VPN je koristen, če želiš tudi zdoma dostopati do naprav v domačem omrežju, na primer do datotečnega strežnika ali omrežne shrambe. Z nastavitvijo lastnega strežnika VPN lahko ustvariš navidezno zasebno omrežje, v katerega se lahko povežejo le naprave, ki jim to dovoliš. Tako ti domačih storitev ni treba neposredno odpreti proti internetu.

Nastavitev se lahko sprva zdi zapletena, saj potrebuješ konfiguracijo na strani strežnika, ustrezen omrežni dostop in nastavitve odjemalca. Članek predstavi, čemu služi VPN, kako nastaviš domači ali oddaljeni dostop in kako izvoziš konfiguracijo OpenVPN na napravo, ki se povezuje.

Pregledali bomo potrebne omrežne nastavitve, posredovanje vrat ter vlogo ključev in potrdil. Govorili bomo tudi o tem, kako izbiraš med OpenVPN in WireGuard ter od česa je odvisna hitrost povezave. Koraki ti pomagajo vzpostaviti dostop, ki ustreza domačemu omrežju in namenu uporabe.

Izvoz konfiguracijske datoteke OpenVPN

1. Nastavi dosegljivost strežnika. V konfiguraciji strežnika OpenVPN določi naslov, dosegljiv od zunaj, protokol in vrata. Prikazani primer uporablja UDP in vrata 50015. Za odjemalce VPN določi ločen obseg naslovov, ne uporabi znova domačega omrežja LAN. Naslov lokalnega omrežja je na primer lahko 192.168.1.0/24.
2. Izvozi profil odjemalca. V vmesniku strežnika ali z njegovim orodjem ukazne vrstice ustvari konfiguracijsko datoteko OpenVPN. Ta običajno vsebuje naslov za dostop, vrata, protokol prenosa in podatke potrdila. Če dobiš tudi ločene datoteke s potrdili ali ključi, jih shrani poleg profila. Z izvoženimi podatki ravnaj zaupno, saj omogočajo dostop do VPN.
3. Namesti odjemalca in uvozi profil. V odjemalcu OpenVPN izberi uvoz in odpri izvoženo datoteko. V Androidu prikazana nastavitev uporablja vmesnik TUN, ker ta odjemalec ne podpira vmesnika TAP. V Windows sledi korakom uvoza v aplikaciji, nato vnesi podatke za overjanje. Naprava, ki se povezuje, potrebuje tudi dostop do interneta.
4. Izberi primerno rešitev z usmerjevalnikom. Vmesnik vnaprej konfiguriranih usmerjevalnikov VPN lahko poenostavi nalaganje profila odjemalca, vendar se nastavitve od naprave do naprave razlikujejo. Preveri usmerjanje in nastavitve DNS usmerjevalnika ter promet katerih naprav naj gre skozi VPN. Okolje VPS za namestitev strežnika lahko zagotovi tudi infrastruktura strežnikov VPS.
5. Zaščiti in vzdržuj dostop. Med tveganja lastnega strežnika VPN sodijo uhajanje profila odjemalca, zastarela programska oprema in nepooblaščen dostop. Strežnik sproti posodabljaj, omeji dostop in prekliči poverilnice odjemalcev, ki jih ne uporabljaš več. Prek VPN se poveži le z omrežjem, do katerega imaš pravico, in spoštuj pogodbene pogoje ponudnika.
6. Preveri povezavo in zmogljivost. Po povezavi primerjaj zunanji naslov IP z naslovom pred uporabo VPN, nato opravi preizkus uhajanja DNS. V Windows uspešno povezavo označuje stanje »Povezano« pri profilu VPN. Hitrost domačega VPN določata predvsem pasovna širina za nalaganje in pot do tvojega doma. Na zakasnitev vplivata tudi šifriranje in obremenitev strežnika.

