Установка и настройка SoftEther Server на Ubuntu 22.04/20.04

Как настроить безопасный и быстрый сервер SoftEther на Ubuntu?

В этом пошаговом и практическом руководстве вы узнаете, как... SoftEther Установка, настройка и обеспечение безопасности на Ubuntu 22.04 или 20.04. Эта статья предназначена для сетевых администраторов, специалистов DevOps, администраторов сайтов и технических пользователей, которым необходим стабильный VPN с поддержкой OpenVPN, L2TP/IPsec, SSTP и туннелирования уровня 2/3.

Предварительные требования

Прежде чем начать, убедитесь, что соблюдены следующие условия:

• Сервер Ubuntu 22.04 или 20.04 с правами root или пользователем с правами sudo.
• Минимум 1 ГБ оперативной памяти (для производственных сред) Рекомендуется 2 ГБ оперативной памяти и более.)
• Доступ к необходимым портам или возможность настройки брандмауэра.
• При сборке из исходного кода или загрузке официального бинарного файла используйте инструменты сборки.

Часть 1 — Установка SoftEther VPN (компиляция из исходного кода)

1. Обновите систему и установите необходимые компоненты.

sudo apt update && sudo apt upgrade -y
sudo apt install -y build-essential gcc make git libreadline-dev libssl-dev libncurses-dev zlib1g-dev liblzma-dev

2. Клонируйте официальный репозиторий и выполните сборку.

Клонируйте и скомпилируйте официальный репозиторий SoftEther; при запуске команды `make` вам будет предложено принять условия.

git clone https://github.com/SoftEtherVPN/SoftEtherVPN_Stable.git
cd SoftEtherVPN_Stable
make

В процессе создания, опция 1 Нажмите Enter, чтобы продолжить сборку. После завершения сборки исполняемые файлы будут находиться в папке /etc/bin/bin. VPN-сервер Они изготовлены.

3. Установите в стандартный путь и настройте права доступа.

sudo mv vpnserver /usr/local/
cd /usr/local/vpnserver
sudo chmod 600 *
sudo chmod 700 vpnserver vpncmd

4. Создайте службу systemd.

Создайте файл службы и включите службу:

sudo tee /etc/systemd/system/vpnserver.service > /dev/null <<'SERVICE'
[Unit]
Description=SoftEther VPN Server
After=network.target

[Service]
Type=forking
ExecStart=/usr/local/vpnserver/vpnserver start
ExecStop=/usr/local/vpnserver/vpnserver stop
Restart=on-abort

[Install]
WantedBy=multi-user.target
SERVICE

sudo systemctl daemon-reload
sudo systemctl enable --now vpnserver
sudo systemctl status vpnserver

Часть 2 — Начальная настройка с помощью vpncmd

1. Установите пароль администратора сервера.

Чтобы войти в инструмент управления:

sudo /usr/local/vpnserver/vpncmd

В первом меню выберите опцию 1 (Управление VPN-сервером или VPN-мостом) Выберите и выполните следующую команду, чтобы установить пароль сервера:

ServerPasswordSet

2. Создайте виртуальный центр и пользователя.

HubCreate MyHub
Hub MyHub
UserCreate user1 /GROUP:none /REALNAME:"Trader" /NOTE:"VPS for trading"
UserPasswordSet user1

По заказу Набор паролей пользователяУстановите пароль пользователя.

3. Включите SecureNAT.

Hub MyHub
SecureNatEnable

SecureNAT — это самый быстрый способ создания внутренней сети с DHCP и NAT, не требующий локального моста; подходит для публичных VPS и простых задач.

4. Настройка локального моста

Для подключения концентратора к физическому интерфейсу (например, eth0):

BridgeCreate MyHub /DEVICE:eth0

Примечание: Для работы локального моста требуются права root, и он может не работать на некоторых виртуальных машинах с сетевыми настройками гипервизора.

Часть 3 — Включаемые протоколы: OpenVPN, L2TP/IPsec, SSTP

1. OpenVPN (экспорт файла .ovpn)

OpenVpnEnable yes /PORTS:1194 /HUB:MyHub

После активации вы можете экспортировать файл .ovpn и передать его клиенту OpenVPN.

2. L2TP/IPsec

IPsecEnable /L2TP:yes /L2TPRAW:yes /ETHERIP:yes /PSK:YourSharedSecret /DEFAULTHUB:MyHub

Выберите надежный предварительно согласованный ключ (PSK). L2TP подходит для мобильных устройств и стандартных операционных систем.

3. SSTP

SstpEnable yes /PORTS:443

Протокол SSTP использует протокол TCP/443 и полезен для обхода строгих брандмауэров.

