Настройка OpenVPV-сервера на Windows Server

Представляю подробную инструкцию по OpenVPN на Windows server 2012 c уровнем шифрования OpenSSL.  А также как подключить клиентов к созданной виртуальной частной сети. Здесь подробно описаны все параметры.

Прекращение доступа пользователя к OpenVPN

Отозвать у пользователя доступ к OpenVPN можно в меню Сеть > VPN > Пользователи. Снимите флаг «OpenVPN-доступ» напротив нужного пользователя и нажмите «Сохранить».

Доступ у пользователя прекратится сразу, даже если у него было активное соединение.

В меню Защита > Сертификаты созданный ранее автоматический сертификат пользователя станет серым, с состоянием «сертификат отозван».

Внимание! Отозванный сертификат не рекомендуется удалять из модуля «Сертификаты», иначе он пропадет из списка отозванных и пользователь с таким сертификатом вновь получит доступ к OpenVPN.

При удалении из ИКС пользователя, который имеет доступ к OpenVPN, его сертификат также будет отозван.

Как настроить OpenVPN на Windows 10

Как работает OpenVPN

Протокол OpenVPN отвечает за поддержание коммуникации между клиентом и сервером. Как правило, он используется для создания защищённого туннеля между VPN-клиентом и сервером.

Для шифрования и аутентификации OpenVPN использует библиотеку OpenSSL. Кроме того, для передачи данных OpenVPN могут использоваться протоколы UDP или TCP.

Как настроить OpenVPN на Windows 10
  • TCP требует отклика от клиента, которому доставлен пакет данных, подтверждения доставки, и для этого ему необходимо установленное заранее соединение. Протокол TCP исключает потери данных, дублирование и перемешивание пакетов, задержки.
  • UDP всё это допускает, и соединение для работы ему не требуется. Протокол UDP доставляет пакеты данных гораздо быстрее, потому лучше подходит для приложений, которые рассчитаны на широкую пропускную способность и быстрый обмен.

Как установить OpenVPN

На официальном сайте производителя выберите версию программы для своей операционной системы. Существуют клиенты под все популярные операционные системы: Windows, Linux, MacOS, Android, iOS. Если же Вы загружали установщик с официального сайта, тогда проблем с установкой не возникнет. Запустите установочный файл и следуйте шагам мастера установки.

Как подключиться OpenVPN

Перед подключением нужно выбрать бесплатный VPN сервер, загрузив на компьютер файл конфигурации определённого сервера. Его стоит выбирать исходя из расположения, качества линии, пропускной способности и пинга. 

Как настроить OpenVPN на Windows 10

Много разных сайтов содержат бесплатные сервера ретрансляции. Рекомендуем перейти на сайт и выбрать подходящий сервер загрузив файл конфигурации для OpenVPN.

Теперь запустите программу OpenVPN GUI от имени администратора в Windows 10. В противоположном случае просто не удастся подключиться к выбранному серверу.

  1. На панели задач в контекстном меню OpenVPN выберите Импорт конфигурации… В открывшемся окне проводника укажите расположение ранее загруженной конфигурации.
  2. После импорта можно смело выбирать пункт Подключиться. При необходимости можно импортировать несколько конфигураций. В таком случае подключений будет два или три.

Рекомендуем импортировать несколько разных конфигураций, после чего перейти к их тестированию. Для тестирования можно воспользоваться сервисами проверки скорости Интернета на компьютере Windows 10.

Если же перейти в расположение: C:\ Пользователи\ Имя_пользователя\ OpenVPN\ config, то можно увидеть, и при необходимости удалить, папки с ранее добавленными конфигурациями.

Как настроить OpenVPN на Windows 10

После подключения к определённому серверу весь трафик пользователя будет проходить через VPN. Таким образом, можно будет играть в игры или посещать сайты, заблокированные в регионе. Скорость — далеко не его сильная сторона, но если у Вас скоростной Интернет, то скорость будет приемлемой. Как правило, скорость интернета падает из-за сильного уровня шифрования в OpenVPN.

