Налаштування сервера OpenVPN на маршрутизаторах GL.iNet

OpenVPN — протокол VPN із відкритим вихідним кодом, який використовує технології віртуальних приватних мереж для встановлення захищених з’єднань між мережами (site-to-site) або між двома вузлами (point-to-point).

Щоб налаштувати сервер OpenVPN на маршрутизаторі GL.iNet, перегляньте це відео або виконайте наведені нижче дії.

Перевірка наявності публічної IP-адреси

За цією інструкцією перевірте, чи ваш інтернет-провайдер надає публічну IP-адресу.

Якщо ні, маршрутизатор не можна налаштувати як сервер OpenVPN.

Альтернативні способи:

1. Якщо у вас є головний маршрутизатор, увійдіть у нього та перевірте, чи отримує він публічну IP-адресу від провайдера.
2. Запитайте публічну IP-адресу у провайдера. Це може потребувати додаткової оплати.
3. Якщо попередні способи не допомагають, наприклад мережа перебуває за CGNAT, спробуйте наше рішення SD-WAN AstroWarp.

Перевірка потреби в перенаправленні портів

Топологія мережі

GL.iNet — головний маршрутизатор

• Якщо маршрутизатор GL.iNet є головним у вашій мережі, перенаправлення портів не потрібне. Перейдіть до наступного кроку.

GL.iNet — додатковий маршрутизатор

• Якщо в мережі вже є головний маршрутизатор, а GL.iNet працює як додатковий, налаштуйте перенаправлення портів на головному маршрутизаторі.

• Якщо маршрутизатор GL.iNet розташований на кілька рівнів нижче головного, налаштуйте перенаправлення портів на кожному проміжному рівні.

Налаштування сервера OpenVPN

Увійдіть у вебпанель адміністрування та відкрийте VPN -> OpenVPN Server.

1. Натисніть Generate Configuration (лише під час початкового налаштування сервера VPN).

   

2. Застосуйте конфігурацію.

   Конфігурація за замовчуванням підходить для більшості випадків.

   Якщо змінювати конфігурацію не потрібно, натисніть Export Client Configuration унизу та перейдіть до кроку 3.

   Якщо конфігурацію змінено, натисніть Apply перед її експортом для клієнта.

   

   • Device Mode: TAP-S2S або Tun. Відмінності описано тут.

   • Protocol: UDP або TCP. Відмінності описано тут.

   • Authentication Mode: спосіб автентифікації під час підключення клієнта до сервера. Доступні три варіанти.

     • Certificate Only: маршрутизатор автоматично створює сертифікати сервера та клієнта й вбудовує сертифікат і ключ клієнта у файл конфігурації клієнта. Під час завантаження цієї конфігурації на клієнт додаткові облікові дані не потрібні.

     • Username/Password Only: маршрутизатор створює конфігурацію клієнта без ключів сертифікатів. Перед експортом спочатку додайте ім’я користувача та пароль на вкладці Users. Під час завантаження конфігурації на клієнт потрібно ввести ці дані для автентифікації.

     • Username/Password and Certificate: перед експортом конфігурації клієнта спочатку додайте ім’я користувача та пароль на вкладці Users. Маршрутизатор автоматично створює сертифікати сервера та клієнта й вбудовує сертифікат і ключ клієнта у файл конфігурації. Під час завантаження на клієнт спочатку перевіряється ключ сертифіката, а потім ім’я користувача та пароль для двофакторного захисту.

     Нижче наведено приклад створення користувача.

     

   • Advanced Configuration: за потреби змініть додаткові параметри сервера.

     

3. Експортуйте конфігурацію клієнта.

   Натисніть Export Client Configuration унизу вкладки Configuration або застосуйте змінену конфігурацію. З’явиться вікно, показане нижче.

   

   • Якщо публічна IP-адреса мережі часто змінюється, увімкніть DDNS, щоб використовувати домен DDNS як адресу сервера.

   • Починаючи з прошивки v4.8, для адреси сервера можна вибрати публічну IP-адресу, домен DDNS або поточну IP-адресу WAN. Після зміни адреса сервера у файлі конфігурації оновлюється одночасно.

   Потім натисніть Download, щоб експортувати конфігурацію.

4. Запустіть сервер OpenVPN.

