• Запускаю так: sudo openvpn --config ./vpn.ovpn. Получаю Initialization Sequence Completed
• На сервере openvpn.log пуст
• На сервере openvpn-status.log видит 10.8.0.6,faiwer,мойip:1194,Thu Mar 31 10:41:28 2016 клиента, судя по всему
• На клиенте nslookup ya.ru и nslookup youtube.com 8.8.8.8 ― пусто
• На сервере эти же команды возвращают адреса.
• Ping на сервере до 93.158.134.3 (yandex из nslookup) идёт, а на клиенте молчит (даже по прямому IP т.е.)
• На сервере cat /proc/sys/net/ipv4/ip_forward выдаёт 1
• На сервере service openvpn status пишет * VPN 'server' is running
• ping к серверу по его IP на клиенте идёт
• ping к серверу по его домену уже нет

ЧЯДНТ? В сетях почти ничего не понимаю...