Настройка VPN-сервера своими руками: от VPS до подключения клиентов

Импортируйте в приложение WireGuard. На Android и iOS — через QR-код: qrencode -t ansiutf8 < client.conf. Скорость в тестах: 85–90 Мбит/с из 100 на канале. Потеря 10–15%.

Шаг 6. VLESS+Reality через 3x-ui: обход ТСПУ и белых списков

В России ТСПУ блокирует OpenVPN и WireGuard по сигнатурам. VLESS+Reality маскируется под обычный HTTPS к чужому сайту. Трафик выглядит как посещение условного yahoo.com.

Установите панель 3x-ui одной командой:

Задайте логин и пароль. Откройте веб-панель по адресу http://ваш-ip:2053. Создайте inbound:

1. Протокол — VLESS.
2. Порт — 443.
3. Транспорт — TCP (или gRPC).
4. Security — Reality.
5. Dest — yahoo.com:443, SNI — yahoo.com.
6. Сгенерируйте пару ключей (кнопка Get New Cert).

Скопируйте ссылку vless://... и импортируйте в клиент (v2rayNG, Nekoray, Streisand). Скорость падает на 5–10% из-за шифрования, но соединение не блокируется.

ENTRY/EXIT-архитектура: если ваш оператор режет всё, поднимите ENTRY-сервер в РФ с белым IP, а EXIT — в Европе. Трафик идёт от вас до ENTRY, потом до EXIT. ТСПУ видит обмен между серверами, а не ваш телефон. Белые IP удавалось найти у Яндекса и ВК, но ВК отбирал адреса без предупреждения.

Шаг 7. Настройка VPN на роутере Keenetic: SSTP и L2TP/IPsec

Если не хотите возиться с VPS, используйте роутер Keenetic. Он умеет подключаться к VPN-серверу как клиент. Включите компонент «VPN-сервер» в разделе «Общие настройки» → «Изменение набора компонентов».

Для SSTP: в панели роутера перейдите в «Интернет» → «VPN» → «Добавить соединение». Выберите SSTP, введите адрес сервера, логин и пароль. Укажите «Использовать для выхода в интернет».

Для L2TP/IPsec: аналогично, но выберите L2TP. Понадобится предварительный ключ (PSK). Провайдеры часто режут L2TP, поэтому SSTP надёжнее.

К роутеру подключаются все устройства в квартире: телевизор, приставка, ноутбук. Не нужно ставить клиент на каждый гаджет. Скорость на Keenetic Giga: 60–70 Мбит/с, на Ultra — до 200 Мбит/с.

Минус: если VPN отвалится, роутер не всегда переключается на прямое соединение. Настройте резервный канал в «Приоритетах подключений».

Шаг 8. Подключение клиентов: Windows 11, Android, iOS, macOS

На Windows 11: скачайте OpenVPN Connect или WireGuard из Microsoft Store. Импортируйте .ovpn или .conf. Нажмите «Подключиться». Проверка: ipconfig покажет новый адаптер.

На Android: установите WireGuard или v2rayNG. Импортируйте конфиг через QR-код или файл. Включите туннель. Батарея садится на 8–12% быстрее.

На iOS: используйте WireGuard или Streisand. Импорт из файла или по ссылке. iOS требует разрешения на добавление VPN-конфигурации — подтвердите в настройках.

На macOS: WireGuard из App Store. Или настройте через networksetup в терминале, если нужна автоматизация.

Для всех устройств: после подключения проверьте IP на 2ip.ru. Он должен совпадать с адресом VPS. Если видите свой домашний IP — туннель не работает.

Не подключайте одновременно два VPN-клиента. Они конфликтуют за маршруты, и интернет пропадает.

Типичные ошибки и что делать, если не работает

Ошибка 1: не подключается вообще. Проверьте, запущен ли сервер: systemctl status openvpn@server или wg show. Посмотрите логи: journalctl -u openvpn@server. Часто порт закрыт файрволом — откройте ufw allow 1194/udp.

Ошибка 2: подключается, но интернет не работает. В конфиге клиента проверьте redirect-gateway def1 (OpenVPN) или AllowedIPs = 0.0.0.0/0 (WireGuard). Если не прописано, трафик идёт мимо туннеля.

Ошибка 3: медленно. Смените протокол с TCP на UDP. OpenVPN на TCP теряет до 50% скорости. Для WireGuard проверьте MTU: поставьте 1420.

Ошибка 4: провайдер блокирует. Если OpenVPN не проходит, переходите на VLESS+Reality. Он маскируется под HTTPS и не детектится.

• Проверьте IP сервера на 2ip.ru — не в чёрном ли списке.
• Попробуйте другой порт: 443, 8443, 51820.
• Перезагрузите VPS: reboot.
• Обновите клиент до последней версии.

Если ничего не помогло, поднимите ENTRY-сервер в РФ. Он примет трафик от вас и передаст на EXIT за рубежом. ТСПУ не видит конечного пользователя.

Чек-лист: что проверить прямо сейчас

Откройте терминал и пройдитесь по списку. Это займёт 5 минут.

1. Root-логин отключён? grep PermitRootLogin /etc/ssh/sshd_config — должно быть no.
2. Пароль для SSH выключен? PasswordAuthentication no.
3. Файрвол включён? ufw status — должно быть active.
4. Fail2ban работает? systemctl status fail2ban.
5. VPN-сервер в автозагрузке? systemctl is-enabled openvpn@server или wg-quick@wg0.
6. Порт открыт? ss -tulpn | grep 1194.
7. IP-адрес сервера не в чёрном списке? Проверьте на 2ip.ru/spam.
8. Обновления установлены? apt list --upgradable.

Если все пункты в порядке, VPN проработает месяцами без внимания. Раз в месяц заходите по SSH и обновляйте пакеты.

Безопасность и обслуживание: обновления, бэкапы, юридические риски

VPN-сервер — это входная дверь в вашу сеть. Если её взломают, получат доступ к трафику. Раз в неделю выполняйте apt update && apt upgrade. Настройте автоматические обновления безопасности: dpkg-reconfigure unattended-upgrades.

Бэкапьте конфиги: /etc/wireguard/, /etc/openvpn/, сертификаты. Скидывайте в приватный репозиторий или на флешку. Если VPS умрёт, вы восстановите сервер за 10 минут.

Мониторинг: поставьте netdata или glances. Смотрите нагрузку на CPU и трафик. Если канал забит под 100% — либо вас используют как прокси, либо пора менять тариф.

Юридический нюанс: в РФ использование VPN не запрещено для личных целей. Но сервер в российской юрисдикции не обходит гео-блокировки. Для доступа к зарубежным сервисам нужен VPS за границей. Не храните на сервере логи дольше недели — меньше данных, меньше проблем.

И главное: не обещайте анонимность. Вы контролируете сервер, но провайдер VPS видит ваш IP. Для полной анонимности нужны цепочки из нескольких серверов и криптовалюта для оплаты.