Заключение

При необходимости для работы сами используем OpenVPN. На данный момент OpenVPN считается лучшим VPN-протоколом. На практике все наши высказывания подтверждаются. После первого использования, даже бесплатных серверов, сложно использовать другие VPN-клиенты. В принципе и без дополнительного программного обеспечения можно настроить VPN соединение на Windows 10.

Шаг первый: скачивание и установка специальной программы

Для начала выясните разрядность операционной системы Виндоус, установленной на ПЭВМ, который будет использоваться в качестве сервера. Затем скачайте соответствующий дистрибутив с официального сайта разработчика. Также скачайте и установите на компьютер программу Notepad ++. Она понадобится в процессе настройки сервера.

Читайте также:  Как проверить ssd диск на работоспособность

Запустите процесс установки.

В появившемся окне нажмите Next. В следующем окне нужно проставить галочки напротив всех пунктов и нажать Next

Программа перенаправит вас в окно выбора места установки. По умолчанию OpenVPN ставится в папку C:\Program Files\OpenVPN. Мы рекомендуем сократить его до C:\OpenVPN, что позволит в дальнейшем несколько упростить процесс настройки (попросту меньше печатать в командной строке).

Нажимаем Install и ждем завершения инсталляции. Если в процессе появится предложение об установке нового сетевого адаптера, нужно согласиться на него. Это — сетевой адаптер NAT, через который будет вестись работа с OpenVPN сервером.

Завершаем процесс установки и переходим к настройке сервера.

Шаг первый: скачивание и установка специальной программы

ВАЖНО. Если на вашем компьютере установлена ОС Windows 7, возможно, потребуется разрешение запуска программы OpenVPN от имени администратора. Для этого кликните правой кнопкой мыши по значку программы на рабочем столе и в выпадающем списке выберите «Свойства». В появившемся окне во вкладке совместимость (Compatibility) поставьте галочку напротив пункта «Запускать от имени администратора» (Run this program as an administrator).

Шаг второй: настройка OpenVPN сервера на Windows

Перейдите в директорию, которую мы указали в качестве места для установки программы (в нашем случае C:\OpenVPN) и создайте в ней папку с названием SSL, которая необходима для хранения ключей и сертификатов, выдаваемых сервером.

После этого перейдите в папку C:\OpenVPN\easy-rsa. Здесь есть файл с расширением sample, который нужно переименовать в (т.е. без расширения sample).

Откройте через Notepad ++. В него нужно скопировать текст следующего содержания (комментарии, выделенные красным, не копируйте):

Затем откройте файл и в строчке default_days установленное по умолчанию значение 365 меняем на любое побольше. С его помощью задается срок «жизни» наших сертификатов (365 дней, или одного года явно будет недостаточно).

Шаг третий: работа с командной строкой

Запустите командную строку и в появившемся окне введите следующую последовательно следующие команды (после каждой нажимаем Ввод):

В ответ должно появиться сообщение:

Это говорит о том, что все делается правильно.

Далее выполняем последовательно следующие команды:

  • build-dh (по ней происходит создание ключа Диффи-Хельмана).
  • build-ca (команда используется для создания основного сертификата).
Шаг первый: скачивание и установка специальной программы

Далее система будет задавать вопросы (страна, провинция, город и пр.). Ничего не вводите, просто жмите Enter ДО МОМЕНТА, пока появится строка с указанием пути в созданную нами ранее папку установки программы.

В ней наберите build-key-server server и нажиме Enter. Опять система начнет задавать вопросы. Также ВНИМАТЕЛЬНО ЖМЕМ Ввод до момента появления вопроса.

На него отвечаем Y. Далее появится вопрос.

На него также нужно ответить Y.

После этого необходимо создать клиентский сертификат. Делается это тут же, в командной строке. Введите следующую команду:

И далее – опять при повелении вопросов жмем Enter ДО МОМЕНТА ПОЯВЛЕНИЯ

Здесь напишите client и нажимайте Ввод до появления вопросов

На него отвечаем Y.