Pri prehodu PPPoE (PPPoE passthrough) je lahko delovanje internetne povezave odvisno od nastavitev usmerjevalnikov. Po odgovoru na forumu lahko lastni usmerjevalnik, priključen na vrata ETH1 naprave Sagemcom, s prehodom PPPoE sam vzpostavi povezavo PPPoE. Pri uporabi prehoda PPPoE lahko set-top box, priključen na enega od priključkov LAN usmerjevalnika ponudnika, deluje neodvisno od lastnega usmerjevalnika. Tako lahko internetna povezava lastnega usmerjevalnika in povezava set-top boxa potekata po ločenih poteh.

Usmerjevalnik ponudnika je z neposredno povezavo LAN praviloma dosegljiv, iz usmerjevalnika za njim pa le, če na njem nastaviš statično pot in naprava to podpira. Pri preverjanju posebej preizkusi dosegljivost usmerjevalnika ponudnika, naslov, prikazan v usmerjevalniku, in rezultat ukaza ping. Naslov v usmerjevalniku primerjaj z javnim naslovom IP, ki ga prikaže zunanja stran za preverjanje. Usmerjevalnik lahko zahteve ping blokira tudi, če jih omrežje ponudnika ne filtrira, zato neuspešen ping sam po sebi ne dokazuje, da zahteve blokira omrežje ponudnika.

Dostop VPN v lokalnem omrežju ali prek interneta

Doma je strežnik VPN dosegljiv v lokalnem omrežju, od daleč pa se moraš z njim povezati prek interneta. Pri domačem strežniku OpenVPN uporabljena vrata posreduj na fiksni notranji naslov IP strežnika, nato z dinamičnim DNS spremenljivemu javnemu naslovu IP dodeli stalno ime.

1. Odloči se, do katerega omrežja moraš dostopati. Če VPN preizkušaš le v lokalnem omrežju, uporabi notranji naslov strežnika in nastavitve poti odjemalca. Za oddaljeno povezavo potrebuješ javni naslov usmerjevalnika ali njegovo ime v dinamičnem DNS. Obseg naslovov odjemalcev VPN naj bo ločen: primer uporablja omrežje 192.168.2.0/24, domači LAN pa naslov 192.168.1.0/24.
2. Določi fiksni notranji naslov IP strežnika VPN. Na strežniku nastavi statični naslov zunaj obsega DHCP usmerjevalnika. Ta naslov vnesi kot cilj posredovanja vrat. Če se naslov računalnika ali NAS po ponovnem zagonu spremeni, lahko usmerjevalnik zunanje zahteve posreduje napačni napravi in oddaljena povezava se ne vzpostavi.
3. Ustvari pravilo za posredovanje vrat. V primeru z OpenVPN usmeri vrata UDP 1194 na fiksni naslov LAN strežnika VPN. Pravilo nastavi na usmerjevalniku, ki neposredno sprejema internetno povezavo. Če imaš sekundarni usmerjevalnik v načinu AP, bo morda treba vrata VPN odpreti in posredovati tudi na glavnem usmerjevalniku.
4. Upoštevaj pot med obema usmerjevalnikoma. V enem od primerov ima usmerjevalnik ponudnika (HGW) naslov 192.168.1.4, usmerjevalnik TP-Link pa 192.168.1.250. Če strežnik OpenVPN teče za drugim usmerjevalnikom, mora zunanja zahteva skozi pravila obeh naprav. Preveri tudi požarni zid, saj lahko varnostna pravila NAS ali usmerjevalnika izločijo povezavo, ki prihaja iz interneta.
5. Nastavi ime v dinamičnem DNS. Z usmerjevalnikom ali s programom za posodabljanje, ki teče v omrežju, poveži izbrano ime s trenutnim javnim naslovom IP. Tako lahko ime v odjemalcu OpenVPN uporabljaš tudi, ko ti ponudnik dodeli nov naslov. Tudi v izvoženem profilu nastavi naslov strežnika na to ime.
6. Preizkusi zunanji dostop. Poveži se z računalnikom ali telefonom prek mobilnega interneta, ne iz istega omrežja Wi-Fi. Z zunanjim preverjevalnikom vrat preveri dosegljivost vrat UDP 1194, nato poglej dnevnik strežnika VPN. Po uspešnem rokovanju preizkusi, ali odjemalec doseže želeni lokalni naslov.
7. Izberi, kateri promet naj gre skozi VPN. Če želiš dostopati le do domačega datotečnega strežnika ali druge lokalne naprave, promet odjemalca usmeri na potrebne naslove LAN. Če bi prek domače povezave rad usmeril tudi ves internetni promet, lahko v konfiguraciji OpenVPN uporabiš nastavitev redirect-gateway def1. Takrat je celotna pot odvisna tudi od hitrosti nalaganja na strani strežnika.

