VPN с L2TP/IPsec и IKEv2

​

Настройка VPN-сервера L2TP/IPsec и IKEv2 на Ubuntu 22.04

​

Введение

​

Предварительные требования

• VPS: EDIS Global VPS с Ubuntu 22.04 и доступом root или sudo.
• Клиентский компьютер: Ubuntu или другой Linux, совместимый с L2TP/IPsec и IKEv2; доступ root или sudo.

​

Обзор

1. На VPS: обновление пакетов, установка зависимостей, запуск скрипта настройки L2TP/IPsec и IKEv2, добавление и удаление VPN-пользователей.
2. На клиенте: установка VPN-клиента, настройка и подключение по L2TP/IPsec или IKEv2.

​

Действия на VPS

​

1. Обновите системные пакеты

sudo apt update && sudo apt upgrade -y

​

2. Установите необходимые пакеты

sudo apt install curl wget -y

​

3. Скачайте и запустите скрипт настройки VPN

wget https://get.vpnsetup.net -O vpn.sh

sudo VPN_DNS_SRV1=1.1.1.1 VPN_DNS_SRV2=1.0.0.1 sh vpn.sh

• VPN_DNS_SRV1 и VPN_DNS_SRV2 задают DNS для VPN-клиентов.
• Скрипт запросит данные VPN: IPsec PSK, имя пользователя и пароль. Если запрос не появляется, он создаст их автоматически.

===============================================

IPsec VPN server is now ready for use!

Connect to your new VPN with these details:

Server IP: x.x.x.x
IPsec PSK: Your_IPsec_PSK
Username: vpnuser
Password: Your_VPN_Password

Write these down. You'll need them to connect!

VPN client setup: https://vpnsetup.net/clients

===============================================

===============================================

IKEv2 setup successful. Details for IKEv2 mode:

VPN server address: x.x.x.x
VPN client name: vpnclient

Client configuration is available at:
/root/vpnclient.p12 (for Windows & Linux)
/root/vpnclient.sswan (for Android)
/root/vpnclient.mobileconfig (for iOS & macOS)

Next steps: Configure IKEv2 clients. See:
https://vpnsetup.net/clients

===============================================

​

4. Управление пользователями VPN

​

Добавление пользователя

sudo wget https://get.vpnsetup.net/adduser -O /opt/src/addvpnuser.sh
sudo chmod +x /opt/src/addvpnuser.sh
sudo ln -s /opt/src/addvpnuser.sh /usr/bin/addvpnuser.sh

sudo addvpnuser.sh 'newusername' 'newpassword'

​

Удаление пользователя

sudo wget https://get.vpnsetup.net/deluser -O /opt/src/delvpnuser.sh
sudo chmod +x /opt/src/delvpnuser.sh
sudo ln -s /opt/src/delvpnuser.sh /usr/bin/delvpnuser.sh

sudo delvpnuser.sh 'username_to_remove'

​

Действия на клиентском компьютере

​

Вариант 1. Подключение по L2TP/IPsec

​

1. Установите клиент L2TP VPN

sudo apt install network-manager-l2tp-gnome -y

​

2. Настройте VPN-соединение

1. Откройте настройки VPN: перейдите в Settings → Network → VPN и нажмите +.
2. Выберите тип: Layer 2 Tunneling Protocol (L2TP).
3. Общие параметры:
   • Name: имя подключения, например My L2TP VPN.
   • Gateway: IP VPN-сервера (Your VPN Server IP).
   • User name: имя VPN-пользователя (Your VPN Username).
   • Password: нажмите значок рядом с полем, выберите Store the password only for this user, затем введите пароль (Your VPN Password).
   • NT Domain: оставьте пустым.
4. Настройки IPsec:
   • Нажмите IPsec Settings….
   • Отметьте Enable IPsec tunnel to L2TP host.
   • Pre-shared key: укажите IPsec PSK (Your VPN IPsec PSK).
   • Разверните Advanced. В Phase1 Algorithms введите aes128-sha1-modp2048, а в Phase2 Algorithms — aes128-sha1.
5. Сохраните и подключитесь: закройте настройки IPsec кнопкой OK, сохраните соединение кнопкой Add и переведите переключатель VPN в ON.

​

3. Проверьте VPN-соединение

curl ifconfig.me

​

Вариант 2. Подключение по IKEv2

​

1. Установите плагин StrongSwan для Network Manager

sudo apt install network-manager-strongswan -y

​

2. Получите клиентские файлы VPN

• vpnclient.p12 — клиентский сертификат и закрытый ключ.
• vpnclient.mobileconfig — профиль macOS/iOS, для Linux не нужен.
• vpnclient.sswan — конфигурация StrongSwan, необязательна.

scp root@Your_VPN_Server_IP:/root/vpnclient.p12 ~/

​

3. Извлеките сертификаты и закрытый ключ

mkdir ~/ikev2-vpn
cd ~/ikev2-vpn

openssl pkcs12 -in ~/vpnclient.p12 -cacerts -nokeys -out ca.cer
openssl pkcs12 -in ~/vpnclient.p12 -clcerts -nokeys -out client.cer
openssl pkcs12 -in ~/vpnclient.p12 -nocerts -nodes -out client.key

rm ~/vpnclient.p12

• ca.cer — сертификат центра сертификации.
• client.cer — клиентский сертификат.
• client.key — закрытый ключ.

​

4. Защитите файлы сертификатов и ключа

sudo chown root:root ca.cer client.cer client.key
sudo chmod 600 ca.cer client.cer client.key

​

5. Установите плагины Network Manager, если они ещё не установлены

# Ubuntu and Debian
sudo apt update
sudo apt install network-manager-strongswan -y

# Arch Linux
sudo pacman -Syu  # Update package lists
sudo pacman -S networkmanager-strongswan

# Fedora
sudo dnf install NetworkManager-strongswan-gnome

# CentOS
sudo yum install epel-release
sudo yum --enablerepo=epel install NetworkManager-strongswan-gnome

​

6. Настройте VPN-соединение

1. Откройте VPN: перейдите в Settings → Network → VPN и нажмите +.
2. Выберите тип: IPsec/IKEv2 (strongSwan).
3. Общие параметры: в Name задайте имя, например My IKEv2 VPN.
4. Шлюз: в Address введите IP или домен VPN-сервера (Your VPN Server IP); в Certificate выберите извлечённый ca.cer.
5. Аутентификация клиента: в Authentication выберите Certificate (/private key), в Certificate (file) — client.cer, в Private key — client.key.
6. Параметры: отметьте Request an inner IP address.
7. Алгоритмы шифрования: отметьте Enable custom proposals, оставьте IKE пустым, в ESP введите aes128gcm16.
8. Сохраните и подключитесь: нажмите Add, затем переведите VPN в ON.

​

7. Проверьте VPN-соединение

curl ifconfig.me

​

Устранение неполадок

• Соединение не устанавливается: проверьте, что межсетевой экран сервера разрешает нужные VPN-порты, например UDP 500 и 4500 для IPsec, и службы VPN запущены.
• Ошибки аутентификации: проверьте IPsec PSK, имя и пароль, правильность установки сертификатов и ключей и их права доступа.
• Проблемы DNS: если после подключения не разрешаются домены, задайте DNS в клиенте или настройте передачу DNS-параметров клиентам на сервере.
• Ошибки StrongSwan: изучите /var/log/syslog или journalctl -xe; убедитесь, что настройки IKEv2 согласованы на клиенте и сервере.

​

Заключение

​

Источники

• Репозиторий hwdsl2/setup-ipsec-vpn
• Управление VPN-пользователями
• VPN-клиенты Linux
• Настройка IKEv2