Настройка VPN на VPS с использованием IPSec (Libreswan) — полное руководство

IPSec (Internet Protocol Security) — один из самых надёжных и проверенных протоколов для создания защищённых VPN-туннелей. В связке с Libreswan (свободной реализацией IPSec) вы получаете мощный инструмент для организации личного VPN-канала на вашем VPS-сервере. В этой статье мы пошагово разберём, как настроить IPSec VPN с Libreswan, сравним его с современными технологиями вроде XHTTP + Reality и объясним, почему личный VPN на VPS — это лучшее решение для приватности и обхода блокировок.

Зачем поднимать VPN на VPS

Коммерческие VPN-сервисы удобны, но у них есть один существенный недостаток: тысячи пользователей сидят на одних и тех же IP-адресах. Это делает их лёгкой мишенью для DPI-систем и блокировок. Кроме того, вы делите пропускную способность с другими абонентами, что сказывается на скорости.

Личный VPN на VPS решает эти проблемы раз и навсегда:

• Персональный IP-адрес — используете только вы, никто не «подставит» вас своей активностью.
• Максимальная скорость — ресурсы сервера не распределяются между сотнями пользователей.
• Полный контроль — вы сами выбираете протокол, настройки шифрования и политику логирования.
• Zero-log — никто не хранит логи вашей активности (в отличие от многих коммерческих VPN).

Что такое IPSec и Libreswan

IPSec (Internet Protocol Security) — это набор протоколов для обеспечения безопасности на сетевом уровне. Он шифрует и аутентифицирует каждый IP-пакет, обеспечивая конфиденциальность и целостность данных. IPSec работает в двух режимах:

• Транспортный режим — шифруется только полезная нагрузка (payload), заголовки IP остаются открытыми.
• Туннельный режим — шифруется весь IP-пакет, включая заголовки. Именно этот режим используется в большинстве VPN-решений.

Libreswan — это свободная реализация IPSec для Linux, форк популярного Openswan. Libreswan поддерживает современные алгоритмы шифрования (AES-GCM, ChaCha20-Poly1305), IKEv2 и множество методов аутентификации (сертификаты X.509, предварительные ключи, EAP). Он активно развивается и считается одним из самых надёжных IPSec-решений.

Подготовка VPS-сервера

Перед установкой Libreswan необходимо подготовить сервер. Мы будем использовать Ubuntu 22.04 LTS (инструкция подойдёт и для Debian 11/12).

Шаг 1. Обновление системы

Шаг 2. Настройка часового пояса и NTP

Для корректной работы IPSec важно синхронизировать время:

Шаг 3. Открытие портов в брандмауэре

IPSec использует следующие порты (если используете UFW):

• UDP 500 — IKE (Internet Key Exchange)
• UDP 4500 — IPSec NAT-T
• ESP протокол (50) — инкапсуляция данных (если не используется NAT-T)

Установка и настройка Libreswan

Шаг 4. Установка Libreswan и xl2tpd

Мы установим Libreswan и xl2tpd (для поддержки L2TP, если нужно):

Шаг 5. Базовая конфигурация IPSec

Отредактируйте файл /etc/ipsec.conf:

Пример минимальной конфигурации для IKEv2 с предварительным ключом:

config setup
    logfile=/var/log/pluto.log
    logtime=yes

conn %default
    ikelifetime=60m
    keylife=20m
    rekeymargin=3m
    keyingtries=1
    keyexchange=ikev2
    authby=secret
    mobike=yes

conn myvpn
    left=%any
    leftid=@vpn.example.com
    leftcert=/etc/ipsec.d/certs/vpn-cert.pem
    leftsendcert=always
    leftsubnet=0.0.0.0/0
    right=%any
    rightid=%any
    rightauth=eap-mschapv2
    rightsourceip=10.10.10.0/24
    rightdns=8.8.8.8
    eap_identity=%identity
    auto=add
            

Важно: замените vpn.example.com на ваш реальный домен или IP-адрес сервера.

Шаг 6. Настройка предварительного ключа (PSK)

Создайте файл /etc/ipsec.secrets:

Добавьте строку с вашим PSK (замените your_strong_password):

Шаг 7. Генерация сертификатов (опционально)

Для IKEv2 с сертификатами (более безопасно) используйте утилиту ipsec:

Подробная инструкция по генерации сертификатов выходит за рамки этой статьи, но Libreswan поддерживает как PSK, так и сертификаты X.509.

Шаг 8. Запуск и проверка

Команда ipsec verify покажет статус всех компонентов. Убедитесь, что нет ошибок.

Настройка брандмауэра и маршрутизации

Чтобы клиенты могли выходить в интернет через VPN, нужно включить IP-форвардинг и настроить NAT.

Шаг 9. Включение IP-форвардинга

Шаг 10. Настройка NAT с помощью iptables

Добавьте правило маскарадинга для интерфейса, через который сервер выходит в интернет (обычно eth0 или ens3):

Сохраните правила:

Подключение клиентов

Теперь ваш IPSec VPN-сервер готов к работе. Подключиться к нему можно с любого устройства:

• Windows — встроенный клиент VPN (IKEv2) или сторонний (например, Shrew Soft).
• macOS / iOS — встроенный IPSec-клиент.
• Android — встроенный клиент (IKEv2) или StrongSwan.
• Linux — через strongswan или charon.

Для подключения вам понадобится:

• IP-адрес или домен сервера (например, vpn.example.com).
• Предварительный ключ (PSK) или сертификат.
• Имя пользователя и пароль (если используется EAP).

Настройка клиентов зависит от платформы, но в большинстве случаев достаточно указать эти данные в настройках VPN-подключения.

IPSec vs XHTTP + Reality: что выбрать?

IPSec — надёжный и проверенный протокол, но у него есть один недостаток: он имеет характерные сигнатуры, которые DPI-системы научились распознавать. В странах с жёсткой фильтрацией интернета (например, Китай, Россия, Иран) IPSec-туннели часто блокируются.

Именно здесь на помощь приходит технология XHTTP + Reality — современный подход к маскировке VPN-трафика.

Так что же выбрать — IPSec или XHTTP + Reality?

• Если вы находитесь в стране без активного DPI и вам нужна надёжность, совместимость и простота — IPSec (Libreswan) — отличный выбор.
• Если вы хотите максимальную защиту от блокировок и готовы к более сложной настройке — XHTTP + Reality — это технология будущего.

Итог: выбирайте личный VPN на VPS

Настройка VPN на VPS с использованием IPSec (Libreswan) — это отличный способ получить надёжный, безопасный и полностью контролируемый канал связи. Однако, если вы хотите быть на 100% защищены от DPI-блокировок, обратите внимание на технологии маскировки трафика, такие как XHTTP + Reality.

Не хотите возиться с настройкой IPSec вручную? VPS-VPN предлагает готовые решения с предустановленными протоколами и панелью управления. Вы получаете работающий VPN за 5 минут без необходимости вникать в конфигурационные файлы.