SoftEther VPN - procházející „ohnivou stěnou“. Server SoftEther VPN Server na instalaci a konfiguraci Windows. Co je to za věc?
Ochrana dat je dnes na mysli každého více lidí. Trendy nejenže nejsou povzbudivé, jsou prostě děsivé – začínají nás sledovat i televize. Většina správnou cestou- vždy předpokládejte, že nás někdo poslouchá, a proaktivně se braňte. Prostřednictvím nich můžete zvýšit SSH tunely a SOCKS požadovaný provoz, můžete používat HTTPS všude, kde je to možné, instalací pluginů. K tomu však byla a stále je nejvhodnější technologie dlouho bude tam VPN.
Kde mohu získat VPN pro bezpečné připojení z různých zařízení na cestách a na veřejných místech? Jednoduché a rychlý způsob- využijte jednu z mnoha služeb. Z bezpečnostního hlediska ale tato metoda vyvolává otázky. Dobrovolně posílat svůj provoz přes „strýčka“ a ještě si za to připlácet není příliš bezpečné. A s anonymitou není všechno tak dobré, velká služba vám předá na první žádost, stačí si vzpomenout na historii HideMyAss a LulzSec. Malé stinné firmy si vás mohou oškubat samy bez omezení. Je nemožné zkontrolovat vnitřní fungování služby VPN a spoléhat se na ujištění, že nejsou vedeny žádné protokoly, je naivní.
Co zbývá chudákovi paranoikovi? Nastavení serveru VPN sami, naštěstí k tomu nepotřebujete mnoho. Nejvhodnější provedení pro vlastní server donedávna existoval OpenVPN. Jeho znatelná nevýhoda je docela složité nastavení a nepřátelství vůči běžnému uživateli. Instalovat a konfigurovat jej může pouze někdo, kdo má zkušenosti se sítí. Dostupnost na internetu velké množství návody krok za krokem situaci moc nepomáhají. OpenVPN navíc vyžaduje přístup k zařízením TUN/TAP na serveru, takže ne všechny hostingy VDS/VPS jsou pro něj vhodné. Nedávno byl však pod licencí GPLv2 otevřen výkonný multiprotokolový VPN server SoftEther VPN. Na první i na druhý pohled tento server ohromí svými schopnostmi.
Má vlastní protokol SSL-VPN, který je k nerozeznání od běžného HTTPS provozu (provoz OpenVPN lze stále rozlišit pomocí DPI). Je deklarována podpora L2TP/IPsec, MS-SSTP, OpenVPN, L2TPv3 a EtherIP a pro L2TP je uvedena přísná kompatibilita s vestavěnými klienty v iOS a Androidu. Samotný server má verze pro Windows, Linux, OS X, FreeBSD a Solaris a jak je uvedeno na webu, je optimální alternativou k OpenVPN a funguje rychleji.
Kompletní seznam všech vychytávek najdete na oficiálních stránkách. Uvedu pouze hlavní rysy. VPN server lze zcela ovládat pomocí velmi sofistikovaného GUI a to lze provést na dálku. Ano, ano, nyní je možné strčit serverová část na vdskam na Linuxu a spravovat je vzdáleně z roztomilé verze GUI pro Windows. SoftEther VPN má vestavěný NAT a DHCP server, to znamená, že pod Linuxem a FreeBSD se již nemusíte zabývat nastavení iptables a natd. Podle mého názoru nebylo vytvoření vlastní sítě VPN nikdy tak snadné implementovat. Proprietární protokol SSL-VPN může fungovat přes TCP s podporou více relací TCP, UDP a dokonce i ICMP.
