VPN Server 2022: настройка OpenVPN и RRAS на Windows Server 2022

Зачем нужен собственный VPN-сервер в 2022 году

В 2022 году удаленная работа и защищенный доступ к корпоративным ресурсам стали стандартом. Использование публичных VPN-сервисов не всегда удовлетворяет требованиям безопасности и производительности, особенно для организаций. Собственный VPN-сервер на Windows Server 2022 позволяет:

• Обеспечить шифрованный туннель между удаленными сотрудниками и внутренней сетью.
• Контролировать доступ на уровне пользователей и групп.
• Избежать зависимости от сторонних провайдеров и их политик логирования.
• Настроить маршрутизацию и NAT для доступа к внутренним ресурсам.

Windows Server 2022 предлагает встроенную роль Remote Access (RRAS), которая поддерживает несколько протоколов VPN, включая IKEv2, SSTP, L2TP и PPTP. Альтернативой является OpenVPN — кроссплатформенное open-source решение, которое можно развернуть даже на десктопных версиях Windows. Выбор между ними зависит от задач, инфраструктуры и уровня требуемой безопасности.

Важно понимать, что VPN-сервер — это не просто программа, а комплексное решение, включающее сетевую архитектуру, сертификаты, правила файервола и мониторинг. В этой статье мы рассмотрим оба подхода и дадим практические рекомендации.

Сравнение OpenVPN и RRAS на Windows Server 2022

Прежде чем приступить к настройке, важно выбрать технологию. Вот ключевые различия:

OpenVPN — это open-source решение, использующее SSL/TLS для шифрования. Оно работает поверх UDP или TCP, что обеспечивает гибкость при прохождении через NAT и файерволы. OpenVPN требует установки отдельного программного обеспечения и настройки сертификатов, но предоставляет высокий уровень контроля и совместимости с различными ОС.

RRAS (Routing and Remote Access) — встроенная роль Windows Server, поддерживающая несколько протоколов. IKEv2 считается современным стандартом благодаря высокой скорости и стабильности, особенно на мобильных устройствах. SSTP использует порт 443, что позволяет обходить большинство файерволов. L2TP/IPSec — классический вариант, но требует настройки PSK или сертификатов. PPTP устарел и не рекомендуется из-за слабой безопасности.

Для новых развертываний на Windows Server 2022 эксперты рекомендуют использовать IKEv2 в качестве основного протокола, а SSTP — как запасной вариант для совместимости. OpenVPN предпочтителен, если нужна максимальная гибкость и независимость от вендора.

Выбор также зависит от клиентской базы: если все клиенты — Windows, RRAS с IKEv2 будет простым решением. Если нужна поддержка Linux, macOS, Android — OpenVPN часто оказывается удобнее.

Требования к оборудованию и сети для VPN-сервера

Перед установкой VPN-сервера необходимо убедиться, что инфраструктура соответствует минимальным требованиям.

Аппаратное обеспечение:

• Процессор: 2+ ядра, рекомендуется 4+ для активного использования.
• ОЗУ: от 2 ГБ для базовой конфигурации, 4 ГБ и более для многих одновременных подключений.
• Диск: 20 ГБ свободного места для ОС и логов.
• Сетевой адаптер: гигабитный Ethernet, желательно с поддержкой аппаратного ускорения.

Сетевые требования:

• Статический публичный IP-адрес или DNS-имя, которое резолвится на VPN-сервер.
• Проброс портов на роутере или файерволе: для IKEv2 — UDP 500 и 4500, для OpenVPN — UDP 1194 (или другой порт).
• Выделенный пул IP-адресов для VPN-клиентов, не пересекающийся с локальной сетью (например, 10.254.20.0/24).
• Возможность маршрутизации обратного трафика от внутренних подсетей к VPN-клиентам.

