Как создать ВПН самому: сервер, протокол и риски
Команда Nebula Link
Как создать ВПН самому: арендуйте сервер на Linux, поставьте на него ядро протокола (чаще Xray или WireGuard), заведите ключи и подключите клиентов. С панелью 3x-ui установка сводится к одной команде в терминале. Дальше начинается обслуживание, и оно целиком на вас.
Ниже - что понадобится, чем различаются четыре популярных протокола по их собственной документации, и в каких случаях проще взять готовый ключ.
Из чего собирается свой сервер
Минимальный набор короткий. Сервер с Linux и адресом, который вы арендуете у хостера. Программа с нужным протоколом. Панель или конфигурационные файлы, где создаются ключи. Клиент на каждом вашем устройстве.
Панель необязательна, но без неё каждый ключ придётся вписывать в JSON руками. Поэтому для Xray так часто берут 3x-ui: по описанию проекта, это открытая веб-панель на GPL-3.0 для управления серверами на Xray-core. Она ведёт учёт трафика по клиентам, ставит лимиты и сроки, показывает QR-коды.
Какой протокол взять
Сравниваем только то, что написано в документации самих проектов. Скорости и устойчивость в конкретной сети зависят от провайдера и маршрута, и сведений об этом у нас нет.
WireGuard
По описанию протокола, WireGuard использует ChaCha20 с Poly1305, Curve25519 и BLAKE2s, а рукопожатие строится на Noise_IK. Все пакеты идут по UDP. Сервер не отвечает неавторизованным клиентам, из-за чего, как сказано на странице, остаётся тихим и невидимым. Быстрая инструкция проекта показывает ручную настройку: ключи через wg genkey, интерфейс, порт, список пиров. Брандмауэр и пересылку пакетов она не описывает, их придётся настраивать отдельно.
OpenVPN
Сообщество OpenVPN называет протокол основанным на стандарте SSL/TLS и пишет, что сервер принимает много клиентов на одном порту TCP или UDP. Руководство предполагает, что вы знаете основы сетей: в нём около двадцати пошаговых тем, включая создание собственного удостоверяющего центра для сертификатов.
Shadowsocks
Проект описывает себя как защищённый раздельный прокси на основе SOCKS5. Есть локальная часть для программ и удалённая, которая зашифрованный поток расшифровывает и идёт к цели. Какой шифр используется, зависит от выбранной схемы, страница алгоритмы не называет.
VLESS в Xray
Xray, по документации, поддерживает VLESS поверх внешнего слоя защиты: TLS либо REALITY. Значение security none разрешено только в доверенной частной сети или при включённом VLESS Encryption. Те же протоколы, включая WireGuard и Shadowsocks, 3x-ui подключает к одной панели.
Установка на примере 3x-ui
Панель ставится скриптом install.sh из репозитория проекта: его скачивают и запускают через curl и bash одной командой, после установки она запускается командой x-ui. Из хранилищ по умолчанию используется SQLite, PostgreSQL тоже поддерживается. Сначала прочитайте скрипт, а не выполняйте его вслепую.
Если вы берёте голый Xray, есть отдельный установщик проекта Xray-install: он поддерживает системы с systemd, ставит службу, бинарник в /usr/local/bin/xray и конфиги в /usr/local/etc/xray. После установки в конфигурации создают инбаунд с протоколом и пользователем, а в клиент переносят ключ.
Что остаётся на вас после установки
Сервер надо обновлять, закрывать лишние порты и следить, чтобы панель не торчала в сеть без защиты. Авторы 3x-ui прямо пишут, что проект предназначен для личного использования и просят не применять его в продакшене и в незаконных целях. В нём есть Fail2ban для ограничения адресов, но настроить его всё равно придётся самому.
Журналы - ваша зона ответственности. В Xray за журнал отвечает раздел log: при незаданных путях вывод идёт в stdout, значение none отключает журнал, а maskAddress умеет скрывать часть адреса. По Xray-install, по умолчанию Xray не пишет логи в /var/log/xray, пока вы не укажете файлы в конфигурации.
Есть и ограничение, которое не лечится настройкой: сервер у хостера. Адрес у сервера один, и находится он там, где вы арендовали машину, а хостер управляет оборудованием, на котором всё работает. Правила использования серверов у хостеров разные, условия его договора и местные законы остаются на вашей ответственности.
Когда проще взять готовый ключ
Свой сервер оправдан, если вам интересна сама настройка или нужен контроль над каждой строкой конфигурации. Если нужно просто безопасное соединение на нескольких устройствах, обслуживание сервера - лишняя работа. Nebula Link - пример сервиса на VLESS: мы держим серверы и выдаём ключ через бота. Своего приложения у нас нет, ключ работает в свободных клиентах.
Страница подготовлена брендом Nebula Link с помощью ИИ по документации проектов из списка внизу. Мы продаём ВПН, поэтому сравнивайте с самосборкой по своим задачам.
- Откройте Telegram-бот @owlink_service_bot - получите персональный VLESS-ключ и 5 дней бесплатно.
- Подберите клиент под систему на странице скачать ВПН.
- Импортируйте ключ; шаги по системам собраны в материале как подключить ВПН.