Zkusme to
Podívejme se na tuto krásu z praktického hlediska. K instalaci budeme potřebovat Dedik nebo VDS/VPS; SoftEther VPN nevyžaduje ke svému provozu zařízení TUN/TAP, takže postačí i slabé možnosti s jakýmkoli typem virtualizace. Instalace serverové části je poměrně jednoduchá. Na stránce www.softether-download.com vyberte distribuci SoftEther VPN Server pro požadovaný operační systém a architekturu (v *nix lze architekturu OS najít pomocí příkazu uname -m). Zvažte například Linux jako nejběžnější možnost na VDS. Stáhněte si distribuční sadu na server pomocí libovolného přístupným způsobem, poté rozbalte a nainstalujte:
Tar xzvf softether-vpnserver-v4.05-9416.tar.gz && cd vpnserver && make
Budeme požádáni, abychom potvrdili, že jsme si přečetli licenční smlouvu a souhlasíme s ní. Poté bude náš SoftEther VPN Server nainstalován do tohoto adresáře a připraven ke spuštění. Dokumentace volitelně doporučuje přesunout jej do /usr/local/vpnserver , ale není v tom žádný rozdíl, můžete jej spustit i z /var/tmp . Slyšíš, kam jdu? 🙂 Spouštíme
./vpnserver start
To je ono, naše vlastní VPN server připraven a standardně čeká na naše připojení na portech 443, 992, 1194 a 5555. Přes něj můžete server spravovat konfigurační soubor nebo, což je mnohem pohodlnější, pomocí nástrojů pro správu. Můžete se k němu připojit pro ovládání pomocí konzolový nástroj vpncmd umístěného ve stejném adresáři nebo pomocí grafického uživatelského rozhraní Windows s názvem SoftEther VPN Server Manažer pro Windows. Je součástí SoftEther VPN Server pro Windows, ale můžete jej nainstalovat samostatně zaškrtnutím potřebných políček v instalačním programu nebo si stáhnout samostatný archiv ZIP ze stránky pro stahování. Považujme to za nejpřátelštější.
Pro připojení k Server Manageru zadáme hostitele a port (kterýkoli z naslouchacích) našeho serveru. Při prvním připojení budeme požádáni o nastavení hesla správce. Nastavte si heslo a začněte nastavovat. Má smysl upravit seznam portů, aby se zjevně nenarušila přítomnost VPN na serveru. Nechám jen 443 a vy si vyberte podle svého. SoftEther VPN podporuje takzvané virtuální rozbočovače, které jsou v podstatě samostatné virtuální VPN servery, každý má své vlastní správce, uživatele VPN, nastavení a zásady ACL. Vytvoříme si takový hub, pokud ve výchozím nastavení neexistoval, a přejdeme do jeho nastavení, kde potřebujeme vytvořit uživatele v Manage Users. SoftEther VPN podporuje různé metody autentizace včetně autorizace certifikátem, RADIUS a NT doména. Pro začátek nám stačí obvyklé ověření hesla, takže jednoduše nastavíme uživatelské jméno a heslo. Můžete se také podívat do Bezpečnostní politiky, kde můžete omezit šířku kanálu uživatele a zakázat jiné radosti.
Aby ti připojeni k uživatelé VPN byl přístup k internetu, používali jsme NAT. Všechna nastavení jsou umístěna na příslušném tlačítku v kontextu hubu, stačí povolit NAT a vše ostatní nechat ve výchozím nastavení. V této fázi se již můžete připojit k serveru pomocí klienta SoftEther VPN, který pracuje s vlastním protokolem SSL-VPN, nastavení je triviální a nezpůsobí žádné potíže. Chcete-li se připojit přes L2TP a L2TP/IPsec, musíte je povolit na serveru, odpovídající možnosti se nacházejí v Nastavení IPsec / L2TP. Stejným způsobem je povolena podpora klientů OpenVPN a v tomto případě SoftEther dokonce nabídne vygenerování konfiguračního souboru .ovpn pro OpenVPN.
Nyní se můžete připojit k VPN jako z počítače operační systémy, takže s mobilní zařízení, návod na nastavení připojení najdete na internetu, neliší se od těch běžných; Návody s ilustracemi jsou také k dispozici na webových stránkách www.softether.org. Je na čase, abyste se cítili jako hrdí majitelé serveru VPN nebo dokonce koupili tucet serverů různé země, otevřete si vlastní VPN službu :).
