VPN сервер на Windows Server: настройка RRAS, IKEv2 и OpenVPN

Зачем нужен собственный VPN-сервер на Windows Server

VPN (Virtual Private Network) — это технология, создающая защищённое соединение между компьютерами или сетями через интернет. Она шифрует трафик и скрывает реальный IP-адрес, что обеспечивает конфиденциальность и безопасность передачи данных. VPN используется для защиты конфиденциальной информации, обхода цензуры и географических ограничений, а также для безопасной работы в публичных Wi-Fi сетях.

Развёртывание VPN-сервера на Windows Server даёт организациям несколько ключевых преимуществ. Во-первых, это защита данных: весь трафик между клиентом и сервером шифруется, что исключает перехват паролей, банковских данных и корпоративной информации. Во-вторых, VPN обеспечивает безопасное удалённое подключение для сотрудников, работающих из дома или в командировках, как если бы они находились в офисе. В-третьих, VPN позволяет объединить локальные сети филиалов в единую корпоративную сеть, упрощая обмен ресурсами и повышая производительность.

Кроме того, VPN-сервер на Windows Server помогает сократить расходы на коммуникации, заменяя дорогие выделенные линии обычным интернет-соединением. Он также даёт администраторам централизованный контроль над удалённым доступом, что повышает безопасность и упрощает управление пользователями. Использование встроенной роли RRAS (Routing and Remote Access) позволяет развернуть VPN без установки стороннего ПО, что снижает затраты и упрощает обслуживание.

Выбор протокола VPN: IKEv2, SSTP, L2TP, PPTP или OpenVPN

При настройке VPN-сервера на Windows Server важно выбрать подходящий протокол. Встроенная роль RRAS поддерживает PPTP, L2TP/IPsec, SSTP и IKEv2. Каждый из них имеет свои особенности.

PPTP — устаревший протокол, который считается небезопасным из-за слабого шифрования и уязвимостей. Его использование не рекомендуется, особенно для корпоративных сетей.

L2TP/IPsec — более безопасный, но капризен к NAT и часто требует дополнительной настройки. Он может работать медленнее из-за двойной инкапсуляции.

SSTP — маскируется под HTTPS-трафик и работает через порт 443, что позволяет обходить большинство файерволов. Однако он завязан на TLS-туннель и плохо переносит переключения сетей (например, с Wi-Fi на мобильный интернет).

IKEv2 — современный протокол, который нативно поддерживается Windows, macOS, iOS и Android без установки дополнительных приложений. Он обеспечивает быстрое переустановление соединения после обрыва и поддерживает MOBIKE — технологию, позволяющую менять сеть (Wi-Fi на мобильную) без разрыва VPN-сессии. Это делает IKEv2 оптимальным выбором для мобильных сотрудников.

OpenVPN — это open-source решение, которое можно установить на Windows Server отдельно. Оно считается одним из самых безопасных благодаря использованию сертификатов и гибкой настройке. OpenVPN поддерживает TCP и UDP, позволяет обходить NAT и файерволы, а также предоставляет возможность тонкой настройки шифрования и маршрутизации. Однако требует установки дополнительного ПО и управления сертификатами.

Для большинства корпоративных сценариев IKEv2 является разумным компромиссом между безопасностью, производительностью и совместимостью. Если нужен максимальный контроль и гибкость, стоит рассмотреть OpenVPN.

Предварительные требования для развертывания VPN-сервера

Перед началом настройки VPN-сервера на Windows Server необходимо убедиться, что выполнены следующие условия:

