OpenVPN

OpenVPN — это надёжный и проверенный временем VPN-протокол, который позволяет организовать защищённый удалённый доступ к локальной сети. MikroTik RouterOS поддерживает OpenVPN в режиме сервера начиная с версии 6.x (TCP), а с версии 7+ — также и UDP, но с рядом архитектурных ограничений:

• обязательная аутентификация по логину/паролю даже при использовании сертификатов;
• ограниченный список шифров и алгоритмов;
• отсутствие некоторых возможностей «классического» OpenVPN.

Несмотря на это, OpenVPN на MikroTik остаётся востребованным решением — особенно в сценариях, где клиенты не поддерживают WireGuard или требуется совместимость со старыми системами.

В этой инструкции разберём, как поднять OpenVPN-сервер на Ubuntu и подключить к нему роутер Keenetic. Такой сценарий удобен, если нужно дать доступ к домашней сети или пробросить сервисы (например, PBX или веб-сервер) через VPN.

1. Подготовка Ubuntu-сервера

1.1 Установка пакетов

sudo apt update
sudo apt install -y openvpn easy-rsa iptables-persistent

1.2 Создание PKI (Easy-RSA v3)

make-cadir ~/easy-rsa
cd ~/easy-rsa
./easyrsa init-pki
./easyrsa build-ca nopass

Серверные ключи

./easyrsa gen-req server nopass
./easyrsa sign-req server server
./easyrsa gen-dh

Клиентские ключи (для Keenetic)

./easyrsa gen-req keenetic nopass
./easyrsa sign-req client keenetic

TLS-ключ (именно tls-auth, а не tls-crypt)

openvpn --genkey secret ta.key

1.3 Разложить ключи

• В /etc/openvpn/server/:

  Читать далее

Проблема сертификатов в большом масштабе

В предыдущих статьях мы обсуждали, что OpenVPN использует сертификаты для аутентификации. Этот метод надёжен, но имеет существенные недостатки:

• Неудобство для пользователей: Каждому пользователю нужно вручную передать и установить свой сертификат.
• Сложность управления: При увольнении сотрудника необходимо отозвать его сертификат, что требует дополнительных действий.
• Отсутствие централизации: У каждого сервиса, куда нужен доступ, своя система авторизации.

Решение этой проблемы — использование централизованного провайдера идентификации, такого как Keycloak.

VPN: Не только кнопка “Включить”

Для многих пользователей VPN — это просто кнопка “Включить”. Однако, когда речь идёт о создании собственного защищённого туннеля, важно понимать его архитектуру. OpenVPN строится на двух ключевых идеях: сервер-клиентской модели и инфраструктуре открытых ключей (PKI).

Сервер-клиентская модель

Концепция проста:

• Сервер — это точка входа в вашу защищённую сеть. Он постоянно “слушает” входящие запросы и готов к подключению.
• Клиент — это ваше устройство (ноутбук, телефон), которое инициирует подключение к серверу.

После того как сервер и клиент “договорились”, между ними создаётся защищённый туннель, и весь трафик проходит через него.

OpenVPN: Проверенный временем стандарт

Введение

В мире, где скорость и простота WireGuard стали новым стандартом, OpenVPN остается одним из самых надёжных и гибких VPN-протоколов. Он работает как на классических компьютерах, так и на сетевом оборудовании, обеспечивая кроссплатформенную совместимость и высокий уровень безопасности. Однако, чтобы понять, как его использовать, важно различать сам протокол и его клиентские приложения.

OpenVPN: Движок

OpenVPN — это, в первую очередь, open-source проект и протокол. Это “движок” VPN-туннеля. Протокол использует SSL/TLS для шифрования данных и создания защищённого канала между клиентом и сервером. Его главное преимущество — невероятная гибкость. Вы можете настроить практически любой аспект работы:

Keenetic как VPN-клиент: Защита всей сети

VPN-клиент на уровне роутера: зачем это нужно?

Настройка VPN-клиента на каждом устройстве — это утомительная задача. Более того, многие устройства (Smart TV, игровые консоли, IoT-гаджеты) не поддерживают эту функцию. Keenetic решает эту проблему, выступая в роли центрального VPN-клиента для всей сети. Это позволяет защитить все устройства одним подключением, без необходимости устанавливать и настраивать софт на каждом из них.

Поддерживаемые протоколы

Keenetic поддерживает все популярные протоколы для подключения к сторонним VPN-провайдерам и создания туннелей:

Keenetic как VPN-сервер: Защищённый удалённый доступ

Проблема удалённого доступа

Когда вы находитесь вне дома или офиса, доступ к локальным ресурсам — сетевому хранилищу (NAS), серверу или умным устройствам — может стать проблемой. Открытие портов в публичный интернет — это небезопасно. Решение — создание защищённого VPN-туннеля, который позволяет безопасно подключиться к вашей локальной сети из любой точки мира. Keenetic упрощает эту задачу, предоставляя мощный и гибкий функционал VPN-сервера прямо из коробки.

Резервирование каналов связи между офисами (Site-to-Site VPN, MPLS, Dark Fiber)

Мы уже обсудили, как обеспечить надежную связь внутри одного здания. Теперь давайте рассмотрим более сложный, но не менее важный аспект: резервирование каналов связи между географически распределенными офисами или филиалами. Это критически важно для компаний, где сотрудники в разных локациях должны постоянно обмениваться данными, получать доступ к общим ресурсам (например, центральной CRM, файловым серверам, IP-телефонии) и работать как единое целое.

Сбой в межофисной связи может парализовать работу целых департаментов, вызвать потерю данных и привести к серьезным финансовым и репутационным потерям.