🌐 Развертывание WireGuard VPN на виртуальном частном сервере (VPS)

Многие люди совершают покупки в иностранных онлайн-магазинах, используя общедоступные VPN-сервисы, такие как NordVPN или Surfshark. У общедоступных VPN-сервисов есть существенный недостаток, их IP-адреса известны антифрод-системам. Если вы заходите на сайт магазина с одного из таких адресов, магазин может отказать вам в обслуживании. Использование собственного VPN позволяет обойти эту проблему.

Данное руководство поможет вам запустить собственный VPN на виртуальном частном сервере (VPS — Virtual Private Server). VPS — это вид сервера, который имитирует выделенный сервер, но на одном физическом носителе работает сразу несколько виртуальных серверов, изолированных друг от друга. Благодаря такому подходу аренда VPS стоит всего 300–500 рублей в месяц.

Ваш VPN будет работать на основе WireGuard — коммуникационного протокола с открытым исходным кодом. WireGuard простой в использовании, быстрый и безопасный, он отлично подходит для обхода блокировок и совершения покупок в иностранных онлайн-магазинах.

Важные ссылки: 🔗 Информационно-новостной канал RedotPay Russia News | 🔗 Центр информации RedotPay Russia | 🔗 Что такое RedotPay? | 🔗 Руководство пользователя RedotPay | 🔗 Часто задаваемые вопросы (FAQ) | 🔗 Мини-инструкции

Чтобы развернуть собственный VPN, выполните несколько простых шагов

• Зарегистрируйтесь на сайте хостера
• Пополните баланс аккаунта
• Возьмите в аренду виртуальный частный сервер с установленной ОС Ubuntu
• Разверните на сервере Wireguard VPN
• Скачайте ключ
• Установите приложение Wireguard, импортируйте ключ и установите соединение
• Усильте безопасность сервера (необязательно)

Зарегистрируйтесь на сайте хостера

Хостер или хостинг-провайдер — это компания, которая предоставляет услугу виртуального частного сервера. Хостеры бывают российские и иностранные. Российские хостеры, в отличие от иностранных, принимают оплату с российских банковских карт, но скорее всего передают данные о клиентах российским спецслужбам. Я покажу, как взять VPS в аренду на примере российского хостера Vdsina, у которого есть серверы в Амстердаме. Вы можете воспользоваться услугами любого другого хостера на ваше усмотрение.

1. Перейдите на сайт хостера: https://vdsina.ru/
2. На главной странице в правом верхнем углу нажмите Регистрация. ⚠️ Важно: Если вы используете браузер на смартфоне, на главной странице в правом верхнем углу нажмите кнопку меню (значок «гамбургер»), затем нажмите Регистрация.
3. В появившемся окне Регистрация введите адрес своей электронной почты и нажмите кнопку Продолжить. Появится сообщение: Вы успешно зарегистрировались в панели управления!, а на указанную вами почту придет письмо с логином и паролем от аккаунта.
4. Нажмите кнопку Войти ниже. Система перенаправит вас в панель управления и попросит установить новый пароль.
5. В появившемся окне введите новый пароль и нажмите кнопку Продолжить.
6. На боковой панели слева нажмите Мой аккаунт, затем сверху выберите панель Профиль. Откроется страница с настройками профиля.
7. Нажмите переключатель Двухфакторная аутентификация. Появится окно Подключение 2FA.
8. Скопируйте Секретный ключ и сохраните его в надежном месте или запишите.
9. Запустите приложение для двухфакторной аутентификации, нажмите кнопку Добавить и введите скопированный на предыдущем шаге секретный ключ. Будет создана новая карточка для аккаунта Vdsina. Перейдите в карточку и скопируйте одноразовый код.
10. Вернитесь на страницу с окном Подключение 2FA, вставьте скопированный одноразовый код в поле Ответный код* и нажмите кнопку Проверить код. Окно исчезнет, сверху появится уведомление о том, что 2FA успешно настроено, и включится переключатель Двухфакторная аутентификация.

🟢 Желательно: С помощью менеджера паролей создайте сложный пароль длиной больше 16 символов, который включает буквы латинского алфавита, цифры и специальные знаки.