Раздел 4 — Межсетевой экран и NAT (iptables/ufw)

Включить переадресацию IP-пакетов

sudo sysctl -w net.ipv4.ip_forward=1
sudo sed -i 's/#net.ipv4.ip_forward=1/net.ipv4.ip_forward=1/' /etc/sysctl.conf

Пример правил iptables для SecureNAT (внутренняя сеть 10.10.10.0/24)

sudo iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -s 10.10.10.0/24 -j ACCEPT

sudo iptables -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Пример правил с использованием ufw

sudo ufw allow 443/tcp
sudo ufw allow 992/tcp
sudo ufw allow 1194/tcp
sudo ufw allow 1701/udp
sudo ufw allow 500/udp
sudo ufw allow 4500/udp

Порт при необходимости 5555 Доступно только для внутреннего руководства. Рекомендуется не открывать из интернета..

Сохранение правил iptables

sudo apt install -y iptables-persistent
sudo netfilter-persistent save

Раздел 5 — Безопасность и лучшие практики

• Надежные пароли Для сервера, хаба и пользователей выберите нужный параметр; используйте длинные и сложные пароли.
• Не открывайте управляющий порт (5555) для доступа из интернета. Используйте внутренний VPN или SSH-туннель для управления.
• От фейл2бан Используйте для защиты от атак методом перебора паролей.
• Используйте действительный сертификат (Let's Encrypt) для TLS; файлы fullchain.pem и privatekey.pem Для завершения TLS-соединения используйте stunnel/HAProxy.
• Для аутентификации конфиденциальных пользователей используйте ключи/сертификаты, а при необходимости подключайтесь к RADIUS/LDAP.
• Регулярно создавайте резервные копии файла конфигурации и храните их в безопасном месте (S3/облаке).
• Отправляйте и анализируйте журналы в центральную систему (ELK/Graylog) для более быстрого выявления аномального поведения.

Раздел 6 — Оптимизация производительности (для торговли/игр/искусственного интеллекта)

Основные советы по снижению пинга и повышению стабильности:

• Выберите местоположение: Разместите VPN-сервер в ближайшем к целевому сервису месте. Для торговли — сервер рядом с биржами; для игр — рядом с центром обработки игровых данных.
• Аппаратное обеспечение: Для ресурсоемких криптографических задач используйте серверы с соответствующей поддержкой. AES-NI Использовать.
• Сеть: Использование тарифных планов с высокой пропускной способностью, протокола BGP и CDN может снизить задержку. При необходимости используйте серверы защиты от DDoS-атак.
• Настройка MTU и MSS На маршрутах с длинными туннелями или множеством мостов это крайне важно для предотвращения фрагментации.
• Выбор протокола: Для достижения максимальной скорости используйте OpenVPN UDP или SoftEther на порту UDP/SSL; если ваш брандмауэр имеет ограничения, больше подойдет SSTP (TCP/443).

Раздел 7 — Сценарии применения и примеры

Пример 1 — VPS для торговли

• Местоположение: В непосредственной близости от брокера или сервера биржи (например, Нью-Йорк, Лондон, Токио).
• Конфигурация: Simple SecureNAT или локальный мост, QoS и защита от DDoS-атак.
• Рекомендация: короткие интервалы подтверждения соединения, мониторинг пинга и выбор процессора с низкой задержкой.

Пример 2 — Игровой VPS

• Местоположение: Рядом с игровым сервером или при использовании многорегиональной сети.
• Конфигурация: Локальный мост для поддержки локальной сети, позволяющий при необходимости снизить накладные расходы на шифрование.
• Рекомендация: сеть 10 Гбит/с и прямой порт для уменьшения пинга и дрожания сигнала.

Пример 3 — Удаленный доступ и DevOps

• Включите OpenVPN и L2TP для мобильных устройств, управление ключами для разработчиков и подключение RADIUS для унифицированной аутентификации.

Раздел 8 — Мониторинг, резервное копирование и техническое обслуживание

Простые инструкции по ежедневному техническому обслуживанию:

sudo cp -r /usr/local/vpnserver/ /root/backup/vpnserver-$(date +%F).tar.gz

sudo systemctl status vpnserver
sudo journalctl -u vpnserver -f

Журналы SoftEther уже в пути. /usr/local/vpnserver/ находятся; используйте rsyslog или Filebeat для отправки на центральный сервер журналов.

Заключение

Настройка SoftEther на Ubuntu 22.04/20.04 проста, но требует учета некоторых аспектов сети и безопасности. Используя SecureNAT или Local Bridge, включив OpenVPN/L2TP/SSTP и применив правила брандмауэра и NAT, вы можете создать безопасный и быстрый VPN для торговли, игр и приложений удаленного доступа. Для ресурсоемких криптографических задач выберите сервер с поддержкой... AES-NI И правильное местоположение очень важно.

Сопутствующие услуги и возможности

Если вам нужен VPS или облачный сервер с несколькими локациями, графический сервер (GPU), сервер с защитой от DDoS-атак или специальные тарифные планы для торговли и игр, вы можете использовать стандартные параметры компании для выбора местоположения и его настройки. Техническая команда предлагает возможность настройки SoftEther, Local Bridge, конфигурации брандмауэра и оптимизации пинга.

Часто задаваемые вопросы