На него — тоже Y.

Таким же образом (при помощи команды build-key client) создайте сертификат для каждого из клиентов сети. При этом в поле

вводите разные имена (например, client 1, 2 и так далее).

Заем перейдите в папку C:\OpenVPN\easy-rsa\keys и скопируйте 4 файла отмеченных на рисунке красным. Их нужно разместить в директорию с именем config в папке, куда остановлена программа.

Шаг первый: скачивание и установка специальной программы

Шаг четвертый: создание файлов конфигурации

Для этого в папке Config создайте с помощью Notepad++ текстовый файл, который нужно будет сохранить как (это – конфиг нашего сервера). В него добавьте текст:

dev tun proto udp port 12345 ca cert key dh topology subnet server 10.8.0.0 cipher AES-128-CBC comp-lzo Mssfix keepalive 10 120 verb 3

Все готово. Теперь можно пользоваться сервером. Для его запуска используйте соответствующий ярлык на рабочем столе. Для обеспечения доступа к серверу нужно создать клиентские файлы конфигурации, скопировать его вместе с , и , которые мы ранее скопировали в папки, на компьютерах, которые будут подключаться к серверу, и установить для них клиент.

Если у вас возникнут какие-либо проблемы при установке и настройке OpenVPN на Windows, можете обратиться в ООО «Информационное сопровождение».

Наши клиенты

Еще немного об OpenVPN, SSL и IPSec

До появления SSL протокол IPSec являлся единственным средством, с помощью которого можно было шифровать данные в сетях типа сайт-сайт и клиент-сервер. К счастью, в 90-х монополия исчезла, т.к. кампания Netscape презентовала первую версию протокола SSL, современную версию которого чаще называют TLS. С его помощью юзерам представилась возможность шифровать данные при участии упомянутых выше открытых ключей (аутентификация или логин\пароль). И сегодня можно точно сказать, что благодаря относительной простоте OpenVPN SSL протокол используется не только для защиты данных по HTTP, но и для построения VPN типа клиент-сервер.

Читайте также:  Как установить iOS 11 на айфон 5 и 5S или iPad

Что такое VPN вкратце? Это виртуальная частная сеть, представляющая из себя туннель между двумя устройствами (клиент-сервер или точка-точка) и работающая поверх еще одной сети (например, сеть Интернет). Определяющими факторами для безопасного VPN является конфиденциальность и шифрование, целостность передаваемой информации, а также аутентификация – объекты должны быть уверены в подлинности друг друга до начала передачи трафика. Именно за шифрование и аутентификацию отвечают библиотеки IPSec и SSL. Однако, не смотря на схожие задачи, протоколы имеют принципиально разные пути решения проблем.

Еще немного об OpenVPN, SSL и IPSec
  • В операционных системах OpenVPN и SSL ведут себя как стандартные приложения, что облегчает настройку. IPSec требует обновления ядра ОС, что приводит к очевидным трудностям – для работы с протоколом необходимо дорабатывать операционные системы на каждом используемом устройстве
  • Так как IPSec тесно связан с ядром сбой в работе или программный взлом могут привести к тяжелейшим последствиям. Система может получить критические повреждения, а взломавший злоумышленник – права администратора. С OpenVPN это невозможно, т.к. клиент работает в пространстве юзера и не затрагивает операционную систему
  • С SSL намного проще работать в плане FireWall. IPSec требует изменений правил фильтрации и решения множества иных проблем
  • OpenVPN легко перенести – во многих случаях достаточно обычного копирования, чего нельзя сказать про усложненный IPSec

Все это давно привело к тому, что в сегменте VPN сервисов типа клиент-сервер OpenVPN окончательно вытеснил протокол IPSec. Можно сказать, что IPSec является одним из этапов развития VPN технологий и на данный момент на порядок уступает более безопасному, современному и удобному OpenVPN. В сухом остатке никаких существенных преймуществ у IPSec на данный момент по сравнению с OpenVPN попросту нет. Настройка OpenVPN клиента занимает не более минуты, а создание подключений и вовсе считанные секунды – необходимо лишь скачать клиентские конфиги и разместить их в соответствующей папке программы. К тому же при использовании OpenVPN не требуется настраивать антивирусные программы и сетевые экраны для стабильного обмена трафиком с VPN сервером, чего не скажешь про IPSec. Все пользователи, обеспокоенные конфиденциальностью своих данных должны понимать это и отдавать предпочтение более надежным решениям.