🟡 Допустимо: Придумайте и запишите на листе бумаги сложный пароль из 16 символов, который включает буквы латинского алфавита, цифры и специальные знаки.

🔴 Не делайте так: Не используйте простой пароль, который легко угадать или подобрать!

К оглавлению

Пополните баланс аккаунта

1. Перейдите на панель управления хостера: https://cp.vdsina.ru/
2. На боковой панели слева нажмите Финансы.
3. Нажмите кнопку +Пополнить баланс, введите сумму пополнения и нажмите кнопку с галочкой. Откроется окно Пополнить баланс.
   
4. С разделе Способы оплаты выберите способ и нажмите кнопку Оплатить. Вас перенаправит на страницу платежного сервиса. ⚠️ Важно: Если сумма пополнения меньше 2000 рублей, то будут доступны только способы оплаты с повышенной комиссией. Чтобы не платить повышенную комиссию введите сумму 2000 рублей или больше.
5. Оплатите. Вас перенаправит обратно на панель управления хостера.

К оглавлению

Возьмите в аренду виртуальный частный сервер с установленной ОС Ubuntu

Для работы VPS нужна операционная система. Мы будем использовать Ubuntu. Ubuntu — это бесплатный дистрибутив GNU/Lunux, разработанный британской компанией Canonical Ltd. на базе Unix-подобной операционной системы Debian.

1. Перейдите на панель управления хостера: https://cp.vdsina.ru/
2. Нажмите кнопку +Создать Сервер. Откроется страница Заказ услуги Сервер.
3. На странице заказа в разделе 1 Образ диска на вкладке Операционная система нажмите Ubuntu и выберите 22.04.
4. В разделе 2 Тип сервера нажмите Стандартые серверы и выберите самый недорогой вариант.
5. В разделе 3 Локация сервера выберите Амстердам, Нидерланды.
6. В разделе 4 Автоматическая резервная копия выключите переключатель Автоматическая резервная копия.
7. В разделе 5 Дополнительные настройки сервера ничего делать не нужно.
8. Нажмите кнопку Создать. Вас перенаправит на страницу со списком серверов. Сервер будет создан в течение 1-2 минут, а на вашу почту придет письмо с IP-адресом сервера и паролем от учетной записи root.

К оглавлению

Разверните на сервере WireGuard VPN

Для простоты развертывания и управления VPN-сетью, мы воспользуемся WireHole. WireHole — это проект для docker-compose, который объединяет три приложения: WireGuard, PiHole и Unbound. Приложение WireGuard создает сеть VPN, PiHole блокирует рекламу, а Unbound кэширует DNS, чтобы вас не отслеживали DNS-провайдеры.

Все действия на сервере, включая установку и настройку WireGuard, вы будете выполнять с помощью командной строки. Не пугайтесь, в этом нет ничего сложного! Чтобы подключиться к серверу вам понадобится эмулятор терминала. Если у вас компьютер на Windows, используйте Windows Terminal, если на macOS, используйте встроенное приложение Терминал. На иллюстрации ниже бесплатное приложение iTerm2.