Если сервер находится за NAT, необходимо настроить трансляцию портов. Для OpenVPN это правило NAT на роутере, направляющее трафик с внешнего порта на внутренний IP сервера. Для RRAS с IKEv2 также требуется проброс UDP 500 и 4500.

Важно: Microsoft не рекомендует разворачивать RRAS VPN на виртуальных машинах Azure, так как это может привести к проблемам с маршрутизацией и производительностью. Лучше использовать выделенный сервер или VPS с поддержкой VPN.

Установка и настройка OpenVPN-сервера на Windows

OpenVPN можно развернуть на Windows 10/11 Pro или Enterprise, а также на Windows Server 2022. Для этого потребуется скачать установщик с официального сайта. Процесс установки включает выбор компонентов: служба OpenVPN, драйвер Data Channel Offload, утилиты OpenSSL. Графический интерфейс (GUI) на сервере не нужен, поэтому его можно отключить.

После установки необходимо создать инфраструктуру открытых ключей (PKI) с помощью Easy-RSA. В командной строке перейдите в каталог easy-rsa и выполните:

cd "C:\Program Files\OpenVPN\easy-rsa"
.\EasyRSA-Start.bat

Затем инициализируйте PKI и создайте корневой сертификат:

./easyrsa init-pki
./easyrsa build-ca

Далее генерируются сертификаты для сервера и клиентов. Для сервера:

./easyrsa gen-req server nopass
./easyrsa sign-req server server
./easyrsa gen-dh

Для клиента:

./easyrsa build-client-full client1

Также рекомендуется сгенерировать ключ tls-crypt для дополнительной защиты TLS-канала:

./openvpn --genkey secret tc.key

Конфигурационный файл сервера (server.ovpn) размещается в каталоге config-auto. В нем указываются порт, протокол, пути к сертификатам, параметры шифрования (например, AES-256-GCM) и пул IP-адресов. Пример базовой конфигурации:

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-crypt tc.key
server 10.24.1.0 255.255.255.0
keepalive 10 120

После сохранения конфигурации необходимо открыть порт 1194 в файерволе Windows и настроить проброс на роутере. Служба OpenVPN запускается автоматически при старте системы.

Настройка VPN-сервера на Windows Server 2022 с помощью RRAS

RRAS — встроенная роль Windows Server, которая позволяет развернуть VPN-сервер без стороннего ПО. Для установки роли используйте PowerShell или Server Manager.

Установка роли:

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools

В Server Manager выберите «Добавить роли и компоненты», укажите роль «Удаленный доступ» и службу «DirectAccess и VPN (RAS)». После установки откройте консоль RRAS и выберите «Настроить и включить маршрутизацию и удаленный доступ». В мастере выберите «Особая конфигурация» и отметьте «Доступ к VPN».

Настройка пула IP-адресов:

В свойствах сервера перейдите на вкладку IPv4, выберите «Статический пул адресов» и укажите диапазон, например, 10.254.20.10–10.254.20.100. Убедитесь, что этот диапазон не пересекается с другими подсетями.

Выбор протокола:

В свойствах сервера на вкладке «Порты» включите только нужные протоколы. Для IKEv2 используются порты UDP 500 и 4500. SSTP работает через TCP 443. L2TP/IPSec требует настройки PSK или сертификатов. PPTP включать не рекомендуется.

Настройка файервола:

Windows Server 2022 включает предопределенные правила для RRAS. В оснастке «Брандмауэр Защитника Windows» создайте новое правило для входящих подключений, выберите «Предопределенные» и укажите «Маршрутизация и удаленный доступ». Включите правила для выбранных протоколов.

Создание пользователей:

В оснастке «Управление компьютером» создайте локальных пользователей и в свойствах каждого на вкладке «Входящие звонки» разрешите доступ. Для доменных пользователей можно использовать групповые политики или NPS.

Настройка NAT и маршрутизации для доступа к внутренним ресурсам

Чтобы VPN-клиенты могли обращаться к внутренним серверам и интернету, необходимо настроить NAT и маршрутизацию.

