OpenVPN. Как работает сервис

Модуль OpenVPN в панели BeAdmin поднимает VPN‑сервер на классическом протоколе с аутентификацией по сертификатам и собственным PKI. Работает поверх UDP и TCP, в том числе по TCP на 443 порту, что делает его пригодным для сетей с жёсткой фильтрацией UDP — например, корпоративных прокси.

Какую задачу решает OpenVPN

К началу 2000-х распространённые VPN‑протоколы (IPsec, PPTP, L2TP) полагались на собственные номера протоколов и режимы, которые домашние роутеры и корпоративные файрволы регулярно блокировали. Установка часто требовала прав ядра, доступных только администратору; туннель плохо переживал NAT.

OpenVPN был спроектирован поверх стандартного TLS на обычном UDP- или TCP-порту — на тех же примитивах, на которых работает HTTPS. Это дало VPN, который проходит через NAT-роутеры, при необходимости запускается на TCP 443 и опирается на привычную всем X.509‑инфраструктуру (CA, клиентские сертификаты, отзыв). За двадцать с лишним лет эти свойства остались его главным отличием от более новых протоколов.

Как OpenVPN работает

OpenVPN стоит на трёх инженерных решениях.

TLS поверх обычного UDP‑ или TCP‑порта. Сессия делится на канал управления и канал данных, мультиплексируемых на одном сокете. Канал управления — настоящий TLS‑handshake (как у HTTPS), он аутентифицирует стороны и согласует ключи. Канал данных — отдельный поток AEAD‑шифрованных пакетов с виртуального интерфейса. На уровне порта VPN неотличим от обычного TLS‑соединения.

Аутентификация по сертификатам. У сервера — собственный центр сертификации, у каждого клиента — личный сертификат, подписанный этим центром. Отзыв клиента вносится в CRL; сервер проверяет CRL на каждом подключении. Это снимает проблему «один скомпрометированный ключ — все пользователи под угрозой».

HMAC‑файрвол перед TLS. Перед самим TLS‑handshake каждый пакет проверяется по отдельному статическому ключу: без правильной подписи сервер пакет игнорирует, не отвечая ни ошибкой, ни сбросом. Сторонний сканер на порту не получит ни одного ответа, пока не предъявит ключ.

Что OpenVPN не умеет

Стоит явно проговорить, что OpenVPN не делает — частые ожидания, которые этим протоколом не закрываются.

• Не маскирует трафик от агрессивной цензуры. TLS‑handshake канала управления имеет узнаваемую структуру; HMAC‑файрвол прячет только метаданные первого пакета, не сам факт OpenVPN‑сессии в долгоживущем потоке. Системы DPI с активным зондированием опознают OpenVPN статистически. В таких сетях нужен Xray с маскировкой под HTTPS или Amnezia с маскировкой handshake поверх WireGuard.
• Не лёгкий по нагрузке. TLS‑handshake занимает несколько круговых пробегов между клиентом и сервером, кодовая база на порядки больше, чем у WireGuard. На мобильных клиентах разница в расходе батареи и времени подключения заметна.
• Прерывается при смене сети у клиента. Если IP клиента меняется в середине сессии, соединение разрывается и требует нового TLS‑handshake — пользователь видит короткое переподключение. WireGuard это переживает молча.
• Только TUN и только IPv4 в нашей реализации. Модуль работает на L3‑интерфейсе tun и обслуживает IPv4‑трафик. L2‑режим (tap) и IPv6 в BeAdmin не поддерживаются. Шифр AES-256-GCM зашит и через UI не меняется.
• Не делает VPN легальным. Если использование VPN в вашей юрисдикции ограничено или запрещено — OpenVPN этого не меняет.

OpenVPN в BeAdmin

Модуль OpenVPN в BeAdmin ставится в один клик. Панель сама готовит центр сертификации, серверный сертификат и параметры протокола, а потом выдаёт каждому пользователю личный сертификат, подписанный этим центром. Править конфигурационные файлы или возиться с командной строкой не нужно.

На каждого пользователя панель формирует готовый файл подключения .ovpn с встроенными ключами и сертификатами. Файл скачивается из панели или отправляется пользователю по почте. Клиент импортирует .ovpn в приложение OpenVPN Connect — оно есть на Windows, macOS, Linux, Android и iOS — или в любой совместимый OpenVPN‑клиент.

Что нужно от сервера: обычный VPS или физическая машина. На контейнерных серверах (LXC, OpenVZ без полноценной виртуализации) модуль не запустится — нужен полный доступ к сетевому стеку. Поддерживаются современные Ubuntu и Debian.

Когда стоит выбрать OpenVPN

OpenVPN стоит выбирать, когда:

• Сеть пропускает только TCP, в том числе корпоративные прокси, гостиничный Wi‑Fi, образовательные сети. OpenVPN — один из немногих VPN, штатно работающих по TCP (включая порт 443); большинство современных протоколов этого не умеют.
• Нужна совместимость с широчайшей экосистемой клиентов. Приложение OpenVPN Connect и совместимые клиенты есть на всех современных платформах и многих старых системах, где другие VPN‑клиенты ещё не появились.
• В вашей инфраструктуре уже используется X.509‑PKI и нужно встроить VPN в существующую модель сертификатов. OpenVPN использует тот же тип сертификатов, что и веб‑серверы; не нужно поднимать параллельную систему ключей.

Не стоит выбирать OpenVPN, если:

• Сеть активно блокирует или зондирует OpenVPN‑трафик (например, государственная фильтрация с активным зондированием). Берите Xray с маскировкой под HTTPS или Amnezia с маскировкой handshake поверх WireGuard.
• Важна экономия батареи и быстрый handshake на мобильных клиентах. WireGuard легче и быстрее — это разница в установке соединения и в расходе батареи на длинных сессиях.
• Нужен минимум шагов на стороне пользователя при подключении. У Outline проще импорт ключа (одна ссылка, один QR), у WireGuard — встроенный клиент во многих ОС. OpenVPN требует импорта .ovpn‑файла.

Если сомневаетесь — поставьте OpenVPN в BeAdmin и протестируйте бесплатно.

Если у вас ещё нет сервера, его можно взять у наших партнёров — они предлагают виртуальные и выделенные серверы с предустановленной панелью BeAdmin.

Проверено временем: более 15 лет на рынке хостинга. Ваш VPS с BeAdmin готов к работе из коробки.

• Германия
• Нидерланды
• Швеция
• Швейцария
• Испания
• США

Выбрать сервер

Европейская стабильность и простота. Запускайте BeAdmin вместе с VPS в один клик.

• Германия
• Нидерланды
• Швеция
• Эстония
• Румыния
• Швейцария
• Испания
• Великобритания
• США

Зарегистрироваться

Что дальше

• OpenVPN. Быстрый старт — установка модуля и первое подключение.
• OpenVPN. Управление модулем — управление сервисом, обновления.
• OpenVPN. Управление пользователями — выдача и отзыв подключений, временное отключение пользователя без переимпорта.