О том, что мессенджер Telegram заблокирован на территории России, сейчас не говорит и не пишет только ленивый. Общее количество пользователей мессенджера в РФ по словам Павла Дурова составляет примерно 15 млн, что весьма немаленькая цифра. Если Telegram сделать недоступным, то все эти люди (то есть и мы с вами) будут недовольны. Собственно, они уже недовольны.

Но проблему можно решить. Например, есть возможность воспользоваться плагином для браузера со встроенным VPN. Ну а если хочется чего-то более интересного, то можно попробовать поднять собственный VPN-сервер.

Сделай это быстро


Один из способов был представлен в прошлом году. Для этого нужен набор скриптов Algo VPN, позволяющий настроить собственный сервер VPN за несколько минут на любом из облачных сервисов. Один из известных — DigitalOcean.

Для того, чтобы начать работу по созданию собственного сервера, необходимо зарегистрироваться в том же Digital Ocean (или каком-то еще сервисе) и начать запустить сервер настройки. Регистрация и настройка самого сервера выполняются последовательно, в несколько шагов:

  1. Создаем учетную запись на хостинг-провайдере DigitalOcean. Скрипт, о котором идет речь, поддерживает еще и Amazon EC2, Google Compute Engine, и Microsoft Azure.
  2. Загружаем скрипты на локальный ПК.
  3. Устанавливаем зависимости с командной строкой. Для этого необходимо открыть треминал и начать работу с интерпретатором pythoon, который используется для развертывания Algo.

Кстати, интерпретатор должен быть второй версии. Для начала работы нужно выполнить следующие действия:

Для macOS:

$ python -m ensurepip --user
	$ python -m pip install --user --upgrade virtualenv

Для Linux (deb-based):

$ sudo apt-get update && sudo apt-get install 	build-essential 	libssl-dev 	libffi-dev 	python-dev 	python-pip 	python-setuptools \

4. Устанавливаем зависимости Algo для собственной ОС. Здесь просто выполняем команду следующего вида:

$ python -m virtualenv env && source env/bin/activate && python -m pip install -r requirements.txt

5. Указываем пользователей, которых хотим создать, для чего нужно открыть config.cfg и указать пользователей в списке users.

6. В директории Algo запускаем ./Algo и следуем инструкциям. Здесь есть несколько дополнительных фунцкций, обписание котороых можно прочиттать в файле ROLES.md на Github.

Если нужна более подробная инструкция, то найти ее можно вот по этому адресу.

Если нет желания возиться со всем этим, существует еще более простой способ, состоящий из трех этапов:

  • Регистрируемся на DigitalOcean;
  • Заходим по этой ссылке и логинимся посредством DigitalOcean;
  • Наслаждаемся работой скрипта, который собирает дроплет с VPN, а после установки предоставляет необходимые настройки.

Вообще говоря, сейчас Роскомнадзор блокирует все и вся, так что сложно понять, что из VPN будет работать в ближайшее время, а что нет. Но без обхода блокировки вряд ли можно спокойно жить, если мессенджер, которым все привыкли пользоваться, вдруг перестанет работать.

В числе прочих методов можно также использовать расширения для браузеров. О работе одного из них — Ninja, на днях рассказывалось на Хабрахабре. В этом расширении есть все необходимое для преодоления блокировки, включая возможность работы по протоколу SOCK S5.

Telegram был добавлен в функционал расширения недавно, но все работает, проверено. Разработчики обещают совершенствовать и улучшать «ниндзю». Если есть предложения, критика, пожелание, то к разработчикам можно обратиться в канале iNinja в том же Telegram (у вас он, кстати, продолжает работать?).

Все мы люди, и начальники Роскомнадзора — тоже


Несмотря на то, что всех заставляет блокировать Telegram Роскомнадзор, его представители без труда используют заблокированный и запрещенный мессенджер. Пример — И.О. начальника отдела мониторинга РКН Минаков Владислав Алексеевич (на момент написания материала был в Telegram около двух часов назад).



Чиновник не просто обходит блокировку, а настраивает прокси-сервер, что строжайше запрещено обычным смертным. Более того, Роскомнадзор обещал крестный ход в отношении прокси-серверов и VPN. Но высокопоставленные чиновники ведомства считают, что все хорошо.



Как бы там ни было, в том же Китае Telegram заблокирован уже давно. Но китайцы без проблем обходят ограничения. Более того, без всяких VPN мессенджер продолжает работать, хотя и только в текстовом режиме — картинки не загружаются. Раньше все это воспринималось, как дикость, а сейчас уже — данность, реалии сегодняшнего дня. Жаль, что все это приходится видеть и с этим работать.

Комментарии (86)


  1. REPISOT
    17.04.2018 06:03

    обещал крестный ход в отношении прокси-серверов

    Воу-воу-воу. Полегче с религией. Это называется «крестовый поход».


    1. m1n7
      17.04.2018 09:06
      +1

      Судя по эффективности ркн, в статье всё правильно написано:)


  1. jehy
    17.04.2018 07:27

    Ну или можно поднять стандартный openvpn по одному из сотен руководств в интернете.