1. Запустите эмулятор терминала (далее просто «терминал»).
2. Подключитесь к серверу, для этого выполните команду: ssh root@94.103.80.149 Вместо выделенного курсивом адреса введите IP-адрес вашего сервера из письма, которое вы получили от хостера. Сервер запросит пароль. ⚠️ Важно: Здесь и далее «выполнить команду» означает «ввести команду и нажать клавишу Return».
3. Введите пароль из письма, которое вы получили от хостера и нажмите клавишу Return.
4. Обновите сервер, выполнив команду: sudo apt update -y && sudo apt upgrade -y ⚠️ Важно: Процесс обновления сервера может занять несколько минут. В процессе обновления подтверждайте все диалоговые окна, нажимая клавишу Return.
5. Загрузите на сервер WireHole, выполнив команду: sudo apt install docker-compose && git clone https://github.com/IAmStoxe/wirehole.git Когда система задаст вопрос After this operation, 268 MB of additional disk space will be used. Do you want to continue? [Y/n], нажмите клавишу Y, а затем клавишу Return. В процессе загрузки подтверждайте все диалоговые окна, нажимая клавишу Return.
6. Перейдите в директорию с WireHole, выполнив команду: cd wirehole
7. Создайте файл конфигурации, выполнив команду: cp .env.example .env
8. Измените файл конфигурации, для этого:
   а. Откройте файл конфигурации в текстовом редакторе, выполнив команду: nano .env
   б. Используя клавиши со стрелками переместите курсор на строку WIREGUARD_PEERS=1 и удалите WIREGUARD_, чтобы получилось PEERS=1.
   в. Используя клавиши со стрелками переместите курсор на строку WGUI_SISSION_SECRET= и добавьте после знака = (равно) секретный ключ для шифрования сессионных куки. Ключ может быть словом, фразой или набором символов.
   г. Используя клавиши со стрелками переместите курсор на строку WGUI_USERNAME=admin и замените admin на свой логин. Логин может быть словом или набором символов.
   д. Используя клавиши со стрелками переместите курсор на строку WGUI_PASSWORD=admin и замените admin на свой пароль.
   е. Сохраните файл конфигурации, для этого нажмите клавиши Control+X. И на вопрос Save modified buffer? нажмите клавишу Y, затем Return.
9. Запустите контейнер с WireHole, выполнив команду: docker-compose up Будет запущен контейнер с WireHole.
10. Закройте окно терминала.

К оглавлению

Скачайте ключ

1. Перейдите на страницу веб-панели WireGuard-UI по адресу http://94.103.80.149:5000, где вместо выделенного курсивом адреса введите IP-адрес вашего сервера.
2. В поле Username введите логин, который вы добавили в предыдущем разделе на шаге 8(г).
3. В поле Password введите пароль, который вы добавили в предыдущей разделе на шаге 8(д).
4. Нажмите кнопку Sign In. Вы попадете в веб-панель, где можно управлять настройками сервера и клиентов.
5. На боковой панели нажмите Wireguard Clients, затем в правом верхнем углу страницы нажмите кнопку +New Client. Появится всплывающее окно New Wireguard Client.
6. Придумайте осмысленное имя (например, «Ilyas Laptop») и введите его в поле Name, а затем нажмите кнопку Submit. Всплывающее окно закроется и в списке Wireguard Clients появится новая карточка.
7. В правом верхнем углу страницы нажмите кнопку ✓Apply Config и подтвердите действие в одноименном всплывающем окне, нажав кнопку Apply.
8. В списке Wireguard Clients на карточке клиента нажмите кнопку Download и сохраните файл конфигурации на компьютере.
9. На карточке клиента нажмите кнопку QR code. Появится всплывающее окно с QR-кодом конфигурации, сохраните изображение QR-кода, оно понадобится на следующем шаге.

К оглавлению

Установите приложение WireGuard, импортируйте ключ и установите соединение

1. Перейдите на официальный сайт протокола: https://www.wireguard.com/install/
2. Нажмите кнопку с нужным магазином приложений, например: Download Windows Installer, Donwload from App Store, Donload from Play Store и так далее.
3. Установите приложение из магазина или установочного файла.
4. Запустите приложение и нажмите кнопку с плюсом (+). Выберите Создать из QR-кода и наведите камеру на QR-код, сохраненный на шестом шаге предыдущей инструкции. ⚠️ Важно: Если вы установили приложение на настольный компьютер, запустите приложение и нажмите кнопку Импорт туннелей из файла. Перейдите к файлу конфигурации, скачанному на седьмом шаге предыдущей инструкции, и нажмите кнопку Открыть.
5. Выберите вновь созданное соединение и нажмите Редактировать (Править).
6. Дайте соединению осмысленное имя, например, Vdsina NL.
7. Чтобы соединение автоматически возобновлялось после обрыва, в разделе Автоподключение (On-Demand) выберите Wi-Fi и Сотовая сеть.
8. Нажмите кнопку Сохранить.
9. Активируйте соединение.
10. Убедитесь, что соединение установлено. Для этого в браузере перейдите на сайт https://2ip.ru и проверьте пункт Ваше местоположение.

