Настройка VPN на Debian: WireGuard и L2TP/IPsec — подробное руководство

Зачем нужен собственный VPN-сервер на Debian

Собственный VPN-сервер на Debian даёт контроль над шифрованием трафика и доступом к сети. Это полезно для защиты данных в публичных Wi-Fi, обхода региональных ограничений, безопасного подключения к рабочей сети из дома или объединения нескольких офисов. В отличие от коммерческих VPN-сервисов, вы не зависите от стороннего провайдера и можете настроить политики под свои задачи.

На Debian доступно несколько протоколов VPN. WireGuard — современный, быстрый и простой в настройке, работает на уровне ядра Linux. L2TP/IPsec — классический вариант с широкой поддержкой устройств, включая Windows, macOS, Android и iOS. Выбор зависит от ваших приоритетов: если важна максимальная производительность и простота — выбирайте WireGuard; если нужна совместимость со старыми системами — L2TP/IPsec.

В этой статье мы рассмотрим оба варианта, начиная с WireGuard как рекомендуемого для большинства случаев. Вы узнаете, как установить необходимые пакеты, сгенерировать ключи, настроить сервер и клиентов, а также обеспечить безопасность и автозапуск.

Подготовка сервера Debian: базовые шаги

Перед установкой VPN убедитесь, что сервер обновлён и имеет статический IP-адрес (или динамический DNS для домашнего использования). Выполните вход по SSH с правами root или через sudo.

Обновите список пакетов и установите базовые утилиты:

sudo apt update
sudo apt upgrade -y

Для работы WireGuard понадобится утилита iptables для настройки маршрутизации и файрвола. Установите её вместе с WireGuard:

sudo apt install wireguard iptables

В Debian 11 и новее WireGuard включён в официальный репозиторий. Для Debian 10 потребуется добавить репозиторий buster-backports:

echo "deb http://deb.debian.org/debian buster-backports main" | sudo tee /etc/apt/sources.list.d/buster-backports.list
sudo apt update
sudo apt -t buster-backports install wireguard wireguard-tools wireguard-dkms linux-headers-$(uname -r)

Также убедитесь, что на сервере разрешена пересылка IP-пакетов. Отредактируйте файл /etc/sysctl.conf или создайте /etc/sysctl.d/10-forward.conf (в Debian 13 рекомендуется использовать каталог sysctl.d):

sudo nano /etc/sysctl.d/10-forward.conf

Добавьте строки:

net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1

Примените изменения:

sudo sysctl -p

Если IPv6 не используется, строку для IPv6 можно опустить.

Установка и настройка WireGuard на Debian

WireGuard — это протокол VPN, работающий в ядре Linux. Он отличается высокой производительностью, простотой конфигурации и современной криптографией. Установка на Debian выполняется одной командой, как показано выше.

После установки необходимо сгенерировать пару ключей для сервера и для каждого клиента. Ключи можно создавать на любом компьютере с WireGuard, а затем переносить на сервер.

Для генерации ключей сервера выполните:

wg genkey | sudo tee /etc/wireguard/server_private.key | wg pubkey | sudo tee /etc/wireguard/server_public.key

Эта команда создаст приватный ключ в файле server_private.key и публичный ключ в server_public.key. Аналогично создайте ключи для клиента:

wg genkey | sudo tee /etc/wireguard/client_private.key | wg pubkey | sudo tee /etc/wireguard/client_public.key

Также рекомендуется сгенерировать Pre-Shared Key (PSK) для дополнительного шифрования:

wg genpsk

PSK добавляет ещё один уровень защиты и особенно полезен для защиты от будущих квантовых атак. Для каждого клиента нужен свой PSK.