   На сторінці OpenVPN Server натисніть Start у верхньому правому куті для запуску сервера. Відкрийте VPN Dashboard, щоб перевірити стан і додаткові налаштування.

   

Перевірка роботи сервера OpenVPN

Перевірка стану сервера

Починаючи з прошивки v4.8, стан з’єднання сервера можна перевірити на сторінці OpenVPN Server.

Якщо відображається статистика завантаження та передавання трафіку, сервер OpenVPN працює.

У прошивці v4.7 і попередніх версіях перевіряйте стан з’єднання сервера на VPN Dashboard.

Перевірка IP-адреси клієнта

Щоб перевірити з’єднання із сервером, імпортуйте експортовану конфігурацію OpenVPN на пристрій в іншій мережі, за межами локальної мережі сервера. Відкрийте браузер і перевірте свою IP-адресу та розташування. Якщо вони відповідають IP-адресі та розташуванню сервера VPN, а не вашого інтернет-провайдера, з’єднання VPN встановлено успішно.

Найпростіше використати смартфон з офіційним застосунком OpenVPN. Вимкніть Wi-Fi та підключіться до інтернету лише через стільникові дані (4G/5G). Відкрийте OpenVPN, імпортуйте файл конфігурації та встановіть з’єднання. Перевірте доступ до інтернету й відповідність IP-адреси смартфона IP-адресі сервера OpenVPN.

Під час імпорту конфігурації в OpenVPN може з’явитися повідомлення, показане нижче. Натисніть CONTINUE, оскільки сертифікат уже вбудовано у файл конфігурації.

Якщо підключення не вдається, можливі такі поширені причини:

• Провайдер не надає публічну IP-адресу. Див. цей розділ.
• Потрібно налаштувати перенаправлення портів. Див. цей розділ.
• Провайдер блокує порт сервера OpenVPN. Змініть порт або зверніться до провайдера по допомогу.
• У деяких країнах або регіонах з’єднання VPN можуть блокуватися.

Параметри сервера

Параметри сервера містять додаткові налаштування, зокрема віддалений доступ до LAN сервера та маскарадинг IP. Налаштуйте їх відповідно до потреб.

У прошивці v4.8 і новіших версіях відкрийте OpenVPN Server і натисніть Options у верхньому правому куті.

У прошивці v4.7 і попередніх версіях відкрийте VPN Dashboard -> VPN Server і натисніть піктограму шестерні, щоб відкрити OpenVPN Options.

У спливному вікні відобразяться такі функції.

• Allow Remote Access to the LAN Subnet: якщо увімкнено, ресурси підмережі LAN сервера доступні через тунель VPN.

• IP Masquerading: якщо увімкнено, IP-адреси джерела трафіку клієнтів LAN замінюються IP-адресою тунелю VPN маршрутизатора. Вимикайте цей параметр лише для з’єднань між мережами (site-to-site), коли віддалений вузол знає ваші підмережі LAN.

• MTU: Maximum Transmission Unit — максимальний розмір одиниці передавання. Задане для тунелю значення MTU перевизначає налаштування MTU у файлі конфігурації.

Зв’язок між клієнтами

Client-to-Client — функція сервера VPN. Після увімкнення підключені клієнти VPN можуть обмінюватися даними за своїми IP-адресами тунелю VPN.

Топологія мережі має такий вигляд.

За потреби виконайте наведені нижче дії, щоб увімкнути Client to Client на сервері OpenVPN.

1. На сторінці OpenVPN Server натисніть Advanced Configuration у нижньому правому куті.

   

2. Увімкніть Client to Client і натисніть Apply. Потім експортуйте нову конфігурацію та завантажте її на клієнти OpenVPN.

   

Порада: Client-to-Client оголошує лише IP-адресу тунелю кожного клієнта. Функція не надає автоматично доступ до локальних підмереж LAN за клієнтами VPN. Щоб клієнти могли отримувати доступ до підмереж LAN один одного, додайте на сервері VPN правила маршрутизації, які оголошують ці віддалені підмережі.

Встановлення застосунку OpenVPN

Завантажте застосунок OpenVPN з офіційного сайту OpenVPN.

---

Маєте запитання? Відвідайте наш форум спільноти або зв’яжіться з нами.