Namen in primeri uporabe VPN

1. Določi, do katerih naprav želiš dostopati. VPN je navidezno zasebno omrežje, v katerega se lahko povežejo le izbrani računalniki. Omogoča lahko oddaljen dostop na primer do domačega strežnika, omrežne shrambe ali tiskalnika. Nastavitev lastnega strežnika VPN je smiselna, če potrebuješ varno pot do katerega od svojih omrežnih virov.
2. Ločeno izberi oddaljeni dostop in usmerjanje celotnega prometa. VPN lahko nastaviš tako, da so dosegljivi le naslovi domačega omrežja. Druga možnost je, da skozi tunel VPN gre ves internetni promet naprave. To lahko vpliva na promet vseh aplikacij, zato pri videoklicih ali spletnih igrah upoštevaj tudi zakasnitev.
3. Za delo na daljavo ga uporabi za dostop do potrebnih notranjih sistemov. Pri delu od doma lahko prek VPN dostopaš do notranjega datotečnega strežnika ali skrbniškega vmesnika. Namesto da bi jih neposredno izpostavil internetu, lahko dostop omejiš na overjeno povezavo VPN. Katere notranje naslove lahko dosežeš, določajo nastavitve usmerjanja službenega računalnika in strežnika VPN.
4. Za vsakega odjemalca nastavi ločen profil. Za prenosnik, telefon in tablico pripravi samostojno konfiguracijo WireGuard. Tako lahko dostop izgubljene naprave prekličeš posebej, ne da bi spreminjal nastavitve drugih odjemalcev. Aplikacija VPN uvozi profil, uporabnik pa lahko povezavo zažene ali ustavi na svoji napravi.
5. Rešitev prilagodi operacijskemu sistemu. V Linuxu lahko WireGuard nastaviš kot sistemsko omrežno povezavo, na mobilnem telefonu pa lahko konfiguracijo naloži aplikacija odjemalca. V Microsoft Windows lahko odjemalec VPN upravlja profil WireGuard kot ločena aplikacija. Izberi odjemalca, ki ga podpirajo tvoje naprave, nato preveri, ali sta naslov strežnika in usmerjanje v profilu pravilna.
6. Od VPN ne pričakuj popolne anonimnosti. Lastni strežnik posreduje promet prek tvojega prehoda VPN, vendar tvoje spletne dejavnosti ne naredi nevidne. Ciljni strežnik, prijava v brskalniku in uporabljena aplikacija te lahko še naprej prepoznajo. VPN predvsem ščiti omrežno povezavo in zagotavlja nadzorovan dostop, ne nadomešča pa zaščite računov.
7. Določi, kdaj lastnega prehoda ne uporabiš. Če želiš od daleč dostopati le do ene naprave, je povezovanje celotnega domačega omrežja prek VPN morda odveč. Če mora do istih notranjih sistemov dostopati več tvojih naprav, lahko osrednji strežnik WireGuard ponudi preprosto dostopno točko. Pri odločitvi upoštevaj potrebne poti, obremenitev strežnika in hitrost povezave.

