Настройка VPN в локальной сети: WireGuard, Windows и роутеры

Зачем нужен VPN в локальной сети

VPN (Virtual Private Network) — это технология, которая создает зашифрованный туннель между вашим устройством и удаленной сетью. В контексте локальной сети VPN решает несколько ключевых задач. Во-первых, он обеспечивает безопасный удаленный доступ к домашним или корпоративным ресурсам: файловым серверам, принтерам, системам видеонаблюдения или умного дома. Во-вторых, VPN позволяет объединить несколько локальных сетей в единую логическую сеть, как если бы они находились в одном здании. В-третьих, VPN защищает трафик при подключении к недоверенным сетям, например, к публичному Wi-Fi в кафе или аэропорту.

Важно понимать разницу между коммерческими VPN-сервисами (NordVPN, ExpressVPN и т.п.) и собственным VPN-сервером. Коммерческие сервисы предназначены для смены IP-адреса, обхода географических блокировок и повышения анонимности. Собственный VPN-сервер, настроенный на вашем оборудовании, дает полный контроль над данными и позволяет получить доступ именно к вашей локальной сети. При этом ваш публичный IP-адрес останется тем, который выдал провайдер, если вы не используете дополнительно коммерческий VPN.

Настройка VPN в локальной сети может потребоваться в различных сценариях: для работы из дома, для управления серверами, для доступа к файлам, когда вы находитесь в поездке, или для организации защищенного канала между офисами. В этой статье мы рассмотрим основные подходы и технологии, которые помогут вам реализовать эту задачу.

Выбор протокола VPN: WireGuard, OpenVPN, PPTP и другие

При настройке VPN в локальной сети важно выбрать подходящий протокол. Наиболее популярные решения с открытым исходным кодом — OpenVPN и IPsec. Однако в последние годы все большую популярность набирает WireGuard — современный протокол, который вошел в ядро Linux начиная с версии 5.6 (релиз состоялся 30 марта 2020 года).

WireGuard отличается высокой производительностью, простой настройкой и современной криптографией. Он работает на основе модуля ядра, что обеспечивает минимальные задержки и высокую скорость. WireGuard поддерживает большинство платформ: Linux, Windows, macOS, Android, iOS, FreeBSD, OpenWRT и другие. Его главный недостаток — отсутствие поддержки TCP: протокол использует только UDP, что может быть проблемой в сетях, где UDP-трафик блокируется.

OpenVPN — более старый и проверенный протокол, который работает поверх TCP или UDP. Он гибок в настройке, поддерживает множество алгоритмов шифрования и аутентификации. Однако OpenVPN часто медленнее WireGuard, особенно на слабом оборудовании, и требует более сложной конфигурации.

PPTP и L2TP/IPsec — устаревшие протоколы, которые имеют серьезные уязвимости в безопасности. Их использование не рекомендуется, особенно для защиты конфиденциальных данных.

Для большинства современных задач, особенно для доступа к локальной сети, оптимальным выбором является WireGuard. Он прост в настройке, быстр и безопасен. Если же вам нужна максимальная совместимость с корпоративными системами, возможно, придется использовать OpenVPN или IPsec.

Подготовка сервера VPN: выбор VPS и установка WireGuard

Для организации VPN-туннеля в локальную сеть вам потребуется сервер с публичным IP-адресом. Это может быть виртуальный сервер (VPS) или физический сервер в дата-центре. При выборе VPS обратите внимание на технологию виртуализации: предпочтительно KVM или XEN, так как WireGuard реализован как модуль ядра, а в OpenVZ ядро часто устаревшее. Для небольших задач подойдет конфигурация с 512 МБ RAM, 1 CPU и 20 ГБ SSD.

После аренды сервера с операционной системой Ubuntu 20.04 (или другой современной ОС) необходимо установить WireGuard. Для этого выполните команды:

apt update && apt upgrade
apt install wireguard

Затем разрешите проброс пакетов, чтобы сервер мог маршрутизировать трафик между VPN-интерфейсом и интернетом:

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p

Сгенерируйте ключи для сервера:

wg genkey | tee /etc/wireguard/privatekey | wg pubkey | tee /etc/wireguard/publickey

Создайте конфигурационный файл /etc/wireguard/wg0.conf с примерно таким содержимым:

[Interface]
Address = 10.0.0.1/24
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
ListenPort = 51820
PrivateKey = <SERVER_PRIVATE_KEY>

Обратите внимание на имя сетевого интерфейса (в примере — eth0). Оно должно соответствовать вашему публичному адаптеру. Узнать его можно командой ip link или ifconfig. В параметрах PostUp/PostDown задаются правила iptables, которые включают форвардинг и NAT для VPN-трафика.

Настройка клиента WireGuard на Linux-сервере в локальной сети

Чтобы обеспечить доступ к локальной сети (LAN) из интернета, необходимо настроить VPN-клиент на одном из устройств внутри этой сети. Это устройство будет выступать в роли шлюза, через который VPN-сервер сможет маршрутизировать трафик к другим узлам LAN.

