Как поднять VPN-сервер на выделенном сервере
VPN-сервер на выделенном сервере даёт то, чего коммерческие VPN-сервисы предоставить не могут: полную прозрачность и контроль над вашей VPN-инфраструктурой. Вы точно знаете, где обрабатываются данные, у кого есть доступ к серверу и какие логи хранятся. Для бизнеса, работающего с чувствительным трафиком, это различие имеет огромное значение.
Это руководство описывает, как поднять VPN на выделенном сервере с помощью WireGuard – современного стандарта для высокопроизводительного self-hosted VPN. Мы сравниваем WireGuard и OpenVPN, чтобы вы сделали осознанный выбор до внедрения.
Зачем поднимать собственный VPN на выделенном сервере
Коммерческие VPN-сервисы маршрутизируют ваш трафик через общую инфраструктуру, которой управляет третья сторона. Вы доверяете политике логирования этой компании, её юрисдикции и практикам безопасности. Self-hosted VPN-сервер на выделенном железе убирает эту зависимость. Ваш трафик проходит через железо, которым вы управляете, в дата-центре, который вы выбрали, по политике конфиденциальности, которую написали вы.
Для корпоративных сценариев – удалённый доступ сотрудников, защита коммуникаций между распределёнными офисами, маршрутизация трафика через конкретную страну – выделенный VPN-сервер является стандартной архитектурой. Он чисто масштабируется, интегрируется со службами каталогов и даёт службе безопасности полную возможность аудита.
«Собственный VPN на выделенном железе – единственный способ сделать доказуемое утверждение о пути ваших данных. С коммерческим VPN вы доверяете их отчётам об аудите. Со своим выделенным сервером аудитор – вы». – Unihost Security Team
WireGuard против OpenVPN: что выбрать
WireGuard – правильный выбор для большинства новых внедрений в 2026 году. Он быстрее, проще в настройке, использует современную криптографию (ChaCha20, Curve25519) и имеет радикально меньшую кодовую базу: примерно 4 000 строк против 70 000+ у OpenVPN. Меньше строк – меньше потенциальных уязвимостей.
OpenVPN остаётся актуальным, когда нужен VPN-туннель поверх TCP для обхода ограничивающих фаерволов или когда в окружении есть устаревшее оборудование, не поддерживающее современный набор шифров WireGuard.
| Критерий | WireGuard | OpenVPN |
|---|---|---|
| Протокол | Только UDP (по умолчанию) | UDP и TCP |
| Скорость | Очень высокая – работа на уровне ядра | Ниже – TLS в пространстве пользователя |
| Сложность настройки | Простая, минимальный конфиг | Сложнее, управление CA |
| Криптография | Современный фиксированный набор (ChaCha20) | Настраиваемая (возможны устаревшие значения) |
| Размер кода | ~4 000 строк | ~70 000 строк |
| Оптимально для | Новые внедрения, высокая пропускная способность | Обход фаерволов, легаси-окружения |
Требования к серверу для VPN
VPN-сервер на выделенном железе не требует значительных вычислительных мощностей. Доминирующий ресурс – пропускная способность сети, а не CPU. Для 20-50 одновременно подключённых удалённых пользователей сервер с аплинком 1 Гбит/с и современным процессором справляется с запасом.
- CPU: любой современный 4-ядерный процессор. WireGuard работает в ядре Linux и исключительно эффективен.
- RAM: 4-8 ГБ достаточно для 100 одновременных VPN-клиентов.
- Накопитель: 20-50 ГБ SSD. У VPN-серверов минимальные требования к дисковому пространству.
- Сеть: минимум 1 Гбит/с. Предпочтителен безлимитный трафик, чтобы избежать непредсказуемых расходов.
- ОС: рекомендуются Ubuntu 22.04 LTS или Debian 12. WireGuard встроен в ядро Linux начиная с версии 5.6.
Пошаговая настройка (WireGuard)
- 1. Установите WireGuard: apt update && apt install wireguard -y
- 2. Сгенерируйте ключи сервера: wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key
- 3. Создайте /etc/wireguard/wg0.conf с интерфейсом сервера, ListenPort 51820 и правилами NAT в iptables
- 4. Включите IP forwarding: echo ‘net.ipv4.ip_forward=1’ >> /etc/sysctl.conf && sysctl -p
- 5. Запустите и добавьте в автозагрузку: systemctl enable –now wg-quick@wg0
- 6. Для каждого клиента: сгенерируйте пару ключей, добавьте блок [Peer] в конфиг сервера с публичным ключом клиента
- 7. Откройте порт в фаерволе: ufw allow 51820/udp
- 8. Раздайте клиентский конфиг с публичным ключом сервера и endpoint IP:51820
Лучшие практики безопасности
- Отключите парольную аутентификацию для SSH; используйте только вход по ключам.
- Запустите ufw с политикой default-deny; открывайте только те порты, которые действительно нужны.
- Держите ядро и утилиты WireGuard обновлёнными – патчи WireGuard приходят с обновлениями ядра.
- Периодически меняйте ключи WireGuard – для чувствительных внедрений перегенерируйте пары каждые 90 дней.
- Используйте отдельный выделенный сервер под VPN, а не совмещайте его с серверами приложений.
FAQ
Q: Можно ли запустить VPN на выделенном сервере?
A: Да, и для бизнеса это рекомендуемый подход. Выделенный сервер даёт вашему VPN эксклюзивные ресурсы железа, снимает проблему шумного соседа, обеспечивает стабильный IP-адрес и даёт службе безопасности полную видимость серверного окружения.
Q: WireGuard или OpenVPN – что лучше?
A: В 2026 году WireGuard лучше для большинства сценариев. Он быстрее, проще в настройке и по умолчанию использует современную криптографию. OpenVPN предпочтительнее, когда нужен TCP-туннель для обхода ограничивающих фаерволов или когда требования комплаенса предписывают конкретные наборы шифров.
Q: Какие характеристики нужны VPN-серверу?
A: Основной ресурс – пропускная способность сети, а не CPU. Для 20-50 одновременных пользователей на обычной удалённой работе сервера с 4-ядерным процессором, 8 ГБ RAM и безлимитным аплинком 1 Гбит/с более чем достаточно. Масштабируйте исходя из числа одновременных пользователей и их потребления трафика.
Q: Сколько пользователей выдержит один VPN-сервер?
A: На аплинке 1 Гбит/с сервер WireGuard обслуживает сотни одновременных пользователей при типичном офисном трафике. Практический предел – полоса пропускания. 100 одновременных пользователей по 5 Мбит/с = 500 Мбит/с, что укладывается в 1 Гбит/с. Для 500+ пользователей с высоким потреблением рассмотрите аплинк 10 Гбит/с или несколько VPN-серверов с балансировкой нагрузки.