Ključi, potrdila in posebne nastavitve

1. Za vsako napravo ustvari ločen par ključev WireGuard. Na strežniku zaženi ukaz wg genkey, da ustvariš zasebni ključ, nato z ukazom wg pubkey ustvari javni ključ. Zasebni ključ naj ostane na napravi in naj ne pride v dnevnik ali deljeno datoteko. Javni ključ dodaj v nastavitve vrstnika (peer) na drugi strani.
2. Ne zamenjuj ključev s potrdili. WireGuard vrstnike prepoznava z javnimi in zasebnimi ključi, ne s klasično verigo potrdil. Zato moraš v konfiguraciji prave ključe povezati s pravimi končnimi točkami. Pri OpenVPN lahko konfiguracija vsebuje tudi potrdila, konfiguracijskih datotek obeh rešitev pa ni mogoče zamenjati.
3. Natančno zapiši podatke vrstnika. V konfiguraciji strežnika vnesi javni ključ odjemalca in naslov IP ali obseg naslovov, dovoljen za vrstnika. V datoteki odjemalca naj bodo javni ključ strežnika, njegov naslov in potrebna nastavitev usmerjanja. Polje AllowedIPs na primer določa, kateri promet gre skozi tunel navideznega zasebnega omrežja.
4. Zaščiti zasebni ključ na strežniku in odjemalcu. Dostop do datoteke omeji z dovoljenji operacijskega sistema in je ne pošiljaj po javnem kanalu. Če izgubiš napravo, s seznama vrstnikov na strežniku odstrani pripadajoči javni ključ. Tako ukineš dostop, vezan na ta ključ, ne da bi moral zamenjati ključe vseh odjemalcev.
5. Ohranjanje povezave nastavi le, kadar je to upravičeno. Mobilno omrežje ali požarni zid lahko prekine povezave, ki so dlje časa neaktivne, zato lahko odjemalec redno pošilja pakete za ohranjanje povezave. Parametrov OpenVPN ne kopiraj samodejno: nastavitev keepalive prikazanega strežnika OpenVPN uporablja 10-sekundni interval in 120-sekundno časovno omejitev. Te vrednosti niso nastavitve WireGuard.
6. Preveri vloge šifriranja in usmerjanje. WireGuard za šifriranje uporablja algoritem ChaCha20, za overjanje Poly1305, za izmenjavo ključev pa Curve25519. Za delovanje navideznega zasebnega omrežja se morajo pari ključev v konfiguraciji strežnika in odjemalca ujemati. Če se tunel vzpostavi, notranja naprava pa ni dosegljiva, preveri dovoljene naslove in usmerjanje na strežniku.
7. Ob zamenjavi naprave posodobi dostop. Ko povezuješ nov telefon ali računalnik, ustvari ločen par ključev in strežniku dodaj le njegov javni ključ. Ključ stare naprave odstrani, ko ga ne potrebuješ več. Tako nastavitev lastnega strežnika VPN ostane pregledna in zaradi zamenjave enega odjemalca ti ni treba znova konfigurirati vseh povezav.

WireGuard ali OpenVPN: kaj je boljše za lasten strežnik VPN?