В качестве примера рассмотрим настройку на Ubuntu 20.04 с локальным адресом 192.168.100.7. Сначала установите WireGuard и сгенерируйте ключи, как описано выше. Затем создайте конфигурационный файл /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = <PEER_LAN_PRIVATE_KEY>
Address = 10.0.0.2/32
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o wlp2s0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o wlp2s0 -j MASQUERADE

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = <SERVER_IP>:51820
AllowedIPs = 10.0.0.0/24
PersistentKeepalive = 20

Здесь <PEER_LAN_PRIVATE_KEY> — приватный ключ клиента, <SERVER_PUBLIC_KEY> — публичный ключ сервера, <SERVER_IP> — внешний IP-адрес сервера. В правилах iptables укажите интерфейс, который смотрит в локальную сеть (в примере — wlp2s0).

На сервере добавьте в конфигурацию блок для этого клиента:

[Peer]
PublicKey = <PEER_LAN_PUBLIC_KEY>
AllowedIPs = 10.0.0.2/32, 192.168.100.0/24

После перезапуска службы (systemctl restart wg-quick@wg0) вы сможете проверить связь: с сервера должен пинговаться адрес 10.0.0.2, а затем и любой узел локальной сети, например 192.168.100.5.

Настройка VPN-клиента на Windows и Android

После настройки сервера и шлюза в LAN можно подключаться к VPN с различных устройств. Для Windows скачайте официальный клиент WireGuard с сайта проекта и установите его. Затем создайте конфигурационный файл для клиента:

[Interface]
PrivateKey = <PEER_2_PRIVATE_KEY>
Address = 10.0.0.4/32

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = <SERVER_IP>:51820
AllowedIPs = 10.0.0.0/24, 192.168.100.0/24
PersistentKeepalive = 20

В приложении WireGuard импортируйте этот файл и нажмите «Подключение». На сервере добавьте соответствующий блок Peer с публичным ключом клиента.

Для Android-смартфона процесс аналогичен: установите приложение WireGuard из Google Play, создайте конфигурацию (можно сгенерировать ключи на сервере) и импортируйте ее. Удобный способ — использовать QR-код: в приложении выберите «Сканировать QR-код» и отсканируйте код, сгенерированный на сервере.

Важно: если вы хотите, чтобы весь трафик с устройства шел через VPN (например, для защиты в публичном Wi-Fi), укажите AllowedIPs = 0.0.0.0/0 и добавьте DNS-сервер, например DNS = 8.8.8.8. Если VPN нужен только для доступа к локальной сети, оставьте AllowedIPs = 10.0.0.0/24, 192.168.100.0/24 и не указывайте DNS.

Настройка VPN на роутере: OpenWRT и другие прошивки

Если вы хотите предоставить доступ к VPN всем устройствам в локальной сети без установки приложений на каждое из них, оптимальным решением будет настройка VPN-клиента на роутере. Для этого роутер должен поддерживать протокол WireGuard. Многие современные роутеры (например, Zyxel Keenetic с KeeneticOS 3.3 и выше, Mikrotik с RouterOS 7.1 и выше, а также устройства на OpenWRT) имеют встроенную поддержку WireGuard.

Если ваш роутер не поддерживает WireGuard из коробки, можно установить кастомную прошивку OpenWRT. Этот процесс требует осторожности: необходимо убедиться, что прошивка подходит для вашей модели и аппаратной версии роутера. Например, для ASUS RT-N56U процесс описан на официальном сайте ASUS. После установки OpenWRT вы получите гибкий инструмент для настройки сети.

В OpenWRT настройка WireGuard выполняется через веб-интерфейс LuCI. Необходимо:

1. Установить пакет luci-i18n-wireguard-en (System -> Software).
2. Создать новый интерфейс (Network -> Interfaces -> Add new interface), выбрать тип WireGuard VPN.
3. Заполнить параметры интерфейса: приватный ключ, IP-адрес, публичный ключ (можно получить командой wg pubkey из приватного ключа).
4. Добавить Peer с параметрами сервера: публичный ключ, Endpoint (IP и порт), Allowed IPs, Persistent Keepalive.
5. Настроить файрвол и маршрутизацию, чтобы трафик из LAN шел через VPN.

После настройки все устройства, подключенные к роутеру, будут автоматически использовать VPN-туннель для доступа в интернет или к удаленной сети.

Настройка встроенного VPN-сервера в Windows

Windows 10 и 11 позволяют создать собственный VPN-сервер без установки стороннего ПО. Это может быть полезно для быстрого доступа к домашней сети, но следует учитывать ограничения: встроенный VPN-сервер использует протокол PPTP или SSTP, которые менее безопасны, чем WireGuard или OpenVPN.