Установка OpenVPN Server

Переходим на официальный сайт OpenVPN и скачиваем последнюю версию программы для соответствующей версии Windows:

Запускаем скачанный файл — нажимаем NextI Agree — и выставляем галочку EasyRSA 2 Certificate Management Scripts (нужен для возможности сгенерировать сертификаты):

. снова Next и Install — начнется установка. В процессе мастер может выдать запрос на подтверждение установки виртуального сетевого адаптера — соглашаемся (Install/Установить).

После завершения нажимаем Next — снимаем галочку Show ReadmeFinish.

Генерация ключей (PKI) центра сертификации, сервера, клиента

Для управления парами «ключ/сертификат» всех узлов создаваемой частной сети используется утилита easy-rsa, работающая через командную строку.

Переходим в папку установки OpenVPN и создаем папки ssl и ccd. Заходим в папку easy-rsa. Там есть файл , копируем его и переименовываем в 

cd \ cd C:\Program Files\OpenVPN\easy-rsa copy

Открываем файл для редактирования, например, в программе Notepad++. Перед FOR вводим rem, а перед set «PATH=%PATH%;C:\Program Files\OpenVPN\bin» удаляем rem. А также правим следующие строки: set KEY_DIR=keys //каталог, куда будут генерироваться сертификты; set DH_KEY_SIZE=2048 //длина ключа Диффи Хельмана set KEY_SIZE=2048 //длина личного ключа set KEY_COUNTRY=RU //Код страны, RU для России set KEY_PROVINCE=Moscow //Регион страны set KEY_CITY=Moscow //Город set KEY_ORG=Organization //Название организации или ФИО set [email protected] //Адрес вашей почты set KEY_CN=server //Общее имя set KEY_OU=server //имя set KEY_NAME= //Имя сервера. Желательно, чтобы соответствовал полному имени VPN-сервера set PKCS11_MODULE_PATH=DMOSK //путь к модулю pkcs#11, можно не менять set PKCS11_PIN=12345678 //ПИН-код к смарт-карте, можно не менять Проверяем, что в файле параметр default_days (срок жизни сертификата) имеет значение 3650 или то, которое вам нужно. Очищаем старые данные Не закрывая командную строку, проверяем, что в папке C:\Program Files\OpenVPN\easy-rsa\keys появились файлы и serial. Создаем ключ HMAC для дополнительной защиты от DoS-атак и флуда. openvpn —genkey —secret %KEY_DIR%\ Не закрывая командную строку, проверяем, что в папке C:\Program Files\OpenVPN\easy-rsa\keys появился файл . Генерируем ключ Диффи Хельмана (процесс достаточно длительный). Не закрывая командную строку, проверяем, что в папке C:\Program Files\OpenVPN\easy-rsa\keys появился файл Генерируем сертификат На все запросы нажимаем Enter. Не закрывая командную строку, проверяем, что в папке C:\Program Files\OpenVPN\easy-rsa\keys появились файлы и . Генерируем сертификат для сервера: server Где server — имя сертификата. Можно ввести другое. На все запросы нажимаем Enter. В конце подтверждаем два раза корректность информации вводом y. Не закрывая командную строку, проверяем, что в папке C:\Program Files\OpenVPN\easy-rsa\keys появились файлы , и . Создаем пользовательский сертификат removecrt для последующего создания файла , который отвечает за проверку и последующий отзыв сертификатов. Можно обойтись и без него, но тогда нельзя будет отозвать сертификат пользователя. Так что лучше это сделать. build-key removecrt Нажимаем Enter, пока не появятся вопросы Common Name и Name. При их появлении вводим название нашего сертификата — removecrt. Завершаем вводом y два раза. Не закрывая командную строку, проверяем, что в папке C:\Program Files\OpenVPN\easy-rsa\keys появились файлы , и . Далее вводим команду которая отвечает за отзыв сертификата и создает файл revoke-full removecrt Не закрывая командную строку, проверяем, что в папке C:\Program Files\OpenVPN\easy-rsa\keys появился файл Создаем сертификат пользователя build-key user где user — имя пользователя. Для каждого пользователя надо создавать свой сертификат, поэтому желательно давать осмысленные имена. Также напоминаю, что при появлении запроса Common Name и Name надо вводить название нашего сертификата user. Не закрывая командную строку, проверяем, что в папке C:\Program Files\OpenVPN\easy-rsa\keys появились файлы , и . Есть второй способ создания сертификата пользователя. в этом случае меньше файлов надо передавать пользователю, но при подключении надо будет вводить пароль. Вводим команду build-key-pkcs12 user Нажимаем Enter пока не появится запрос Export Password. Здесь вводим пароль пользователя, например 777777. Данный пароль будет назначен сертификату , который должен появиться в папке C:\Program Files\OpenVPN\easy-rsa\keys. Учтите, что и файлы конфигурации клиента будут разные. Но об этом позднее. На этом генерация ключей закончена. Из папки C:\Program Files\OpenVPN\easy-rsa\keys копируем в папку C:\Program Files\OpenVPN\ssl которую мы создали ранее следующие файлы:

