OpenConnect VPN сервер и Keenetic: что это, как работает и как настроить

Что такое OpenConnect и зачем он нужен

OpenConnect — это открытый VPN-клиент, который изначально создавался как свободная альтернатива проприетарному клиенту Cisco AnyConnect. Протокол, который использует OpenConnect, совместим с Cisco AnyConnect, поэтому клиент может подключаться к серверам, поддерживающим этот стандарт. На стороне сервера чаще всего используется ocserv — свободная реализация сервера OpenConnect, размещённая на GitLab.

Главная особенность OpenConnect — это работа поверх HTTPS (порт 443). Такой трафик практически неотличим от обычного веб-трафика, что делает протокол устойчивым к блокировкам и фильтрации. Именно поэтому OpenConnect часто выбирают в странах с ограничениями в интернете, а также для обхода корпоративных файролов.

Для пользователя OpenConnect — это просто способ безопасно и надёжно подключиться к удалённой сети. Для администратора — гибкий инструмент, который поддерживает аутентификацию по паролю, сертификатам, а также двухфакторную аутентификацию. В отличие от многих проприетарных решений, OpenConnect не накладывает жёстких ограничений на количество клиентов и позволяет тонко настраивать маршрутизацию.

Чем OpenConnect отличается от OpenVPN и других протоколов

OpenVPN — это тоже открытый и очень популярный протокол, но он работает на UDP или TCP через порт 1194 (по умолчанию). Этот порт часто блокируется или фильтруется, особенно в корпоративных сетях и в странах с цензурой. OpenConnect использует порт 443 и TLS, поэтому его трафик выглядит как обычный HTTPS-запрос. Это даёт ему преимущество в проходимости через файролы.

Ещё одно отличие — в реализации. OpenVPN требует установки и настройки клиента, а также управления сертификатами и ключами. OpenConnect умеет работать с сертификатами, но также поддерживает более простую аутентификацию по логину и паролю, что удобно для массового использования.

По сравнению с L2TP/IPsec, OpenConnect проще в настройке и не требует сложной конфигурации IPsec. L2TP/IPsec часто блокируется из-за характерных признаков протокола, а OpenConnect маскируется под обычный веб-трафик.

WireGuard — это современный и быстрый протокол, но он использует UDP и его трафик легко идентифицировать. OpenConnect, благодаря TLS, более устойчив к глубокому анализу пакетов (DPI).

Что такое ocserv и как он работает

ocserv — это серверная часть OpenConnect. Он реализует протокол AnyConnect и предоставляет клиентам возможность подключаться к VPN. ocserv поддерживает аутентификацию через PAM, RADIUS, сертификаты, а также через файл паролей. Он может работать как в режиме маршрутизации (IP-туннель), так и в режиме моста (L2-туннель).

ocserv умеет ограничивать количество одновременных подключений, настраивать политики доступа, а также интегрироваться с системой через systemd. Он работает на Linux-серверах и требует настройки через конфигурационные файлы.

Для установки ocserv обычно требуется VPS-сервер с минимальными характеристиками. Например, даже сервер с 256 МБ RAM и одним ядром CPU может обслуживать 2–3 клиентов. Это делает ocserv доступным для небольших проектов и личного использования.

ocserv поддерживает современные методы шифрования и может использовать сертификаты Let's Encrypt для автоматической выдачи и продления. Это упрощает настройку и повышает безопасность.

Поддержка OpenConnect в Keenetic: что доступно из коробки

В прошивке Keenetic (KeeneticOS) начиная с версии 4.2 появился компонент Openconnect VPN client. Это официальная поддержка клиента OpenConnect, которая устанавливается через веб-интерфейс роутера. Компонент доступен в разделе System Component Options (Компоненты системы).

После установки компонента в разделе Other Connections (Другие подключения) появляется возможность создать новое VPN-подключение типа OpenConnect. При создании нужно указать URL сервера, логин и пароль. Также можно включить опцию Use for accessing the Internet, чтобы весь трафик с устройств, подключённых к роутеру, шёл через VPN.

Важно отметить, что встроенный клиент OpenConnect в Keenetic работает только как клиент, то есть роутер может подключаться к внешнему серверу OpenConnect. Поднять сервер OpenConnect на самом Keenetic нельзя — для этого нужен отдельный Linux-сервер.

Если компонент не отображается в списке, возможно, нужно переключить канал обновлений на Preview. Это делается в настройках системы.

Пошаговая настройка клиента OpenConnect на Keenetic

Перед началом убедитесь, что прошивка роутера обновлена до последней версии. Затем выполните следующие шаги:

1. Откройте веб-интерфейс роутера (обычно по адресу 192.168.1.1).
2. Перейдите в раздел System Component Options (Компоненты системы).
3. В поле поиска введите openconnect.
4. Установите флажок напротив компонента Openconnect VPN client.
5. Нажмите Update KeeneticOS (Обновить KeeneticOS). Роутер перезагрузится.

После перезагрузки:

1. Перейдите в раздел Other Connections (Другие подключения).
2. В блоке VPN Connections нажмите Create connection (Создать подключение).
3. Выберите тип OpenConnect.
4. Установите флажок Use for accessing the Internet (Использовать для доступа в Интернет).
5. Введите URL сервера, который вы получили от провайдера VPN-услуг.
6. Введите логин и пароль.
7. Сохраните настройки.

Чтобы VPN использовался для всего интернет-трафика, необходимо сделать это подключение приоритетным. Перейдите в раздел Connection Policies (Политики подключений) и перетащите созданное соединение в самый верх списка. Сохраните изменения.

