Самостоятельный хостинг VPN на VPS

[konstrukt]

Всем привет. Сегодня хочу разобрать тему самостоятельного хостинга VPN — почему это в ряде сценариев лучше коммерческого провайдера, как это делается технически и где у этого подхода реальные ограничения.


Почему свой VPN а не коммерческий


Коммерческий VPN решает конкретную задачу — переносит доверие с провайдера интернета на VPN-провайдера. Это полезно, но у этого подхода есть фундаментальное ограничение: вы всё равно доверяете третьей стороне. Провайдер может логировать трафик несмотря на заявления о no-log политике, может получить юридический запрос, может быть скомпрометирован.


Свой VPN на VPS решает другую задачу — вы контролируете сервер полностью. Нет третьей стороны которой нужно доверять на уровне логирования. Вы сами решаете что писать в логи и что нет.


Важная честная оговорка: свой VPN не даёт анонимности — VPS арендован на ваше имя или на карту привязанную к вам, и IP сервера уникален для вас. Это инструмент для шифрования трафика и обхода блокировок, а не для анонимности. Для анонимности — Tor.


Выбор протокола


WireGuard — современный выбор. Кодовая база в десятки раз меньше чем у OpenVPN (около 4000 строк против 400 000), что означает меньшую поверхность атаки и проще аудит. Значительно быстрее по производительности, встроен в ядро Linux начиная с версии 5.6. Единственный минус — UDP-only, что теоретически легче детектировать и заблокировать через DPI.


OpenVPN — старый проверенный вариант. Может работать поверх TCP на порту 443, что делает трафик практически неотличимым от обычного HTTPS — это важно в странах с активной блокировкой VPN. Медленнее WireGuard, сложнее в настройке.


Выбор VPS и юрисдикции


Юрисдикция важна потому что определяет под какие законы попадает сервер при юридическом запросе. Популярные варианты с точки зрения приватности — Швейцария, Исландия, Нидерланды, Панама. Провайдеры: Mullvad VPS, 1984 Hosting (Исландия), FlokiNET.


Оплата — идеально Monero или Bitcoin через обменник без KYC чтобы не связывать личность с сервером. Часть провайдеров принимает крипту напрямую.


Минимальные характеристики для личного VPN: 1 CPU, 512 МБ RAM, 10 ГБ диска — этого более чем достаточно.


Установка WireGuard — максимально быстрый путь


Самый простой способ развернуть WireGuard на чистом сервере Ubuntu/Debian — скрипт от Nyr который автоматизирует всю настройку:


curl -O

Чтобы видеть ссылки, необходимо зарегистрироваться.

<br>chmod +x wireguard-install.sh<br>./wireguard-install.sh<br>

Скрипт задаст несколько вопросов — IP сервера, порт, DNS — и сгенерирует конфигурационный файл и QR-код для подключения клиента. Весь процесс занимает 5-10 минут.


Для ручной настройки без скрипта последовательность такая:


Установка пакета:


apt update &amp;&amp; apt install wireguard -y<br>

Генерация ключей сервера:


wg genkey | tee /etc/wireguard/server_private.key | wg pubkey &gt; /etc/wireguard/server_public.key<br>

Создание конфигурации сервера в /etc/wireguard/wg0.conf:


[Interface]<br>PrivateKey = &lt;приватный ключ сервера&gt;<br>Address = 10.0.0.1/24<br>ListenPort = 51820<br>PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE<br>PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE<br><br>[Peer]<br>PublicKey = &lt;публичный ключ клиента&gt;<br>AllowedIPs = 10.0.0.2/32<br>

Включение форвардинга пакетов:


echo "net.ipv4.ip_forward=1" &gt;&gt; /etc/sysctl.conf<br>sysctl -p<br>

Запуск и автозапуск:


systemctl enable wg-quick@wg0<br>systemctl start wg-quick@wg0<br>

Установка OpenVPN через скрипт


Для OpenVPN аналогично есть автоматизированный скрипт:


curl -O

Чтобы видеть ссылки, необходимо зарегистрироваться.

<br>chmod +x openvpn-install.sh<br>./openvpn-install.sh<br>

Генерирует .ovpn файл для клиента. Для маскировки под HTTPS — выбрать порт 443 и протокол TCP при настройке.


Усиление безопасности сервера


После базовой установки обязательно несколько шагов:


Отключить вход по паролю через SSH — только ключи:


sed -i 's/PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config<br>systemctl restart ssh<br>

Установить fail2ban против брутфорса:


apt install fail2ban -y<br>systemctl enable fail2ban<br>

Настроить файрвол — разрешить только нужные порты:


ufw allow 22/tcp<br>ufw allow 51820/udp<br>ufw enable<br>

Автоматические обновления безопасности:


apt install unattended-upgrades -y<br>dpkg-reconfigure unattended-upgrades<br>

Минималистичная политика логов


По умолчанию система пишет логи. Для минимизации следов — отключить или ограничить системные логи:


# Ограничить размер и время хранения journald логов<br>sed -i 's/#SystemMaxUse=/SystemMaxUse=50M/' /etc/systemd/journald.conf<br>sed -i 's/#MaxRetentionSec=/MaxRetentionSec=1week/' /etc/systemd/journald.conf<br>systemctl restart systemd-journald<br>

В самом WireGuard по умолчанию нет логирования соединений — это одно из его архитектурных преимуществ.


Где свой VPN проигрывает коммерческому


Один IP уникален для вас — коммерческий VPN даёт IP который делят тысячи пользователей, что само по себе даёт некоторую защиту через размытие в толпе. На своём VPS весь трафик с этого IP однозначно ваш.


Обслуживание — обновления, мониторинг, устранение неполадок лежат на вас.


Нет защиты от компрометации на уровне дата-центра — если дата-центр скомпрометирован или получил юридический запрос, ваш сервер в зоне риска.


Итоговый вывод


Свой VPN на VPS — правильный инструмент для шифрования трафика от провайдера и обхода блокировок с полным контролем над инфраструктурой. Неправильный инструмент для анонимности — для этого Tor. Комбинация своего VPN плюс Tor поверх него даёт и шифрование и анонимность, но это отдельная тема настройки.


Интересно услышать у кого свой VPS стоит на постоянной основе — какую юрисдикцию выбрали и почему, и был ли реальный опыт с запросами к провайдеру.