Теперь создайте файл конфигурации сервера /etc/wireguard/wg0.conf:

sudo nano /etc/wireguard/wg0.conf

Пример конфигурации:

[Interface]
PrivateKey = <приватный ключ сервера>
Address = 10.10.10.1/24
ListenPort = 51820
PostUp = iptables -I INPUT -p udp --dport 51820 -j ACCEPT
PostUp = iptables -I FORWARD -i ens3 -o %i -j ACCEPT
PostUp = iptables -I FORWARD -i %i -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
PostDown = iptables -D INPUT -p udp --dport 51820 -j ACCEPT
PostDown = iptables -D FORWARD -i ens3 -o %i -j ACCEPT
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADE

[Peer]
PublicKey = <публичный ключ клиента>
PresharedKey =
AllowedIPs = 10.10.10.2/32

Замените ens3 на имя вашего сетевого интерфейса (узнать можно командой ip a). Параметр AllowedIPs определяет, какие IP-адреса разрешены для клиента. Для полного доступа к интернету через VPN укажите 0.0.0.0/0, ::/0 на стороне клиента.

Настройка клиента WireGuard и подключение

На клиентском устройстве (Debian, Windows, Android, iOS) также необходимо установить WireGuard и создать конфигурационный файл. Для Linux-клиента создайте файл /etc/wireguard/wg-client0.conf:

[Interface]
PrivateKey = <приватный ключ клиента>
Address = 10.10.10.2/24
DNS = 10.10.10.1

[Peer]
PublicKey = <публичный ключ сервера>
PresharedKey =
Endpoint = <публичный IP сервера>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Параметр DNS указывает на DNS-сервер. Можно использовать публичные DNS (например, 1.1.1.1) или IP вашего VPN-сервера, если на нём настроен DNS-резолвер. PersistentKeepalive отправляет пустые пакеты каждые 25 секунд, что полезно для поддержания соединения за NAT.

Для запуска WireGuard на сервере выполните:

sudo wg-quick up wg0

Для остановки — sudo wg-quick down wg0. Чтобы включить автозапуск при загрузке системы, выполните:

sudo systemctl enable wg-quick@wg0

На клиенте запустите аналогично:

sudo wg-quick up wg-client0

Проверить статус соединения можно командой sudo wg show. Если всё настроено правильно, вы увидите список пиров и объём переданных данных.

Для мобильных устройств удобно использовать QR-код. Сгенерируйте его с помощью утилиты qrencode:

sudo apt install qrencode
qrencode -t ansiutf8 < /etc/wireguard/wg-client0.conf

Отсканируйте код камерой телефона — конфигурация импортируется автоматически.

Настройка L2TP/IPsec VPN-сервера на Debian

L2TP/IPsec — это классический VPN-протокол, который поддерживается всеми современными операционными системами без установки дополнительного ПО. Он использует IPsec для шифрования и аутентификации, а L2TP — для туннелирования.

Для настройки на Debian потребуются пакеты strongswan (для IPsec) и xl2tpd (для L2TP). Установите их:

sudo apt install strongswan xl2tpd

Настройка IPsec начинается с редактирования файла /etc/ipsec.conf. Добавьте следующие секции:

conn rw-base
    fragmentation=yes
    dpdaction=clear
    dpdtimeout=90s
    dpddelay=30s

conn l2tp-vpn
    also=rw-base
    ike=aes128-sha256-modp3072
    esp=aes128-sha256-modp3072
    leftsubnet=%dynamic[/1701]
    rightsubnet=%dynamic
    leftauth=psk
    rightauth=psk
    type=transport
    auto=add

Эти параметры включают фрагментацию IKE, обнаружение мёртвых узлов (DPD) и задают современные шифры. Общий ключ (PSK) укажите в файле /etc/ipsec.secrets:

%any %any : PSK "mySharedKey"

Замените mySharedKey на случайную строку, сгенерированную, например, командой openssl rand -base64 18.

Перезапустите strongSwan:

sudo systemctl restart strongswan

На Ubuntu имя службы может быть strongswan-starter.