После этого проверьте, что внешний IP-адрес изменился. Для этого откройте в браузере сайт icanhazip.com. Если адрес отличается от адреса вашего интернет-провайдера, значит VPN работает.

Альтернативные способы: установка OpenConnect через Entware

Некоторые пользователи устанавливают OpenConnect на Keenetic через пакетный менеджер Entware. Это позволяет получить более новую версию клиента или настроить его вручную. Однако такой подход требует технических навыков и доступа к командной строке роутера.

Пакет openconnect доступен в репозитории Entware. Установка выполняется командой opkg install openconnect. Но здесь есть нюансы: пакет может зависеть от модуля ядра tun, который должен быть установлен в прошивке. В Keenetic модуль tun устанавливается как компонент, поэтому зависимости обычно удовлетворяются.

На практике ручная настройка OpenConnect через Entware часто оказывается сложной. Пользователи сообщают о проблемах с маршрутизацией, особенно если нужно направлять через VPN только часть трафика. Встроенный компонент KeeneticOS работает более предсказуемо, так как интегрирован в систему.

Если вам нужен OpenConnect на Keenetic, но встроенный компонент не подходит (например, нужна особая конфигурация), можно рассмотреть установку альтернативной прошивки OpenWrt. Однако это лишает вас гарантии и может быть рискованно.

Ограничения и проблемы при использовании OpenConnect на Keenetic

Несмотря на наличие официального компонента, пользователи сталкиваются с рядом ограничений. Во-первых, встроенный клиент OpenConnect в Keenetic не поддерживает все возможности ocserv, такие как двухфакторная аутентификация или сложные сценарии маршрутизации. Во-вторых, если у вас сложная сеть с несколькими провайдерами и динамической маршрутизацией, встроенный клиент может работать нестабильно.

На форумах Keenetic пользователи отмечают, что ручная установка openconnect через Entware часто приводит к проблемам с маршрутизацией. Например, если нужно, чтобы часть устройств ходила через VPN, а часть — напрямую, встроенные средства Keenetic могут не справиться. В таких случаях приходится использовать отдельный роутер или более гибкие прошивки.

Ещё одна проблема — отсутствие серверной части. Keenetic не может выступать в роли сервера OpenConnect. Для этого нужен внешний VPS. Это ограничение важно учитывать при планировании инфраструктуры.

Также стоит помнить, что OpenConnect, как и любой VPN, может замедлять соединение из-за шифрования и дополнительных накладных расходов. На слабых роутерах это может быть заметно.

Настройка сервера ocserv на VPS: базовые шаги

Если вы хотите поднять собственный сервер OpenConnect, вам понадобится VPS с Linux. Рассмотрим базовые шаги на примере Debian/Ubuntu.

1. Установите необходимые зависимости: libgnutls28-dev, libev-dev, libpam0g-dev, liblz4-dev, libseccomp-dev и другие. Полный список можно найти в документации ocserv.
2. Скачайте исходники ocserv с GitLab и соберите их: autoreconf -fvi, ./configure, make, make install.
3. Скопируйте пример конфигурации в /etc/ocserv/ocserv.conf.
4. Отредактируйте конфигурацию: укажите порт (обычно 443), сертификаты, метод аутентификации.
5. Получите сертификаты Let's Encrypt с помощью certbot.
6. Включите IP-пересылку: echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf.
7. Создайте пользователя для сервиса и запустите ocserv через systemd.

Пример конфигурации может выглядеть так:

auth = "plain[passwd=/etc/ocserv/ocpasswd]" tcp-port = 443 server-cert = /etc/letsencrypt/live/yourdomain/fullchain.pem server-key = /etc/letsencrypt/live/yourdomain/privkey.pem max-clients = 16 max-same-clients = 2

После запуска сервера клиенты смогут подключаться, используя адрес вашего домена и учётные данные.

Практические сценарии использования OpenConnect на Keenetic

OpenConnect на Keenetic может использоваться в нескольких сценариях.

Первый сценарий — подключение к корпоративной VPN. Если ваша компания использует Cisco AnyConnect или ocserv, вы можете настроить Keenetic как клиент, чтобы все устройства в домашней сети автоматически попадали в корпоративную сеть. Это удобно для удалённой работы.

Второй сценарий — обход блокировок. Поскольку OpenConnect маскируется под HTTPS, его сложнее заблокировать, чем обычные VPN. Вы можете подключить Keenetic к зарубежному VPS с ocserv и получить доступ к заблокированным ресурсам.

Третий сценарий — защита публичного Wi-Fi. Если вы часто пользуетесь общественными сетями, можно настроить Keenetic так, чтобы он всегда подключался к вашему VPN-серверу. Тогда весь трафик с ваших устройств будет зашифрован.

В каждом из этих случаев важно правильно настроить политики подключения, чтобы VPN использовался только для нужного трафика, если это необходимо.

Безопасность и рекомендации

При использовании OpenConnect важно соблюдать базовые меры безопасности.

Используйте сильные пароли и, если возможно, двухфакторную аутентификацию. ocserv поддерживает TOTP и другие методы.

Регулярно обновляйте прошивку Keenetic и клиент OpenConnect. Обновления часто содержат исправления уязвимостей.

Ограничьте доступ к VPN-серверу только доверенными IP-адресами, если это возможно. Это снизит риск несанкционированных подключений.

Для сервера ocserv используйте сертификаты Let's Encrypt и настройте автоматическое продление.

Не забывайте про логирование. Включите логи на сервере, чтобы отслеживать подозрительную активность.

И последнее: если вы используете Keenetic в качестве клиента, убедитесь, что VPN-подключение настроено как приоритетное, иначе часть трафика может уходить напрямую, что снижает безопасность.

Вопросы и ответы