Также рекомендую для каждого пользователя создать свою папку и поместить туда следующие файлы: Для первого варианта

Для второго варианта

Настройка подключения на Windows

1. В браузере подключаемся к клиентской веб-форме OpenVPN, вводим данные какого-либо существующего пользователя на VPS, из выпадающего списка выбираем режим Login и нажимаем GO.

2. В появившейся форме нажимаем либо на кнопку Connect, либо на ссылку OpenVPN Connect for Windows. После нажатия будет предоставлен для скачивания установочный файл с расширением .msi, который включает в себя как клиентскую программу, так и корректный конфигурационный файл.

Настройка подключения на Windows

3. После загрузки .msi файла на компьютер и запускаем его.

4. Установка клиента OpenVPN происходит в автоматическом режиме. После завершения установки на рабочем столе появится ярлык OpenVPN connect, который необходимо запустить.

5. В появившемся окне вводим имя пользователя, существующего на сервере и его пароль, после чего нажимаем на кнопку Connect.

6. Статус соединения можно отслеживать через иконку OpenVPN-клиента в панели задач.

Настройка подключения на Windows

Тестировать облачный VPS на KVM

  • share
  • Facebook
  • Twitter
  • Email

Шаг Пинг удаленного компьютера

Результат: Пинг удаленного компьютера успешен

Шаг 4.1 Если два туннеля работают, то самое время проверить связь двух компьютеров между собой. Начать имеет смысл с выполнения команды ping на Компьютере 1. Это важный шаг и не стоит им пренебрегать.

В меню Windows — «Пуск» — «Выполнить» напишите три буквы — cmd

Это запустит командную строку Windows и в ней мы воспользуемся командой ping. Напишите там ping и далее адрес удаленного компьютера (в нашем примере Компьютера 2 — ). Команда будет выглядеть так: ping

Если вы все делали по инструкции, то пинг, вероятнее всего, будет неуспешен. И это не удивительно, так как при установке OpenVPN ваш компьютер создал новое сетевое подключение, а правила межсетевого экрана должны все заблокировать.

На время тестов отключите межсетевой экран на принимающей стороне (Компьютер 2) и после этого пинги должны быть успешны.

Такой же пинг вы можете выполнить и из личного кабинета системы, перейдя на страницу «Инструменты«