Netradiční VPN
Někdy se to stane přímé spojení mezi klientem a serverem VPN je z nějakého důvodu obtížné nebo nemožné ( místní síť, jehož výstup je na okrajovém routeru přísně chráněn firewallem, nebo server nemá externí IP a je umístěn za NAT nebo má dynamická adresa). Běžným případem je, že jsme si doma nainstalovali server VPN a chceme se dostat domů přes zabezpečený kanál, ale zde je problém: domácího poskytovatele nám nedává platnou IP adresu. Ale nikdy nevíte, že z nějakého důvodu nemusí být přímá viditelnost serveru. A zde nám SoftEther VPN má co ukázat. Vlastní protokol SSL-VPN má řadu zajímavé techniky překonat síťové bariéry. Navíc od nás nebudou vyžadovat žádné úsilí, vše funguje doslova automaticky. Kromě běžná podpora SOCKS/proxy, což po OpenVPN již není překvapivé, SoftEther VPN může:
- služba DDNS;
- NAT Traversal;
- VPN přes ICMP;
- VPN přes DNS;
- VPN Azure Cloud.
Pokud server nemá trvalou IP nebo chceme jen pohodlí, SoftEther VPN nám laskavě poskytne doménu třetí úrovně v doméně *.softether.net. Nemusíte se ani registrovat, stačí si vybrat subdoménu podle vašich představ a ta bude fungovat a aktualizovat se sama. Funkce penetrace NAT, ICMP a DNS tunelování jsou stále špatně zdokumentovány a nelze je nijak konfigurovat. Proto, abyste se ujistili, že fungují, možná budete potřebovat Wireshark. I ve výchozím nastavení však vše funguje více než dokonale. Technika NAT Traversal bypass úspěšně pronikla do mého firewallu na routeru, na kterém jsem pomocí pravidla blokoval odchozí pakety na VPN server pro testování a neméně úspěšně se mi podařilo připojit k VPN serveru, který byl umístěn za Full-Cone NAT . Problém s připojením k domácímu serveru je pro mě navždy vyřešen :). Stojí za zvážení, že NAT Traversal vyžaduje třetího hostitele, který v současnosti poskytuje SoftEther VPN.
Ovlivněte, jaká technologie bude použita aktuální verze je to zakázáno. SoftEther VPN klient zkouší je jeden po druhém, pokud se nezdařilo přímé připojení. Pokusí se o připojení ke 137. a 53. portu serveru, je povolen NAT Traversal a jsou odesílány ICMP pakety. Pro VPN přes ICMP se používá ICMP ECHO, nebo jednodušeji běžný ping.
Závěr
SoftEther VPN se vyvíjí velmi dynamicky a v době, kdy si přečtete tento článek, může být funkce ještě lahodnější. Tak výkonné a zároveň přátelské open source řešení tu ještě nebylo. Projekt si rozhodně zaslouží pozornost.
Pokaždé je potřeba použít nějaký druh vlákna Služba VPN, dostávám se do strnulosti a trávím mnoho hodin hledáním a spouštěním softwaru. Připravuji článek o nastavení programu SoftEther VPN. Software běží na Windows 10.
Krok 1. Stáhněte si klienta.
Stáhněte si soubor z odkazu. Stažení instalačního programu klienta Klient SoftEther VPN (Ver 4.21, Build 9613, beta) s integrovaným pluginem Brána VPN Klientský plugin pro nejnovější verzi.
Po stažení a rozbalení zahájíme instalaci.
Krok 2. Instalace klienta.
Nainstalujte program:
- Vyberte instalaci programu SoftEther VPN Client;
- Souhlasíme se všemi dohodami;
- Vyberte adresář (nebo standardní).
Počkejte na dokončení instalace programu a poté pokračujte:
Krok 3. První spuštění a nastavení.
Navrhovaná verze má následující rozhraní.
Spusťte plugin dvojitým kliknutím na řádek Brána VPN Veřejné přenosové servery VPN, který vám pomůže automaticky najít aktivní servery VPN. Objeví se okno:
Klikněte Obnovit seznam pro aktualizaci seznamu serverů. Třídíme podle Pingu a Regionu. Vybereme požadovaný region a server s nejnižším pingem (hlavní je, že ping označuje číslo, nikoli symbol).
Po výběru serveru klikněte na velké tlačítko níže Připojte se k serveru VPN. Přeskočme další okno, dokud se nedostaneme k výběru typu připojení:
Nabízejí připojení TCP nebo UDP protokolu. Zkoušíme první možnost, pokud dává chybu, pak druhou možnost. Pokud se žádná z možností nepřipojí, zkusíme jiný server.
Pokud je připojení úspěšné, uvidíme okno, jako je toto:
Nyní můžete bezpečně vykonávat své špinavé činy na uzavřených nebo omezených místech.
