OpenVPN: свой VPN-сервер без облачных сервисов

OpenVPN строится на собственном PKI — сертификаты сервера и клиентов подписаны одним CA, который выпускается через easy-rsa, идущий в комплекте.

./easyrsa init-pki
./easyrsa build-ca
./easyrsa build-server-full server nopass
./easyrsa build-client-full client1 nopass

Минимальный server.conf:

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-auth ta.key 0

tls-auth добавляет HMAC-подпись поверх TLS-хендшейка — защита от DoS через невалидные пакеты и от сканирования порта: сервер не отвечает вообще, если пакет не подписан правильным ta.key.

Статус активных подключений — systemctl status openvpn@server и файл /var/log/openvpn/status.log, который OpenVPN обновляет периодически сам.

#vpn #linux #security