    Не знаю, насколько гибки представленные в статье решения, но openvpn позволяет гонять через него только нужный трафик, а не всё подряд.
    Ещё приятная фича впн — можно настроить его на домашней или рабочей точки и забыть про это.


    1. acmnu
      17.04.2018 11:37

      Не понятно что с энергопотреблением в случае мобилок.


      1. berezuev
        17.04.2018 13:03

        Могу сказать за iOS 11, особой разницы после перехода на постоянное VPN-подключение нет.


      1. jehy
        17.04.2018 19:37

        Там такое количество всякого добра крутится, что впн погоды уже не делает…


    1. and7ey
      17.04.2018 14:15

      Можно ли openVPN на бесплатном (на год) AWS инстансе развернут?

      А решение из статьи?


      1. tema_sun
        17.04.2018 16:06
        +2

        Учитывая баны миллионов амазоновских IP, я бы не стал там vpn поднимать.


  1. VolCh
    17.04.2018 07:56
    +2

    Офтоп:


    Не нравится в большинстве инструкций по поднятию VPN тоннелей, что почти ничего не говорится о настройке клиентов. И для людей, поднимающих VPN, чтобы обойти блокировку Телеграмма или получить доступ к офисной сети из дома, может оказаться сюрпризом, что весь трафик по умолчанию будет идти через VPN.


    Иногда это может приводить к технико-экономическим проблемам типа быстрого исчерпания месячного лимита трафик на тарифах VDS "свой сервер за 1$", а иногда к проблемам на работе вплоть до "маски-шоу" — "лечь на пол, руки за голову — с IP вашей организации раздается через запрещенный треккер запрещенное нелицензионное порно" или просто "корпоративный мониторинг показывает, что ты в рабочее время на фейсбуке сидишь — премии не будет"


    Люди же думают, что в инструкции "как обойти блокировку Телеграмма" содержатся действия которые позволят обойти блокировку именно Телеграмма, но больше ни на что не повлияют.


    1. usetester
      17.04.2018 09:37
      +1

      Люди, которые настолько не понимают, что такое VPN, вряд ли читают инструкции о самостоятельной настройке серверов.


      1. VolCh
        17.04.2018 13:46

        Читают :) Особенно с инструкциями не как из исходников собирать и с нуля конфиги написать, а как кнопопчку нажать или, на худой конец, скриптик запустить.


    1. antonn
      17.04.2018 15:57

      а иногда к проблемам на работе вплоть до «маски-шоу» — «лечь на пол, руки за голову — с IP вашей организации раздается через запрещенный треккер запрещенное нелицензионное порно» или просто «корпоративный мониторинг показывает, что ты в рабочее время на фейсбуке сидишь — премии не будет»

      Не понял как получить эти проблемы, если у человека поднят VPN и через «IP вашей организации» уходит шифрованный трафик, и «корпоративный мониторинг» не узнает что там за фейсбук у сотрудника по той же причине. Т.е. IP раздающий на трекере будет сервер VPN, разве нет?


      1. smilyfox
        17.04.2018 18:23

        Очевидно он с тором спутал


      1. VolCh
        18.04.2018 14:41

        Ну так а IP сервера VPN кому принадлежит? не, понятно, что провайдеру обычно, но провайдер на раз-два сообщит органам что в данный момент времени этот IP назначен вашей организации.


        1. antonn
          18.04.2018 14:46

          Кажется понял, вы про ситуацию, когда работник дома активирует VPN для удаленной работы на своем рабочем месте, потом включает торрент и торрент качает со шлюза предприятия, а не домашнего компьютера работника?
          Пользовался cisco any connect, подключался к сети на работу, при этом обращения к компам и серверам шли на работу, а торрент спокойно качал с моего компа, браузер шел в сеть с моего компа, а не через VPN. У циски это решение не VPN?


          1. VolCh
            18.04.2018 14:54

            Да, про эту. Большинство инструкций «VPN для чайников» молчат об этом. В вашем случае, скорее всего, на работе VPN-сервер настроили так, чтобы на клиент (на ваш комп) передавалась информация о том какие конкретно адреса нужно роутить на него. По умолчанию — все, насколько я знаю

            Если попался такой сервер (а это не редкость, как в «покупных», так и в поднятых в организациях своими силами), то можно локально свой комп настроить, чтобы только некоторые адреса/подсети/сети шли через впн.


    1. avas
      18.04.2018 04:41

      Может быть поможет — мы выпустили бесплатный продукт для поднятия, управления и мониторинга VPN — VeeamPN. Основная идея состояла в простоте разворачивания и управления. Вот небольшая инструкция как поднять его в Майкрософт Ажуре (англ.) и еще одна для самостоятельной устновки на Ubuntu (англ.)

      Продукт написан на основе OpenVPN. Поддерживаются как site-to-site так и point-to-site конфигурации. Простой и понятный Web UI.
      Будет приятно если кому-то поможет


  1. saag
    17.04.2018 08:00
    +1

    внедрение IPv6 может спасти отца русской демократии?


