Как настроить OpenVPN поверх Stunnel

​

Настройка OpenVPN поверх Stunnel на VPS с Ubuntu 22.04

​

Введение

​

Предварительные требования

• VPS: EDIS Global VPS с Ubuntu 22.04 и доступом root или sudo.
• Клиентский компьютер: Ubuntu или другой дистрибутив Linux, совместимый с OpenVPN и Stunnel; доступ root или sudo.

​

Обзор

1. На VPS: установка и настройка Stunnel, затем OpenVPN.
2. На клиенте: установка и настройка Stunnel, затем подключение OpenVPN через него.

​

Действия на VPS

​

1. Обновите системные пакеты

sudo apt update && sudo apt upgrade -y

​

2. Установите Stunnel

sudo apt install stunnel4 -y

​

3. Создайте SSL-сертификат для Stunnel

cd /etc/stunnel
sudo openssl req -new -x509 -days 365 -nodes -out stunnel.pem -keyout stunnel.pem

• openssl req -new -x509 -days 365 -nodes создаёт сертификат X.509 на 365 дней без парольной фразы (-nodes).
• -out stunnel.pem -keyout stunnel.pem сохраняет сертификат и закрытый ключ в stunnel.pem.

​

4. Создайте журнал Stunnel

sudo mkdir -p /var/log/stunnel
sudo touch /var/log/stunnel/stunnel.log
sudo chown stunnel4:stunnel4 /var/log/stunnel/stunnel.log

​

5. Настройте Stunnel

sudo nano /etc/stunnel/stunnel.conf

# Global options
output = /var/log/stunnel/stunnel.log

# Service-level options
[openvpn]
client = no
accept = 443
connect = 127.0.0.1:1194
cert = /etc/stunnel/stunnel.pem

• output — путь к журналу.
• [openvpn] — служба с именем openvpn.
• client = no — серверный режим Stunnel.
• accept = 443 — прослушивание порта 443, обычно используемого HTTPS и часто разрешённого межсетевыми экранами.
• connect = 127.0.0.1:1194 — пересылка входящих соединений локальному OpenVPN.
• cert — файл SSL-сертификата.

​

6. Включите и запустите службу Stunnel

sudo systemctl enable stunnel4
sudo systemctl restart stunnel4
sudo systemctl status stunnel4

​

7. Установите OpenVPN

cd ~
wget https://git.io/vpn -O openvpn-install.sh
sudo bash openvpn-install.sh

​

8. Измените конфигурацию сервера OpenVPN

sudo nano /etc/openvpn/server/server.conf

# Comment out if present:
# local 127.0.0.1

# Or add:
local 0.0.0.0

​

9. Перезапустите OpenVPN

sudo systemctl restart openvpn-server@server.service
sudo systemctl status openvpn-server@server.service

​

Действия на клиентском компьютере

​

1. Установите Stunnel

sudo apt install stunnel4 -y

​

2. Настройте Stunnel

cd /etc/stunnel
sudo nano stunnel.conf

client = yes

[openvpn]
accept = 127.0.0.1:1194
connect = VPS_IP_ADDRESS:443

• client = yes — клиентский режим.
• accept = 127.0.0.1:1194 — локальное прослушивание порта 1194.
• connect = VPS_IP_ADDRESS:443 — соединение со Stunnel на VPS.

​

3. Включите и запустите службу Stunnel

sudo systemctl enable stunnel4
sudo systemctl restart stunnel4
sudo systemctl status stunnel4

​

4. Скопируйте клиентскую конфигурацию OpenVPN

scp root@VPS_IP_ADDRESS:/root/client.ovpn ~/

​

5. Измените клиентскую конфигурацию OpenVPN

sudo mv ~/client.ovpn /etc/openvpn/client.conf
sudo nano /etc/openvpn/client.conf

• Направьте директиву remote на локальный конец Stunnel.
• Добавьте или измените следующие директивы.
• При необходимости укажите файл журнала.

• remote 127.0.0.1 1194 подключает OpenVPN к локальному Stunnel.
• route-nopull запрещает автоматическое изменение маршрутов.
• script-security 2 разрешает выполнение скриптов.
• route-up запускает скрипт после установления соединения.

​

6. Создайте скрипт маршрутизации

sudo nano /etc/openvpn/routing.sh

#!/bin/bash

SERVER_IP="VPS_IP_ADDRESS"
GATEWAY=$(ip route get 8.8.8.8 | grep -oP 'via \K\S+')
sudo ip route add $SERVER_IP/32 via $GATEWAY
sudo ip route add 0.0.0.0/1 via 10.8.0.1
sudo ip route add 128.0.0.0/1 via 10.8.0.1

• SERVER_IP — IP VPS.
• GATEWAY определяет шлюз по умолчанию, чтобы трафик к самому VPS шёл вне VPN-туннеля.
• Команды ip route add меняют таблицу маршрутизации.

sudo chmod +x /etc/openvpn/routing.sh

​

7. Запустите клиент OpenVPN

sudo systemctl enable openvpn-client@client.service
sudo systemctl start openvpn-client@client.service
sudo systemctl status openvpn-client@client.service

​

Проверка

​

1. Проверьте IP-адрес

curl ifconfig.me

​

2. Проверьте службы

sudo systemctl status stunnel4
sudo systemctl status openvpn-client@client.service

​

3. Проверьте соединение

ping -c 4 google.com
traceroute google.com

​

Устранение неполадок

• Соединение Stunnel отклонено: разрешите входящий порт 443 в межсетевом экране VPS и проверьте службу командой sudo systemctl status stunnel4.
• Ошибка аутентификации OpenVPN: проверьте соответствие сертификатов клиента и сервера и журналы OpenVPN на обеих сторонах.
• Проблемы маршрутизации: проверьте IP сервера в routing.sh, право выполнения скрипта и правильность пути в конфигурации OpenVPN.
• Служба не запускается: изучите journalctl -xe или журнал службы, проверьте опечатки и синтаксис конфигурационных файлов.

​

Заключение

​

Источники

• Официальная документация Stunnel
• Официальная документация OpenVPN
• Руководство Ubuntu Server