Krok 4. Vypněte.
Návrat do úvodního okna programu:
Po připojení k serveru se objeví nový řádek. Čekáme na ni klikněte pravým tlačítkem a vyberte akci Odpojit se.
Užijte si to!
Megai
Existují dva způsoby připojení sítí pomocí SoftEther VPN.
1) Bridge připojení, ve kterém jsou sítě sloučeny do jednoho ethernetového segmentu. Tato možnost je nepohodlná, protože... pokud obě sítě mají služby, které vyžadují jednu kopii, povede to ke konfliktům (například DHCP). Kromě toho, pokud je v síti mnoho uzlů, dojde ke zvýšení vysílání.
2) Druhý způsob je založen na prvním. Zde je ale vytvořen virtuální přepínač OSI vrstvy 3, který řídí provoz mezi sítěmi. Je také vytvořen další virtuální hub (koncentrátor), ke kterému je připojen vzdálená síť. Z mínusů: protokoly nejsou podporovány dynamické směrování, protokol IGMP není podporován, na uzlech s sdílené zdroje je nutné registrovat statické trasy.
Tento článek popisuje druhou metodu.
Výhodou tohoto schématu je, že není třeba utrácet peníze za drahé routery s VPN a paranoidní lidé nemusí používat děravý protokol PPTP. Zapnul jsem PC - a spojení se automaticky navázalo, pokud byl zapnut i PC na druhém konci. Komunikační výkon závisí na rychlosti vašeho internetového kanálu (včetně směrovacího výkonu routeru) a výkonu procesoru PC, protože Jsou to oni, kdo šifruje provoz.
Máme dvě sítě s centrálními uzly v podobě routeru s DHCP serverem a WAN. Musíte nainstalovat SoftEther VPN Server na PC v jedné síti a SoftEther VPN Bridge v jiné síti.
Instalace serveru VPN na Windows
Instalace SoftEther VPN Server je poměrně jednoduchá. Dokreslím to obrázky s drobnými komentáři. Stáhněte si distribuci SoftEther VPN Server z oficiálních stránek a spusťte ji.
Vyberte možnost instalace - VPN Server a klikněte na „Další“.
Poté přijmeme podmínky smlouvy a vybereme standardní instalaci.
Po spuštění servery VPN Zobrazí se administrační okno, klikněte na tlačítko „Připojit“. Nastavte heslo správce serveru.
Zadejte typ serveru - Site-to-Site VPN Server. (Centrum)
Poté je nakonfigurována funkce dynamického DNS, klikněte na Konec. Později jej můžete zakázat změnou řádku v konfiguračním souboru na: „deklarovat DDnsClient ( bool Disabled true “ .
Dále musíte specifikovat fyzické síťová karta pro připojení virtuálního hubu k místní síti. Spojení je provedeno na úroveň odkazu OSI, takže virtuální hub nepřijímá žádnou IP adresu v síti. Některé routery si však mohou všimnout vzhledu IP adresy podsítě 172.31.0.0/16 v místní síti. Tato adresa se používá ke sledování, zda položky ARP odpovídají IP adresám nebo něčemu podobnému.
Dále budete požádáni o konfiguraci přístupu L2TP a povolení Azure VPN. Přeskočme tyto kroky, protože... se tohoto programu neúčastní. Azure VPN lze zakázat, pokud máte bílou IP. Pokud je adresa šedá, nevypínejte ji a používejte adresa domény Azure VPN místo IP.
Nastavení serveru VPN
Po dokončení počáteční nastavení dostaneme se do okna správy serveru. Nejprve smažte požadované porty(vše kromě 5555 - slouží k připojení k administračnímu panelu). Ptáme se nějaké nestandardní TCP port naslouchat, například 7710. Pokud nemáte bílou IP adresu, pak pro použití Azure VPN musíte naslouchat portu 443.
Nyní musíte vytvořit druhý virtuální rozbočovač, ke kterému se vzdálená síť připojí. Chcete-li vytvořit druhý rozbočovač, klikněte na tlačítko „Vytvořit virtuální rozbočovač“. Nazvěme jej například číslem vzdálené sítě - 12. V tomto virtuálním hubu není potřeba vytvářet Local Bridge.