• Статический IP-адрес: сервер должен иметь статический публичный IPv4-адрес, чтобы клиенты могли подключаться по постоянному адресу. Если адрес динамический, сертификаты и клиентские профили придётся пересобирать при каждой смене IP.
• DNS-имя: желательно иметь доменное имя, указывающее на этот IP (например, vpn.example.com). Это упрощает подключение клиентов и позволяет использовать сертификаты, привязанные к имени.
• Порты и протоколы: для IKEv2 необходимо открыть UDP-порты 500 (IKE) и 4500 (NAT-T), а также протокол ESP (IP 50). Для OpenVPN обычно используется UDP-порт 1194, но можно настроить и TCP.
• Пул IP-адресов: нужно выделить диапазон внутренних адресов для VPN-клиентов, который не пересекается с локальной сетью сервера. Например, если локальная сеть использует 192.168.1.0/24, можно выделить 10.20.30.0/24.
• Права администратора: для установки ролей и настройки служб необходимы права локального администратора на сервере.
• Сертификаты: для IKEv2 и SSTP требуется сертификат сервера, который будет доверенным для клиентов. Можно использовать публичный сертификат (например, Let's Encrypt) или самоподписанный, но во втором случае придётся вручную устанавливать корневой сертификат на каждом клиентском устройстве.

Если сервер находится за NAT (например, за домашним роутером), необходимо настроить проброс портов на внешнем интерфейсе роутера. Для IKEv2 нужно пробросить UDP 500 и 4500, а также ESP, если это возможно. Для OpenVPN — пробросить порт 1194/UDP на внутренний IP сервера.

Установка роли RRAS и настройка VPN-сервера

Роль RRAS (Routing and Remote Access) встроена в Windows Server и позволяет развернуть VPN-сервер без стороннего ПО. Установка выполняется через Server Manager или PowerShell.

Через Server Manager:

1. Откройте Server Manager, выберите "Add Roles and Features".
2. Выберите роль "Remote Access".
3. Установите флажки "DirectAccess and VPN (RAS)" и "Routing".
4. Подтвердите установку и дождитесь завершения.

Через PowerShell (быстрее и проще для автоматизации):

Install-WindowsFeature -Name RemoteAccess -IncludeManagementTools
Install-WindowsFeature -Name Routing -IncludeManagementTools

После установки роли необходимо включить её как VPN-сервер. В графической консоли: Server Manager → Tools → Routing and Remote Access, правый клик по имени сервера → Configure and Enable Routing and Remote Access → Custom configuration → отметить VPN access. Мастер предложит перезапустить службу RemoteAccess.

В PowerShell это делается командой:

Install-RemoteAccess -VpnType Vpn

После включения роли сервер будет слушать все VPN-протоколы (PPTP, L2TP, SSTP, IKEv2). Чтобы ограничить только IKEv2, используйте командлет:

Set-VpnServerConfiguration -TunnelType IKEv2 -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup Group14 -PFSgroup PFS2048 -SALifeTimeSeconds 28800 -MMSALifeTimeSeconds 86400

Также настройте протоколы аутентификации пользователей:

Set-VpnAuthProtocol -UserAuthProtocolAccepted EAP,MSCHAPv2

Пул адресов для клиентов задаётся в свойствах сервера в оснастке RRAS: вкладка IPv4 → Static address pool → New Range. Укажите диапазон, например, 10.20.30.10 – 10.20.30.200.

Настройка сертификатов для VPN-сервера

Для IKEv2 и SSTP требуется сертификат сервера, который клиенты будут считать доверенным. Есть два основных подхода.

Публичный сертификат (Let's Encrypt) — самый практичный вариант для сервера с реальным доменным именем. Публичные центры сертификации уже встроены в доверенное хранилище всех операционных систем, поэтому не нужно вручную устанавливать корневой сертификат на каждое устройство. Получить сертификат можно с помощью утилиты win-acme:

wacs.exe --target manual --host vpn.example.com --validationmode http-01 --store certificatestore --certificatestore My

После выпуска сертификат окажется в хранилище Cert:\LocalMachine\My, откуда RRAS сможет его использовать.

Самоподписанный сертификат — подходит для небольших сетей или тестирования. Его можно создать с помощью PowerShell:

New-SelfSignedCertificate -Type Custom -Subject "CN=vpn.example.com" -KeyUsage DigitalSignature,KeyEncipherment -TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.1") -CertStoreLocation Cert:\LocalMachine\My -KeyExportPolicy Exportable

Минус самоподписанного сертификата — его корневой сертификат нужно вручную экспортировать и импортировать в доверенные корни на каждом клиентском устройстве. Для 2-3 устройств это терпимо, но для большого количества сотрудников лучше использовать Let's Encrypt.