Для RRAS:

В консоли RRAS разверните узел IPv4 и выберите NAT. Добавьте новый интерфейс — сетевой адаптер, подключенный к интернету. В свойствах интерфейса выберите «Публичный интерфейс, подключенный к интернету» и включите NAT. На вкладке «Службы и порты» отметьте VPN Gateway (L2TP/IPSec) и укажите частный адрес 127.0.0.1.

Для доступа к внутренним подсетям необходимо добавить статические маршруты на внутренних маршрутизаторах, указывающие на VPN-сервер как на шлюз для пула VPN-адресов.

Для OpenVPN:

В конфигурационном файле сервера добавьте директивы для маршрутизации и NAT. Например, чтобы разрешить клиентам доступ к локальной сети 192.168.13.0/24, добавьте:

push "route 192.168.13.0 255.255.255.0"

Также необходимо включить IP-пересылку в Windows и настроить NAT с помощью команды:

New-NetNat -Name VPNNAT -InternalIPInterfaceAddressPrefix 10.24.1.0/24

Это позволит клиентам выходить в интернет через VPN-сервер. Для доступа к внутренним ресурсам настройте маршруты на внутренних устройствах.

Раздельное туннелирование vs полное туннелирование:

• Раздельное туннелирование: только трафик к внутренним сетям идет через VPN, интернет-трафик — через локальное подключение. Это снижает нагрузку на сервер, но требует точной настройки маршрутов.
• Полное туннелирование: весь трафик клиента идет через VPN. Это обеспечивает централизованный контроль и фильтрацию, но увеличивает требования к пропускной способности и безопасности сервера.

Выбор модели зависит от политики безопасности организации.

Обеспечение безопасности VPN-сервера

Безопасность VPN-сервера критически важна, так как он является точкой входа в корпоративную сеть. Вот основные меры:

Использование современных протоколов шифрования:

• Для OpenVPN используйте AES-256-GCM или ChaCha20-Poly1305.
• Для RRAS предпочтителен IKEv2 с сертификатами, а не PSK.
• Избегайте PPTP и L2TP без IPSec.

Управление сертификатами:

• Используйте собственную PKI (например, Easy-RSA для OpenVPN или Active Directory Certificate Services для RRAS).
• Установите разумные сроки действия сертификатов и настройте их автоматическое продление.
• Отзывайте сертификаты уволенных сотрудников.

Настройка файервола:

• Ограничьте доступ к VPN-портам только с нужных IP-адресов, если это возможно.
• Используйте Windows Firewall для блокировки нежелательных входящих подключений.
• Для IKEv2 откройте только UDP 500 и 4500.

Аутентификация и авторизация:

• Используйте многофакторную аутентификацию (MFA) для VPN-доступа, если это поддерживается.
• Для RRAS можно настроить NPS (Network Policy Server) для централизованного управления политиками.
• Регулярно меняйте пароли пользователей и PSK.

Мониторинг и аудит:

• Включите логирование подключений и событий безопасности.
• Используйте Remote Access Management Console для отслеживания активных сессий.
• Настройте оповещения о подозрительной активности.

Обновления:

• Регулярно устанавливайте обновления Windows и обновления OpenVPN.
• Следите за рекомендациями производителей.

Подключение клиентов и проверка работы VPN

После настройки сервера необходимо проверить подключение с клиентских устройств.

Для Windows-клиентов (RRAS):

Создайте новое VPN-подключение в настройках сети. Укажите адрес сервера (DNS-имя или IP), тип VPN — IKEv2 или SSTP. Введите учетные данные пользователя. После подключения проверьте доступ к внутренним ресурсам.

Для OpenVPN-клиентов:

Установите OpenVPN Client, скопируйте файлы конфигурации клиента (client.ovpn, ca.crt, client.crt, client.key, tc.key) в каталог config. Запустите подключение через GUI или командную строку.