Dále vyberte rozbočovač 12 a klikněte na „Spravovat virtuální rozbočovač“, poté na „Spravovat uživatele“, vytvořte uživatele pro vzdálenou síť. Říkejme tomu „Network 12“, místo hesla použijeme self-signed certifikát se soukromým klíčem.
Klikněte na „Vytvořit certifikát“ a vyplňte řádek „Obecné jméno“.
Vyberte formát certifikátu - X509 (certifikát zvlášť, soukromý klíč zvlášť).
Uložený certifikát a soukromý klíč bude nutné načíst do klienta SoftEther VPN Bridge.
Dále musíte otevřít port v routeru - stejný, na kterém server naslouchá, a nastavit vysílání portů do PC se serverem. Více o tom, jak otevřít porty, si můžete přečíst v tomto článek..
Například v pfSense pravidlo pro otevření portu vypadá asi takto. pfSense - při vytváření pravidla pro NAT automaticky vytvoří pravidlo pro Firewall. Jiné routery to nemusí dělat, takže je potřeba vytvořit obě pravidla ručně.
Také v firewall Oba směrovače musí umožňovat provoz mezi sítěmi. Aby mohl procházet jakýkoli provoz, bude pravidlo vypadat takto:
Pokud je na vašich počítačích povolena brána firewall, musíte také povolit průchod provozu pro požadovanou síť.
Dále musíte vytvořit virtuální router. Klikněte na tlačítko „Nastavení přepínače vrstvy 3“, vytvořte nový virtuální router a klikněte na tlačítko „Upravit“. Pak je potřeba vytvořit virtuální rozhraní pro každý hub. Pro hub s názvem 10 vytvoříme rozhraní s adresou 192.168.10.100, pro hub s názvem 12 - 192.168.12.100. Můžete si vymyslet vlastní adresy, hlavní je, že nejsou vytížené a každá patří do své podsítě. Vývojáři ujišťují, že není nutné přidávat trasy, ale je lepší je přidat pro každý případ. Pro spuštění routeru stiskněte tlačítko „Start“.
Nastavení klienta VPN
Zahájíme instalaci SoftEther VPN Server a vybereme možnost instalace SoftEther VPN Bridge. Pokračujte kliknutím na „Další“ a poté nastavte heslo správce.
V tomto kroku určíme síťovou kartu pro vytvoření mostu s místní sítí.
Poté se dostaneme k ovládacímu panelu SoftEther VPN Bridge. Jak vidíte, mnoho funkcí je v tomto režimu zakázáno.
Dále musíte vytvořit kaskádové připojení k serveru SoftEther VPN. Klikněte na „Spravovat virtuální rozbočovač“ a poté na „Spravovat kaskádové připojení“ a vyplňte informace o připojení.
Název nastavení – název připojení.
Host Name - bílá IP adresa popř název domény DDNS síťového routeru, kde je server nainstalován. Pokud nemáte bílou IP adresu, použijte službu Azure VPN a napište název domény získaný v této službě (vpn123456789.vpnazure.net). Myslím, že je jasné, že bez bílé IP adresy není potřeba otevírat porty na routeru.
Číslo portu – port, na kterém server naslouchá.
Virtual Hub Name – název virtuálního hubu na serveru.
User Authentication Settings – nastavení ověření uživatele. Protože jsme se rozhodli místo hesla použít certifikát s vlastním podpisem, vybereme řádek „Ověření certifikátu klienta“. Napíšeme uživatelské jméno (v příkladu je to Síť 12). Klikněte na „Zadat klientský certifikát“, nahrajte certifikát a soukromý šifrovací klíč.
Nyní musíte nakonfigurovat parametry připojení - klikněte na „Pokročilá nastavení“. Zde je potřeba nastavit množství TCP spojení, Pro širokopásmové připojení doporučeno 8.
Nastavení směrování
Nastavení se skládá ze zápisu statické trasy v routerech obou podsítí.
Na routeru 192.168.10.1 (viz schéma) registrujeme cestu do sítě 192.168.12.0. Bude to vypadat takto: 192.168.12.0 maska 255.255.255.0 brána 192.168.10.100.
Na routeru 192.168.12.1 registrujeme cestu do sítě 192.168.10.0: 192.168.10.0 maska 255.255.255.0 brána 192.168.12.100.