Важно, чтобы в Subject или Subject Alternative Name (SAN) сертификата было указано именно то DNS-имя, на которое будут подключаться клиенты. Несовпадение имени в SAN и адреса подключения приведёт к ошибкам проверки на большинстве мобильных клиентов.

После получения сертификата его нужно привязать к RRAS: в оснастке RRAS откройте свойства сервера, вкладка Security → SSL Certificate Binding → выберите нужный сертификат по имени.

Настройка NAT и маршрутизации для доступа в интернет

Если VPN-клиентам нужен доступ в интернет через сервер (полный туннель), необходимо настроить NAT (Network Address Translation) на внешнем интерфейсе. Это позволит клиентам использовать интернет-соединение сервера, скрывая их реальные IP-адреса.

В RRAS NAT настраивается через командную строку или графический интерфейс. В PowerShell:

netsh routing ip nat install
netsh routing ip nat add interface "Ethernet" mode=full

Где "Ethernet" — имя внешнего сетевого адаптера сервера, через который идёт исходящий трафик в интернет.

В графической консоли RRAS: разверните узел IPv4 → NAT, правый клик → New Interface, выберите внешний интерфейс и установите режим "Public interface connected to the Internet" с включённой опцией NAT.

Также необходимо разрешить маршрутизацию между VPN-подсетью и локальной сетью. В RRAS это делается автоматически при включении роли, но если клиенты не видят внутренние ресурсы, проверьте, что в свойствах IPv4 включена маршрутизация (LAN routing).

Для OpenVPN настройка NAT выполняется через конфигурационный файл сервера и правила Windows Firewall. В конфиге OpenVPN нужно указать опции push "redirect-gateway def1" и push "dhcp-option DNS ...", а на сервере включить IP-пересылку (IPEnableRouter) и настроить NAT через netsh или RRAS.

Настройка файервола и сетевых правил

Правильная настройка файервола критична для работы VPN-сервера. RRAS автоматически создаёт необходимые правила Windows Firewall при установке роли, но на арендованных серверах или в облаке часто есть дополнительные фильтры от провайдера, которые нужно настроить вручную.

Минимальный набор портов для IKEv2:

• UDP 500 — IKE, начальное согласование туннеля.
• UDP 4500 — IKE NAT-Traversal (используется почти всегда, даже без NAT).
• ESP (протокол IP 50) — инкапсуляция трафика.

Если сервер находится за NAT провайдера, убедитесь, что проброшены оба UDP-порта (500 и 4500), а не только 500. Многие клиенты сразу переходят на NAT-T через 4500, и без проброса этого порта туннель не поднимется.

Для OpenVPN обычно используется UDP-порт 1194, но можно настроить и TCP (например, 443 для маскировки под HTTPS). В Windows Firewall нужно создать правило для входящих подключений на этот порт.

Пример создания правила через PowerShell:

New-NetFirewallRule -DisplayName "OpenVPN UDP 1194" -Direction Inbound -Protocol UDP -LocalPort 1194 -Action Allow

Также проверьте, что служба IKE and AuthIP IPsec Keying Modules (IKEEXT) не блокируется файерволом. Если после установки роли VPN не работает, первым делом посмотрите правила для этой службы.

Настройка клиентских подключений

После настройки сервера необходимо настроить клиентские устройства. Для Windows клиентское подключение можно создать через графический интерфейс или PowerShell.

Через PowerShell:

Add-VpnConnection -Name "Office-IKEv2" -ServerAddress "vpn.example.com" -TunnelType IKEv2 -EncryptionLevel Maximum -AuthenticationMethod EAP -RememberCredential -SplitTunneling

Опция -SplitTunneling включает раздельное туннелирование, когда только трафик к внутренним ресурсам идёт через VPN, а остальной — напрямую. Уберите эту опцию, если нужен полный туннель через сервер.