Чтобы создать VPN-сервер в Windows, откройте «Панель управления» -> «Сеть и Интернет» -> «Центр управления сетями и общим доступом» -> «Изменение параметров адаптера». В меню «Файл» выберите «Создать входящее соединение». Далее выберите пользователей, которым разрешено подключаться, и укажите, что подключение будет через Интернет. В настройках протокола IPv4 можно задать диапазон IP-адресов для VPN-клиентов.

После создания сервера необходимо настроить маршрутизатор: открыть порт 1723 (для PPTP) и пробросить его на компьютер с VPN-сервером. Также нужно разрешить маршрутизацию и удаленный доступ в брандмауэре Windows.

На клиентских устройствах создается VPN-профиль: в «Параметры» -> «Сеть и Интернет» -> «VPN» -> «Добавить VPN». Укажите адрес сервера (публичный IP или доменное имя), тип VPN (PPTP или SSTP) и учетные данные.

Этот метод подходит для простых сценариев, но для серьезной защиты данных лучше использовать WireGuard или OpenVPN.

Обеспечение доступа к VPN для всех устройств в локальной сети

Один из распространенных сценариев — предоставить доступ к VPN всем устройствам в локальной сети, включая те, на которые нельзя установить VPN-клиент (например, Smart TV, игровые приставки, IP-камеры). Для этого используется подход, при котором VPN-клиент настраивается на роутере или на отдельном устройстве-шлюзе.

В статье на Хабре описан опыт настройки такого решения с использованием роутера с OpenWRT и WireGuard. Автор подключил роутер с кастомной прошивкой к основному роутеру, имеющему доступ в интернет, через WAN-порт. Затем настроил WireGuard-клиент на этом роутере. В результате все устройства, подключенные к этому роутеру (по Wi-Fi или кабелю), автоматически получали доступ в интернет через VPN.

Преимущества такого подхода:

• Не требуется установка приложений на каждое устройство.
• VPN-трафик шифруется на уровне роутера, что защищает все устройства в сети.
• Можно легко переключать VPN-соединение, просто отключая роутер.

Однако есть и недостатки: производительность роутера может быть ограничена, особенно при использовании слабого оборудования. Также необходимо тщательно настроить файрвол и маршрутизацию, чтобы не нарушить доступ к локальным ресурсам.

Типичные проблемы и их решение

При настройке VPN в локальной сети могут возникнуть различные проблемы. Рассмотрим наиболее частые из них.

1. Соединение не устанавливается. Проверьте:

• Настройки брандмауэра на сервере и клиентах (iptables, Windows Firewall).
• Не блокируется ли UDP-трафик провайдером. WireGuard использует UDP, и некоторые сети блокируют его. В этом случае можно попробовать OpenVPN в режиме TCP.
• Правильность IP-адреса и порта сервера в параметре Endpoint.
• Корректность ключей: на сервере должны быть публичные ключи клиентов, а у клиентов — публичный ключ сервера.

2. Ошибка resolvconf: command not found. Возникает при указании параметра DNS в конфигурации WireGuard на некоторых системах. Решение — установить пакет resolvconf или использовать альтернативный метод настройки DNS.

3. Нет доступа к локальной сети через VPN. Убедитесь, что на сервере в блоке Peer для клиента указаны AllowedIPs, включающие подсеть LAN (например, 192.168.100.0/24). Также проверьте правила iptables на сервере и клиенте-шлюзе.

4. Низкая скорость. Если скорость VPN ниже ожидаемой, проверьте загрузку процессора на сервере и клиенте. WireGuard обычно быстрее OpenVPN, но на слабом оборудовании может быть узкое место. Также проверьте качество интернет-соединения.

5. Проблемы с DNS. Если DNS-запросы не проходят через VPN, укажите DNS-сервер в конфигурации клиента (например, DNS = 8.8.8.8).

Безопасность и дополнительные рекомендации

При настройке VPN важно соблюдать меры безопасности, чтобы не скомпрометировать свою сеть.

• Используйте надежные ключи и пароли. Для WireGuard ключи генерируются автоматически, но убедитесь, что они хранятся в защищенном месте.
• Ограничьте доступ к VPN-серверу по IP-адресам, если это возможно. В WireGuard можно указать AllowedIPs для каждого клиента.
• Регулярно обновляйте программное обеспечение сервера и клиентов, чтобы устранять уязвимости.
• Не используйте протоколы PPTP и L2TP/IPsec без крайней необходимости, так как они имеют известные уязвимости.
• Если вы используете коммерческий VPN-сервис, внимательно изучите его политику конфиденциальности и репутацию.
• Для защиты от утечек DNS настройте DNS-запросы через VPN-туннель.

Также стоит помнить, что VPN не делает вас полностью анонимным в интернете. Он защищает трафик от перехвата, но сайты могут использовать другие методы отслеживания (cookies, fingerprinting).

Вопросы и ответы