Конфигурация xl2tpd и PPP для L2TP

После настройки IPsec переходим к L2TP. Отредактируйте файл /etc/xl2tpd/xl2tpd.conf:

[global]
port = 1701
auth file = /etc/ppp/chap-secrets
access control = no
ipsec saref = yes
force userspace = yes

[lns default]
exclusive = no
ip range = 10.2.2.100-10.2.2.199
hidden bit = no
local ip = 10.2.2.1
length bit = yes
require authentication = yes
name = l2tp-vpn
pppoptfile = /etc/ppp/options.xl2tpd
flow bit = yes

Параметр ip range задаёт диапазон адресов для клиентов, local ip — адрес сервера в VPN-сети. Имя name должно совпадать с именем службы в файле аутентификации.

Скопируйте стандартный файл настроек PPP:

cd /etc/ppp
cp options options.xl2tpd

Отредактируйте /etc/ppp/options.xl2tpd, раскомментировав или добавив следующие опции:

asyncmap 0
auth
crtscts
lock
hide-password
modem
mtu 1460
lcp-echo-interval 30
lcp-echo-failure 4
noipx
refuse-pap
refuse-chap
refuse-mschap
require-mschap-v2
multilink
mppe-stateful

Для Windows-клиентов можно добавить DNS-серверы:

ms-dns 192.168.1.1
ms-dns 192.168.1.2

Если вы хотите, чтобы клиенты были в одной сети с офисом, добавьте proxyarp и используйте адреса из локальной подсети. В противном случае настройте маршрутизацию.

Создайте учётные записи в файле /etc/ppp/chap-secrets:

ivanov l2tp-vpn Pa$$word_1 *

Формат: логин, имя службы, пароль, IP-адрес (или * для любого). Для фиксированного адреса укажите его явно, например 10.2.2.99.

Перезапустите xl2tpd:

sudo systemctl restart xl2tpd

Сообщение setsockopt recvref[30]: Protocol not available можно игнорировать — оно не влияет на работу.

Настройка файрвола и маршрутизации для VPN

Для корректной работы VPN-сервера необходимо открыть соответствующие порты в файрволе и настроить маршрутизацию трафика.

Для WireGuard откройте UDP-порт 51820 (или другой, если вы его изменили):

sudo ufw allow 51820/udp

Для L2TP/IPsec откройте порты 500 UDP, 1701 UDP и 4500 UDP:

sudo ufw allow 500/udp
sudo ufw allow 1701/udp
sudo ufw allow 4500/udp

Если вы используете UFW, необходимо также разрешить пересылку пакетов для VPN-подсети. Отредактируйте файл /etc/ufw/before.rules, добавив в конец:

# NAT table rules
*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -o ens3 -j MASQUERADE
COMMIT

И в цепочке ufw-before-forward разрешите пересылку для вашей VPN-сети (например, 10.10.10.0/24):

-A ufw-before-forward -s 10.10.10.0/24 -j ACCEPT
-A ufw-before-forward -d 10.10.10.0/24 -j ACCEPT

После изменений перезапустите UFW:

sudo systemctl restart ufw

Для WireGuard правила iptables можно добавить прямо в конфигурационный файл через PostUp и PostDown, как показано ранее. Это автоматически добавляет и удаляет правила при запуске/остановке интерфейса.

Убедитесь, что пересылка IP включена (см. раздел подготовки). Без этого VPN-клиенты не смогут выйти в интернет через сервер.

Настройка DNS для VPN-клиентов

Чтобы VPN-клиенты могли использовать DNS-резолвер, необходимо настроить DNS-сервер на VPN-сервере или указать внешние DNS в конфигурации клиента.