1. Izbiraj glede na namen uporabe. Za osebni prehod VPN je WireGuard dobro izhodišče in ga kot splošno izbiro lahko priporočimo za skoraj vse primere VPN na usmerjevalniku. Njegova pregledna konfiguracija zahteva malo nastavitev. OpenVPN je lahko primeren, če tvoje obstoječe omrežje že temelji nanj ali ga podpirajo naprave, ki jih uporabljaš.
2. Upoštevaj vzpostavitev povezave. Rokovanje WireGuard se zaključi v enem krogu, kar omogoča preprosto in hitro vzpostavitev povezave. To samo po sebi ne določa celotne hitrosti prenosa podatkov. Na zakasnitev in prepustnost vplivajo tudi omrežna pot, obremenitev strežnika in internetna povezava.
3. Pretehtaj obremenitev procesorja. Šifriranje osebnega prehoda VPN je omejeno s procesorjem, ne s pomnilnikom. Kot izhodiščno velikost lahko za WireGuard uporabiš 1 vCPU in 1 GB RAM. Pri pasovni širini domačega priključka je to lahko primerno za 5–10 hkratnih povezav naprav. Dejanska obremenitev je odvisna od prometa in dela s šifriranjem.
4. Spoznaj šifrirne sestavine WireGuarda. WireGuard za šifriranje uporablja algoritem ChaCha20, za overjanje Poly1305, za izmenjavo ključev pa Curve25519. Ti algoritmi so del protokola, zato ti ni treba posebej sestavljati nabora šifer. V konfiguraciji strežnika in vsakega odjemalca morajo biti pripadajoči ključi.
5. Za nov strežnik ne izberi PPTP. Uporaba PPTP ni priporočljiva, saj ima znane varnostne težave. Pri nastavitvi WireGuard ali OpenVPN uporabljaj sodobno upravljanje ključev, sistem sproti posodabljaj in ustrezno nadzoruj dostop. Izbira protokola ne nadomesti rednega vzdrževanja strežnika.
6. Izbrano rešitev preizkusi z dejanskimi odjemalci. WireGuard namesti na strežnik Linux, nato se z ločeno konfiguracijo poveži s prenosnika in telefona. Preveri, ali so želeni notranji naslovi dosegljivi in ali se povezava po prekinitvi znova vzpostavi. Tudi pri OpenVPN preizkusi omrežne poti in dostope.
7. Okolje Linux prilagodi izbranemu protokolu. Vire in sistemske nastavitve, potrebne za delovanje strežnika, določa naloga. Če pripravljaš prehod VPN na osnovi Linuxa, preglej okolje strežnikov VPS, nato izberi rešitev, ki ustreza načrtovani namestitvi WireGuard ali OpenVPN.

Če strežnik OpenVPN teče na NAS ali usmerjevalniku, lahko pri pregledu nastavitev šifriranja kot primer uporabiš AES-256. Profil na strani odjemalca mora biti usklajen z nastavitvami strežnika, zato pred povezavo preveri vnesene podatke za povezavo in overjanje. Ko v Windows ustvarjaš profil VPN, izberi vrsto povezave VPN glede na vrsto, ki jo uporablja podjetje ali storitev VPN. Za overjanje lahko uporabiš uporabniško ime in geslo, enkratno geslo, potrdilo ali pametno kartico. Izberi način overjanja, ki ga strežnik in profil dejansko podpirata; tako se izogneš temu, da bi povezava spodletela zaradi neusklajenih nastavitev. Profil preizkusi na dejanskem odjemalcu in preveri povezavo skupaj z dostopom do želenih omrežnih virov.

Prikazana konfiguracija OpenVPN za odjemalce VPN uporablja omrežje 192.168.2.0 255.255.255.0. Ta obseg naslovov je smiselno preveriti skupaj z nastavitvami odjemalcev, da se dodeljeni naslovi in notranja omrežja, do katerih želiš dostopati, ne pomešajo. Strežnik s parametrom keepalive nastavi vrednost 10 120: povezava se preverja v 10-sekundnih intervalih, časovna omejitev pa je 120 sekund. Med preizkušanjem opazuj, ali odjemalec po prekinitvi povezave znova doseže strežnik in ali želene poti še delujejo. Če spremeniš konfiguracijo, na strani strežnika in odjemalca preveri, ali se vrednosti ujemajo, nato preizkus ponovi. Tako izbrana nastavitev OpenVPN ne le zažene, temveč tudi zagotovi načrtovani dostop.

aWh: spletno gostovanje

Spletno gostovanje aWh je lahko primerno, če bi poleg VPN na Linux VPS rad poganjal tudi spletno stran. Strežnik VPN in spletno gostovanje opravljata različni nalogi: VPN zagotavlja varen oddaljeni dostop do omrežja, spletno gostovanje pa služi za namestitev spletne strani. Tako lahko nastavitev lastnega strežnika VPN ločiš od gostovanja spletnih vsebin.

Če je tvoj glavni cilj še vedno poganjanje WireGuarda, pri izbiri strežnika upoštevaj okolje Linux, potrebne omrežne nastavitve in načrtovane povezave odjemalcev. Za namestitev spletne strani je namenjeno spletno gostovanje aWh. Za spoznavanje storitev obišči stran awh.hu.