К оглавлению

Усильте безопасность сервера (необязательно)

По умолчанию сервер с Ubuntu относительно легко взломать. Если злоумышленник узнает пароль от учетной записи root, он получит полный контроль над сервером. После этого злоумышленник сможет использовать сервер для собственных нужд. Например, ваш сервер будет использоваться для атаки на веб-сайты и другие ресурсы, как часть ботнета.

Чтобы значительно уменьшить вероятность того, что ваш сервер взломают, выполните несколько простых настроек:

• Настройте авторизацию посредством SSH-ключа;
• Настройте приложение для противодействия подбора пароля Fail2Ban;
• Смените стандартный порт для SSH-подключения;
• Настройте брандмауэр IPTABLES.

Настройте авторизацию посредством SSH-ключа

1. Запустите терминал.
2. Создайте секретный и публичный SSH-ключи, для этого выполните команду: ssh-keygen -t rsa -b 2048
3. Когда система попросит, введите имя файла ключа.
4. Когда система попросит, придумайте и введите парольную фразу для доступа к ключу. Затем введите парольную фразу ещё раз. Система создаст пару ключей и поместит их в следующую папку:
   Для Windows: C:\Users\имя_пользователя
   Для macOS: /Users/имя_пользователя
5. Подключитесь к вашему серверу, выполнив команду: ssh root@94.103.80.149, где вместо выделенного курсивом адреса введите IP-адрес вашего сервера из письма, которое вы получили от хостера. Сервер запросит пароль.
6. Введите пароль из письма, которое вы получили от хостера и нажмите клавишу Return.
7. На локальном компьютере (не на сервере) перейдите в папку с парой ключей, откройте файл с расширением *.pub в текстовом редакторе, выделите текст открытого ключа и скопируйте его в буфер обмена, нажав клавиши Control+C для Windows или Command-C для macOS.
8. На сервере откройте файл authorized_keys в текстовом редакторе, для этого в терминале выполните команду: nano ~/.ssh/authorized_keys
9. Вставьте текст открытого ключа из буфера обмена, нажав клавиши Control+V для Windows или Command-V для macOS.
10. Закройте текстовый редактор, для этого нажмите клавиши Control-X. Когда система задаст вопрос: Save modified buffer?, нажмите клавишу Y, затем нажмите клавишу Return.
11. На сервере откройте файл sshd_config в текстовом редакторе, для этого в терминале выполните команду: nano /etc/ssh/sshd_config
    а. Используя клавиши со стрелками перейдите к строке #PubkeyAuthentication yes и раскомментируйте параметр, для этого удалите знак # в начале строки.
    б. Перейдите к строке #AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2 и раскоментируйте параметр, для этого удалите знак # в начале строки.
    в. Перейдите в конец строки #AuthorizedKeysCommandUser nobody и нажмите клавишу Return. На новой строке введите параметр RhostsRSAAuthentication no
    г. Перейдите к строке #HostbasedAuthentication no и раскомментируйте параметр, для этого удалите знак # в начале строки.
    д. Перейдите к строке #PasswordAuthentication yes и раскомментируйте параметр, для этого удалите знак # в начале строки. Затем атрибут yes замените на no
    е. Перейдите к строке #PermitEmptyPasswords no и раскомментируйте параметр, для этого удалите знак # в начале строки.
12. Закройте текстовый редактор, для этого нажмите клавиши Control-X. Когда система задаст вопрос: Save modified buffer?, нажмите клавишу Y, затем нажмите клавишу Return.
13. На сервере настройте права доступа к папке .ssh и файлу authorized_keys, выполнив команду: chmod 700 ~/.ssh/ && chmod 600 ~/.ssh/authorized_keys
14. Перезапустите службу ssh, для этого в терминале выполните команду: service sshd restart Теперь, сервер не будет спрашивать пароль при подключении. Вместо этого будет использоваться пара ключей, а вам для доступа к ключу нужно будет вводить парольную фразу, придуманную на шаге 4.