Для WireGuard в конфигурации клиента можно указать публичные DNS, например 1.1.1.1 и 1.0.0.1. Однако если вы хотите использовать собственный резолвер (например, для фильтрации или локальных имён), установите BIND9 на сервере:

sudo apt install bind9

После установки BIND запустится автоматически. Отредактируйте файл /etc/bind/named.conf.options, добавив разрешение рекурсивных запросов для VPN-подсети:

allow-recursion { 127.0.0.1; 10.10.10.0/24; };

Также в файле /etc/default/named добавьте опцию -4, чтобы BIND использовал только IPv4:

OPTIONS="-u bind -4"

Перезапустите BIND:

sudo systemctl restart bind9

Откройте порт 53 для VPN-клиентов:

sudo ufw allow in from 10.10.10.0/24 to any port 53

В конфигурации клиента WireGuard укажите DNS = 10.10.10.1 (IP вашего VPN-сервера). Для L2TP добавьте опции ms-dns в файл options.xl2tpd.

Если вы не хотите устанавливать собственный DNS, просто используйте публичные серверы — это проще и не требует дополнительной настройки.

Безопасность и оптимизация VPN-сервера

Безопасность VPN-сервера критически важна, особенно если он доступен из интернета. Вот несколько рекомендаций:

• Используйте надёжные ключи и пароли. Для WireGuard генерируйте ключи с помощью wg genkey, для L2TP — случайные PSK длиной не менее 18 символов.
• Ограничьте доступ по IP, если это возможно. В файле конфигурации WireGuard можно указать AllowedIPs для каждого клиента, а в L2TP — использовать файл chap-secrets с конкретными IP.
• Регулярно обновляйте систему и пакеты: sudo apt update && sudo apt upgrade.
• Настройте файрвол, разрешив только необходимые порты. Для SSH используйте нестандартный порт и ключевую аутентификацию.
• Включите защиту от brute-force атак, например, с помощью fail2ban.
• Для WireGuard используйте Pre-Shared Key для дополнительного шифрования.
• Следите за журналами: journalctl -u wg-quick@wg0 или journalctl -u xl2tpd.

Оптимизация производительности:

• WireGuard работает в ядре, поэтому он быстрее, чем пользовательские реализации L2TP.
• Убедитесь, что на сервере достаточно ресурсов (CPU, RAM) для обработки шифрования.
• Используйте MTU 1460 для L2TP, чтобы избежать фрагментации пакетов.
• Для WireGuard можно настроить несколько интерфейсов (wg0, wg1) для разных целей.

Помните, что VPN не делает вас полностью анонимным — он лишь шифрует трафик между вами и сервером. Для полной анонимности используйте Tor или другие инструменты.

Частые проблемы и их решение

При настройке VPN могут возникнуть типичные проблемы. Рассмотрим основные.

Не удаётся подключиться к WireGuard. Проверьте, что порт 51820/udp открыт в файрволе, сервер запущен (sudo wg show), и в конфигурации клиента указан правильный Endpoint. Также убедитесь, что ключи совпадают.

VPN работает, но нет доступа в интернет. Проверьте пересылку IP (sysctl net.ipv4.ip_forward), правила NAT (iptables -t nat -L POSTROUTING) и разрешение пересылки в UFW.

L2TP подключается, но не проходит аутентификацию. Убедитесь, что имя службы в chap-secrets совпадает с name в xl2tpd.conf, и что пароль введён правильно. Также проверьте, что в options.xl2tpd включена опция require-mschap-v2.

Соединение L2TP обрывается через некоторое время. Это может быть связано с настройками DPD или NAT. Убедитесь, что в ipsec.conf включён dpdaction=clear, и на клиенте настроен keepalive.

Клиент Windows не может подключиться к L2TP. Включите в реестре Windows параметр AllowL2TPWeakCrypto (если используете слабые шифры) или используйте современные шифры, как в примере выше. Также убедитесь, что в брандмауэре Windows разрешён L2TP.

WireGuard не запускается при загрузке. Проверьте, что служба wg-quick@wg0 включена (systemctl enable wg-quick@wg0) и что файл конфигурации существует.

Если проблема не решается, проверьте журналы: journalctl -xe или логи конкретных служб.

Вопросы и ответы