Pro jistotu restartujte PC i router.
Přístup ke sdíleným složkám přes SoftEther VPN
Po výše uvedených nastaveních by se měly všechny počítače v síti za normálních okolností navzájem „pingnout“ (pokud to nezakazuje firewall). Nicméně k přístupu sdílené složky Windows není možné. Tento problém je řešen zápisem statických tras přímo na počítačích se sdílenými prostředky. Spusťte příkazový řádek Windows jako správce a napište příkaz:
pro počítače umístěné v síti 192.168.10.0:
trasa -p přidat 192.168.12.0 maska 255.255.255.0 192.168.10.100
pro počítače umístěné v síti 192.168.12.0:
trasa -p přidat 192.168.10.0 maska 255.255.255.0 192.168.12.100
Tím je nastavení dokončeno. Pro analýzu dopravní cesty doporučuji použít příkaz command Řetězec Windows, s příkazem pathping.
Ptejte se prosím v komentářích.
Podívejme se na instalaci a Nastavení VPN Servery SoftEther VPN ve Windows. SoftEther VPN umožňuje připojení k síti různá zařízení, protože podporuje téměř všechny populární síťové protokoly.
Nastavení topologie klient-server SoftEther VPN.
Server VPN zde bude centrálním uzlem, ke kterému se budou klienti připojovat, aby získali přístup vnitřní síť. Stáhněte si nejnovější verzi RTM a spusťte instalaci. Vyberte řádek SoftEther VPN Server a klepněte na tlačítko Další.
Zde zaškrtneme políčko pro Remote Access VPN Server.
Poté zadejte název virtuálního hubu.
Následuje nastavení dynamické funkce DNS, kterou lze později deaktivovat.
Poté v případě potřeby nastavíme připojení L2TP a určíme sdílený klíč IPsec.
Další je nastavení Azure VPN – je to zdarma cloudová služba, který vám umožňuje navázat připojení VPN se serverem bez externí IP adresy a otevřených portů. Chcete-li se přes něj připojit, musíte zadat ID domény Azure VPN a port 443.
Na poslední krok musíte specifikovat fyzické síťové rozhraní který je připojen k místní síti.
Nyní můžete konfigurovat účty a TCP naslouchající porty ve virtuálním hubu. Port 5555 nelze odstranit, protože se přes něj připojuje místního klienta správa serveru. O tom, jak otevřít potřebné porty v routeru, si můžete přečíst v článku. 
Chcete-li nastavit účty, klikněte na Spravovat virtuální centrum, poté na Spravovat uživatele a vytvořte nového uživatele. Zadejte jméno a také nastavte typ ověřování. Podporováno následující typy autentizace: anonym, heslo, individuální certifikát, podepsaný certifikát, autentizace přes server RADIUS a ovladač doména Windows N.T. Vytvořme si například uživatelský Test s ochranou heslem. 
Nastavení VPN klientů.
Na klientský počítač Nastavme spojení pomocí protokolu L2TP/IPsec se sdíleným klíčem.
Ve výchozím nastavení jsou klientům přiděleny IP adresy stejného rozsahu DHCP servery ke kterému je VPN server připojen.
Nutno podotknout, že SoftEther VPN má vlastního VPN klienta, který podle vývojáře funguje rychleji a šifruje provoz pomocí SSL. Je tedy obtížné odlišit od HTTPS, proto bude VPN fungovat i v sítích, kde jsou blokovány jiné protokoly.
Instalace a konfigurace vlastního klienta je poměrně jednoduchá. Po standardní instalaci klienta klikněte na Přidat připojení VPN a odsouhlaste vytvoření virtuálního síťového adaptéru. 
Dále napíšeme název adaptéru. 
Poté se objeví okno pro vytvoření nového připojení VPN zde zadáme adresu serveru, port, název virtuálního hubu na serveru a přihlašovací údaje uživatele. 
Když najednou, kdy VPN připojení připojení, místní síť přestane být identifikována, musíte kliknout na Advanced Settings (viz obrázek výše) a zaškrtnout políčko No Adjustments of Route Table. Můžete také změnit priority síťová připojení, více podrobností v článku. 
To je vše, děkuji za pozornost.