Načrtuj naslednji korak z VPN

Po nastavitvi lastnega strežnika VPN vzpostavi preprosto rutino vzdrževanja: sistem sproti posodabljaj in odstrani dostop naprav, ki jih ne uporabljaš več. Zapiši tudi, kateri uporabniki in omrežni viri so dosegljivi na daljavo. Tako konfiguracija ostane pregledna tudi, ko povežeš nov računalnik ali telefon.

Če za poganjanje VPN potrebuješ strežniško okolje na osnovi Linuxa, je zate lahko zanimiva storitev KVM VPS pri aWh. Spletno gostovanje je namenjeno poganjanju spletnih strani, registracija domene pa uporabi lastnega spletnega naslova. Te storitve opravljajo različne naloge, zato izbiro prilagodi svojemu dejanskemu tehničnemu cilju.

Če želiš pregledati razpoložljive možnosti, prosi aWh za pomoč. Z dobro načrtovanim naslednjim korakom boš lahko samozavestno gradil svoje omrežno okolje naprej.

Pogosta vprašanja

Čemu služi VPN in zakaj ga morda potrebuješ?

Z VPN lahko od daleč dostopaš do izbranih virov domačega ali službenega omrežja. Smiselno ga je uporabiti, če na primer na poti potrebuješ notranjo poslovno aplikacijo ali svojo omrežno napravo. Vnaprej določi, kateri uporabniki in naprave imajo dostop, da se povezava ne razširi samodejno na celotno omrežje.

Kaj je VPN?

VPN je omrežna povezava, po kateri lahko podatkovni promet poteka med napravo in oddaljeno končno točko. Njegovo delovanje se razlikuje od oddaljenega namizja: VPN zagotavlja omrežno povezavo, oddaljeno namizje pa prikaže vmesnik drugega računalnika. Prek VPN lahko dostopaš do različnih lokalnih storitev, če to omogočajo usmerjanje in dovoljenja.

Usmerjevalnik VPN ali prehod na VPS?

Domači usmerjevalnik je lahko primerna končna točka, če želiš iz interneta dostopati do svojih domačih naprav. S prehodom na VPS lahko VPN poganjaš na ločenem strežniku, zato njegova dosegljivost ni odvisna od tega, ali je domači usmerjevalnik vklopljen. Rešitvi se ne izključujeta nujno: če bi prek VPS dostopal tudi do domačega omrežja, moraš načrtovati pot med obema omrežjema.

Kakšno strojno opremo in internetno povezavo potrebuješ za lasten strežnik VPN?

Za domači strežnik potrebuješ računalnik ali usmerjevalnik, na katerem lahko programska oprema VPN teče neprekinjeno in ki ima stabilno omrežno povezavo. Oddaljeni prenos podatkov lahko omeji zmogljivost nalaganja domačega interneta, zlasti pri dostopu do velikih datotek. Pri VPS vire strežnika izberi glede na hkratni promet in obremenitev zaradi šifriranja. Na delovanje vplivata tudi omrežna kartica in usmerjanje.

Kako korak za korakom nastaviti lasten strežnik VPN na VPS?

Izberi podprto okolje Linux in se prijavi s skrbniškimi pravicami. Po namestitvi WireGuarda in pripravi konfiguracije povezavo zaženi z ukazom wg-quick up wg0. Z ukazom wg show si lahko ogledaš stanje vmesnika in vrstnikov. Če vse pravilno deluje, nastavi samodejni zagon storitve in jo preizkusi tudi po ponovnem zagonu.

Kako nastaviti odjemalce VPN in varno šifriranje?

V aplikaciji odjemalca preveri, ali se povezuje s pravim strežnikom in ali uporablja le potrebne omrežne poti. Pri WireGuardu izpis ukaza wg show na strežniku prikaže zadnje rokovanje in podatkovni promet vrstnikov. Ko nastavljaš telefon, konfiguracijske kode QR ne prikazuj na javnem mestu. Pri napaki povezave najprej preveri stanje odjemalca, nato dnevnik strežnika.

• vpn
• domače omrežje
• oddaljeni dostop
• openvpn
• wireguard
• posredovanje vrat
• omrežna varnost