Через графический интерфейс:

1. Откройте "Network and Sharing Center" → "Set up a new connection or network".
2. Выберите "Connect to a workplace" → "Use my Internet connection (VPN)".
3. Введите IP-адрес или DNS-имя сервера.
4. Введите учётные данные пользователя VPN.

Для iOS и macOS:

• Настройки → VPN → Добавить конфигурацию → IKEv2.
• Укажите адрес сервера, remote ID (обычно совпадает с CN сертификата) и данные для входа.
• Если используется публичный сертификат Let's Encrypt, дополнительные действия не требуются. С самоподписанным сертификатом нужно установить корневой сертификат через профиль конфигурации.

Для Android:

• Нативная поддержка IKEv2 ограничена версией системы и прошивкой. На части устройств потребуется приложение strongSwan для явного указания сертификата и типа аутентификации.

Для OpenVPN клиента нужно установить OpenVPN GUI (входит в состав установщика) и импортировать файл конфигурации .ovpn, который содержит сертификаты и настройки подключения.

Управление пользователями и мониторинг VPN-сервера

Управление доступом пользователей к VPN-серверу в Windows Server осуществляется через Active Directory (если сервер в домене) или локальные учётные записи. Для каждого пользователя нужно разрешить удалённый доступ.

В Active Directory Users and Computers:

1. Откройте свойства пользователя.
2. Перейдите на вкладку "Dial-in".
3. В разделе "Remote Access Permission (Dial-in or VPN)" выберите "Allow access".

Для локальных пользователей аналогичная настройка доступна в оснастке "Локальные пользователи и группы".

Мониторинг активных VPN-подключений осуществляется в оснастке RRAS: раздел "Remote Access Clients" показывает список подключённых пользователей, их IP-адреса и время сессии. Также можно использовать Performance Monitor для отслеживания нагрузки и количества одновременных подключений.

Для OpenVPN мониторинг ведётся через файлы логов (server.log, openvpn-status.log), которые содержат информацию о подключениях и ошибках. Также можно использовать веб-интерфейсы сторонних панелей управления.

Важно регулярно обновлять сервер и клиентское ПО, а также отзывать сертификаты уволенных сотрудников. В OpenVPN отзыв сертификата выполняется командой ./easyrsa revoke <имя_клиента>.

Типичные проблемы и их решение

При настройке VPN-сервера на Windows Server могут возникнуть типичные проблемы. Рассмотрим наиболее частые.

Клиент подключается, но нет доступа в интернет. Чаще всего забыт NAT на внешнем интерфейсе. Убедитесь, что NAT включён и настроен на внешнем адаптере. Также проверьте, что маршрутизация между VPN-подсетью и интернетом разрешена.

Ошибка проверки сертификата. Если используется самоподписанный сертификат, убедитесь, что корневой сертификат установлен на клиенте в доверенные корни. Также проверьте, что имя в сертификате (SAN) совпадает с адресом подключения.

Не удаётся установить IKEv2-соединение. Проверьте, что открыты UDP-порты 500 и 4500, а также ESP. Если сервер за NAT, убедитесь, что проброшены оба порта. Также проверьте, что служба IKEEXT запущена и не блокируется файерволом.

OpenVPN не запускается. Проверьте, что все необходимые файлы сертификатов (ca.crt, server.crt, server.key, dh.pem, tc.key) находятся в каталоге конфигурации и пути к ним указаны правильно. Также проверьте, что установлен драйвер Data Channel Offload (ovpn-dco-win) и служба OpenVPN запущена.

Медленная скорость соединения. Для OpenVPN рекомендуется использовать UDP вместо TCP, а также современные шифры (AES-256-GCM, CHACHA20-POLY1305). Для IKEv2 убедитесь, что выбран быстрый алгоритм шифрования (AES-256) и группа Диффи-Хеллмана (Group14).

Проблемы с переключением сетей. Если клиент теряет VPN при переходе с Wi-Fi на мобильную сеть, убедитесь, что протокол поддерживает MOBIKE (IKEv2). Для OpenVPN переключение сетей может приводить к разрыву сессии, поэтому для мобильных пользователей лучше использовать IKEv2.

Вопросы и ответы