Настройка VPN-сервера с SELinux/AppArmor: пошаговое руководство

VPN-сервер на VPS — это мощный инструмент, но его безопасность напрямую зависит от того, насколько хорошо вы защитили саму операционную систему. SELinux (Security-Enhanced Linux) и AppArmor — это системы мандатного управления доступом (MAC), которые позволяют ограничить программы даже в случае их компрометации. В этой статье мы разберём, как правильно настроить SELinux и AppArmor для VPN-сервера, сравним их подходы и покажем, как эти механизмы помогают защитить ваш личный VPS от взлома.

Что такое SELinux и AppArmor

SELinux (разработан NSA) и AppArmor (изначально от Novell) — это реализации мандатного контроля доступа (MAC) для Linux. В отличие от стандартного дискреционного контроля (DAC), где права определяются владельцем файла, MAC задаёт жёсткие политики, которые нельзя обойти даже с root-правами.

• SELinux — использует метки (контексты) для всех объектов системы (файлы, процессы, порты). Политики пишутся на специальном языке и могут быть очень сложными. Работает в режимах: enforcing (блокировка), permissive (только логи) и disabled (отключён).
• AppArmor — привязывает профили к путям исполняемых файлов. Профили проще в написании и понимании, используют синтаксис, похожий на ini-файлы. Работает в режимах enforce (блокировка) и complain (логирование).

Обе системы решают одну задачу: минимизировать ущерб от возможной эксплуатации уязвимости в VPN-сервере. Даже если злоумышленник получит контроль над OpenVPN или WireGuard, он не сможет выйти за рамки разрешённых политикой действий.

Сравнение подходов SELinux и AppArmor

«Выбор между SELinux и AppArmor часто определяется дистрибутивом, но для VPN-сервера на VPS оба подхода дадут отличный уровень защиты. Главное — не отключать их полностью.»

Настройка SELinux для WireGuard

WireGuard — это современный протокол, который часто работает в ядре Linux. В большинстве дистрибутивов (RHEL 9, CentOS Stream, Fedora) SELinux уже имеет встроенные политики для WireGuard. Однако если вы используете нестандартные порты или кастомные конфигурации, потребуется дополнительная настройка.

После этих шагов SELinux будет разрешать WireGuard работать в штатном режиме, но при этом блокировать любые несанкционированные действия (например, попытку открыть дополнительный порт или запись в системные каталоги).

Настройка SELinux для OpenVPN

OpenVPN — классический протокол, для которого в RHEL-подобных системах уже есть готовые политики. Но если вы используете нестандартные порты, кастомные скрипты или аутентификацию через LDAP, SELinux может блокировать работу.

После применения этих правил вы можете проверить работу OpenVPN и при необходимости посмотреть логи SELinux: ausearch -m avc -ts recent.

Настройка AppArmor для WireGuard

В Ubuntu и Debian AppArmor включён по умолчанию, но для WireGuard часто не требуется отдельных профилей, так как он работает на уровне ядра. Однако вы можете создать профиль для утилиты wg-quick, чтобы ограничить её возможности.

#include <tunables/global>
/usr/bin/wg-quick {
    #include <abstractions/base>
    #include <abstractions/bash>
    #include <abstractions/nameservice>

    /usr/bin/wg-quick r,
    /usr/bin/wg r,
    /etc/wireguard/* r,
    /sys/class/net/* r,
    /proc/sys/net/ipv4/ip_forward rw,
    /proc/sys/net/ipv6/conf/*/forwarding rw,
    /run/wireguard/* rw,

    # разрешить выполнение wg
    /usr/bin/wg ix,
    # разрешить доступ к iptables/nftables (если используется NAT)
    /usr/sbin/iptables ix,
    /usr/sbin/nft ix,
    /usr/sbin/ip ix,
}
            

После этого wg-quick сможет работать только с разрешёнными файлами и командами, что снижает риск при компрометации.

Настройка AppArmor для OpenVPN

Для OpenVPN в Ubuntu уже есть предустановленный профиль /etc/apparmor.d/usr.sbin.openvpn. Однако если вы используете кастомные скрипты или нестандартные пути, профиль нужно дополнить.

Безопасность VPS‑VPN: личный сервер + мандатный контроль

Настроив SELinux или AppArmor на своём VPS, вы получаете двухуровневую защиту:

• Первый уровень — изоляция VPN-процессов с помощью MAC. Даже если злоумышленник найдёт уязвимость в OpenVPN или WireGuard, он не сможет повредить систему.
• Второй уровень — маскировка трафика XHTTP + Reality, которая делает ваш VPN-трафик неотличимым от обычного HTTPS.

Итог: комплексная защита — залог спокойствия

Настройка SELinux или AppArmor для VPN-сервера — это не просто «хороший тон», а необходимый шаг для любого серьёзного администратора. В 2026 году, когда атаки на VPN-серверы становятся всё более изощрёнными, полагаться только на парольную защиту и фаервол — недостаточно.

Что вы получаете, используя VPS‑VPN с SELinux/AppArmor:

• Персональный IP-адрес — не разделяете с тысячами других пользователей.
• Максимальную скорость — ни с кем не делите пропускную способность.
• Невидимость для DPI — трафик маскируется под обычный браузер Chrome.
• Мандатный контроль доступа — SELinux или AppArmor ограничивают VPN-процессы даже при компрометации.
• Zero‑log политику — никаких логов вашей активности.