Проверка подключения:

• Выполните ping до внутреннего сервера.
• Проверьте IP-адрес, выданный VPN-клиенту.
• Убедитесь, что интернет-трафик работает (если настроено полное туннелирование).

Типичные проблемы:

• Ошибка 720 (RRAS): часто связана с нехваткой адресов в пуле или проблемами DHCP. Увеличьте пул или настройте статический пул.
• Нет доступа к внутренним ресурсам: проверьте маршруты на сервере и внутренних маршрутизаторах.
• Не работает интернет при полном туннелировании: убедитесь, что на сервере настроен NAT и DNS.
• Проблемы с сертификатами: проверьте срок действия и цепочку доверия.

Мониторинг:

Используйте Remote Access Management Console для просмотра активных подключений и статистики. Для OpenVPN можно использовать файлы логов и статус-файлы.

Расширенные сценарии: Always On VPN и интеграция с доменом

Для крупных организаций может потребоваться более сложная настройка, чем просто RRAS.

Always On VPN — это технология Microsoft, которая позволяет автоматически устанавливать VPN-подключение при запуске системы или при подключении к интернету. Она использует профили VPNv2 и управляется через Intune, Configuration Manager или PowerShell. Always On VPN поддерживает два типа туннелей:

• User tunnel: подключается после входа пользователя.
• Device tunnel: подключается до входа пользователя, что позволяет применять политики и обновления.

Для развертывания Always On VPN требуется:

• Инфраструктура PKI для сертификатов.
• NPS для аутентификации.
• MDM-решение для распространения профилей.

Интеграция с Active Directory:

Если VPN-сервер входит в домен, можно использовать групповые политики для настройки клиентов и сервера. NPS позволяет централизованно управлять политиками доступа, включая ограничения по времени, группам и типам устройств.

Многофакторная аутентификация:

Для повышения безопасности можно интегрировать VPN с Azure MFA или сторонними решениями. Это особенно актуально для удаленного доступа к конфиденциальным данным.

Отказоустойчивость:

Для критически важных систем можно настроить несколько VPN-серверов и балансировку нагрузки с помощью NLB или DNS-раунд-робин.

Эти сценарии требуют тщательного планирования и тестирования, но обеспечивают высокий уровень безопасности и удобства для пользователей.

Мониторинг и устранение неполадок VPN-сервера

Регулярный мониторинг помогает выявлять проблемы до того, как они повлияют на пользователей.

Инструменты мониторинга:

• Remote Access Management Console: показывает статус сервера, активные подключения, ошибки.
• Performance Monitor: отслеживает загрузку процессора, памяти, сетевых интерфейсов.
• Журналы событий Windows: просматривайте журналы RRAS и OpenVPN для диагностики.
• Сторонние решения: Zabbix, Nagios, PRTG для комплексного мониторинга.

Типичные проблемы и их решение:

• Не удается установить соединение: проверьте, запущена ли служба RRAS или OpenVPN, открыты ли порты на файерволе, правильно ли настроен проброс на роутере.
• Медленная работа VPN: проверьте пропускную способность канала, загрузку сервера, настройки шифрования. Возможно, стоит использовать более быстрый протокол (IKEv2 вместо OpenVPN).
• Проблемы с DNS: убедитесь, что клиенты получают правильные DNS-серверы. Для RRAS настройте параметры DNS в свойствах сервера.
• Сертификаты истекли: настройте автоматическое продление или напоминания.

Логирование:

• Для OpenVPN включите логирование в файл server.log и настройте verbosity (например, verb 3).
• Для RRAS включите логирование в журнале событий и настройте аудит.

Профилактика:

• Регулярно обновляйте сервер и клиентское ПО.
• Проводите тесты подключения после изменений в сети.
• Документируйте конфигурацию и изменения.

Мониторинг — это не разовая задача, а постоянный процесс, который помогает поддерживать стабильность и безопасность VPN-инфраструктуры.

Вопросы и ответы