Настройте приложение для противодействия подбора пароля Fail2Ban

1. На сервере установите приложение Fail2Ban, для этого в терминале выполните команду: sudo apt-get install fail2ban Когда система задаст вопрос After this operation, 2486 kB of additional disk space will be used. Do you want to continue? [Y/n], нажмите клавишу Y, а затем клавишу Return. В процессе загрузки подтверждайте все диалоговые окна, нажимая клавишу Return.
2. Проверьте, запущен ли Fail2Ban, выполнив команду: sudo systemctl status fail2ban Если Fail2Ban не запущен, запустите его, выполнив команду: systemctl enable fail2ban && systemctl start fail2ban
3. Создайте новый файл jail в текстовом редакторе, выполнив команду: sudo nano /etc/fail2ban/jail.d/ssh.conf
4. Вставьте в текстовом редакторе следующий текст:
   [sshd]
enable = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
findtime = 300
5. Закройте текстовый редактор, для этого нажмите клавиши Control-X. Когда система задаст вопрос: Save modified buffer?, нажмите клавишу Y, затем нажмите клавишу Return.
6. Перезапустите Fail2Ban, выполнив команду: sudo systemctl restart fail2ban
7. Откройте файл jail.local в текстовом редакторе, выполнив команду: sudo nano /etc/fail2ban/jail.local
8. Добавьте в файл jail.local IP-адреса, с которых вы обычно заходите на сервер. ⚠️ Важно: Чтобы узнать ваш текущий IP-адрес, перейдите на сайт https://2ip.ru. В текстовом редакторе вставьте следующий текст:
[DEFAULT]
ignoreip = ip1 ip2 # вместо ip1 и ip2 укажите свои IP-адреса
9. Закройте текстовый редактор, для этого нажмите клавиши Control-X. Когда система задаст вопрос: Save modified buffer?, нажмите клавишу Y, затем нажмите клавишу Return.
10. Перезапустите Fail2Ban, выполнив команду: sudo systemctl restart fail2ban

Смените стандартный порт для SSH-подключения

1. На сервере откройте файл sshd_config в текстовом редакторе, для этого в терминале выполните команду: nano /etc/ssh/sshd_config
2. Используя клавиши со стрелками перейдите к строке #Port 22, удалите знак # , и замените номер порта 22 на любое пятизначное число из диапазона 49152–65535. ⚠️ Важно: Для демонстрации я возьму номер порта 58058, но вы обязательно придумайте свой номер порта!
3. Закройте текстовый редактор, для этого нажмите клавиши Control-X. Когда система задаст вопрос: Save modified buffer?, нажмите клавишу Y, затем нажмите клавишу Return.
4. Перезапустите SSH, выполнив команду: systemctl restart sshd.service Теперь для подключения к серверу, вам нужно будет явно указывать номер порта, например: ssh -p 58058 root@94.103.80.149

Настройте брандмауэр IPTABLES

1. На сервере откройте порт, который вы задали в на шаге 2 предыдущей инструкции, для этого в терминале выполните команду: sudo iptables -A INPUT -p tcp -m tcp --dport 58058 -m comment --comment "allow ssh" -j ACCEPT Вместо 58058 укажите свой номер порта!
2. Добавьте несколько правил для IPTABLES, выполнив команду: sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT && sudo iptables -A FORWARD -p icmp -j ACCEPT && sudo iptables -A INPUT -m state --state INVALID -j DROP && sudo iptables -A FORWARD -m state --state INVALID -j DROP
3. Установите пакет iptables-persistent, выполнив команду: sudo apt-get install iptables-persistent Когда система задаст вопрос After this operation, 93.2 kB of additional disk space will be used. Do you want to continue? [Y/n], нажмите клавишу Y, а затем клавишу Return. В процессе загрузки подтверждайте все диалоговые окна, нажимая клавишу Return.
4. Сохраните правила, выполнив команду: sudo netfilter-persistent save
5. Перезапустите Fail2Ban, выполнив команду: sudo systemctl restart fail2ban

К оглавлению

Важные ссылки: 🔗 Информационно-новостной канал RedotPay Russia News | 🔗 Центр информации RedotPay Russia | 🔗 Что такое RedotPay? | 🔗 Руководство пользователя RedotPay | 🔗 Часто задаваемые вопросы (FAQ) | 🔗 Мини-инструкции