    1. DarkByte
      17.04.2018 08:38

      Спасёт, его наверное вообще никто не умеет блокировать. А для тех, у кого провайдер не умеет в ipv6 можно тоннель поднять — тот же прокси получится.


  1. sim-dev
    17.04.2018 08:13
    +1

    Только текстовый режим лично мною воспринимается, как безусловный плюс. А то народ уже разучился излагать мысли внятно без картиночек.


    1. LynXzp
      17.04.2018 16:15
      +4

      лайк
      Изв. Я вообще стараюсь на почту всех отправлять. Там люди учатся и мысли свои формулировать полностью.


    1. Crystal_HMR
      17.04.2018 18:03

      Больше скажу, мне многие говорят, что я извращенец, но мне очень нравится неофициальный telegram-cli. Он яркий, красочный и только текстовый. Воспринимаю это как плюс, единственная проблема у него с написанием очень длинных сообщений, ломается readline. Но при этом отправляется успешно.


  1. saag
    17.04.2018 08:41
    -1

    Кстати просьба, кто в РФ живет, протестируйте прогу Android IPv6Config, сработает она в условиях блокировок?


    1. akuzmin
      17.04.2018 11:41

      Ну так подключитесь через любой рос впн и протестируйте :)


  1. saag
    17.04.2018 09:28

    Это не реклама, сам тут проверил на паре ресурсов, на которые раньше либо впн либо тор использовал, но работает, так что если кому надо пользуйтесь


  1. dedmazzay
    17.04.2018 10:01

    С мохнатых годов сижу за VPN. Даже сайт про это сделал: allvpn.org


    Вот, например, неплохой сервис, который даёт 10 гигов в месяц бесплатно:
    https://allvpn.org/services/windscribe


  1. PSyton
    17.04.2018 10:25

    По мне, VPN — слишком универсальное решение, у которого есть свои минусы, для обхода блокировок больше подходит shadowsocks (особенно на мобильных девайсах). Из плюсов — можно избирательно включать его для разных приложений, направляя остальной трафик как обычно.
    Но здаесь нужно понимать что shadowsocks не создан для защиты конфиденциальности и анонимности пользователя. Соответственно, если VPN-сервисы шифруют весь трафик (пока включены, разумеется), то при использовании shadowsocks пакеты данных остаются без шифрования. Это сделано специально, чтобы ваши данные были больше похожи на обычный HTTPS-трафик и не вызывали подозрений.


  1. selivanov_pavel
    17.04.2018 10:43

    Сделал тут настройку socks для совсем ленивых: https://selivan.github.io/socks


    curl https://selivan.github.io/socks.txt | sudo bash


    Работает на Ubuntu Xenial и Bionic.


    1. allnightlong
      17.04.2018 11:07
      +2

      Friends don’t let friends Curl | Bash
      sysdig.com/blog/friends-dont-let-friends-curl-bash


      1. selivanov_pavel
        17.04.2018 11:28

        Это предназначено для использования на виртуалке/контейнере, который используется только для этой цели и не жалко выбросить. Понятно, что ставить что-либо таким образом на сервер, где крутится что-нибудь важное, не стоит. Ну и никто не мешает прочитать скрипт перед установкой.


        1. brickerino
          17.04.2018 14:49

          >Ну и никто не мешает прочитать скрипт перед установкой.

          echo «test… test… test...» | perl -e '$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/" -;;s;;$_;see'


          1. selivanov_pavel
            17.04.2018 23:56

            Мой всё-таки немного проще :) Я понимаю все минусы такого подхода, но как решение задачи "завести где-нибудь на лишнем хосте socks за 5 секунд" он ИМХО вполне оправдан.


  1. AbstractGaze
    17.04.2018 11:25

    Гм, просто поставил использовать ipv6 и все снова заработало.


  1. yul
    17.04.2018 11:54

    А у Digital Ocean своя инфраструктура, или он на Амазоне хостится? Впрочем, в любой случае, никто не может дать гарантии, что завтра телеграм не воспользуется их услугами и их адреса не добавят в чёрный список. Особенно весело будет, если при этом пропадёт возможность зайти в консоль и выключить сервер. А если ещё и почта отвалится…


    1. Yeah
      17.04.2018 13:02

      Ну поднимешь VPN, чтобы через VPN зайти на VPN и потушить VPN



  1. berezuev
    17.04.2018 13:13
    +3

    В 2018-м году уже пора бы на контейнеры переходить и не усложнять себе жизнь.

    export OVPN_DATA="ovpn-data-openvpn" #вместо openvpn можно писать что угодно, строчными латинскими буквами
    docker volume create --name $OVPN_DATA 
    
    docker run -v $OVPN_DATA:/etc/openvpn --rm kylemanna/openvpn ovpn_genconfig -u udp://VPN.SERVERNAME.COM #адрес заменяем на свой
    
    docker run -v $OVPN_DATA:/etc/openvpn --rm -it kylemanna/openvpn ovpn_initpki #создаем ключи и сертификаты. Попросит придумать пароль
    
    docker run -v $OVPN_DATA:/etc/openvpn -d -p 1194:1194/udp --cap-add=NET_ADMIN kylemanna/openvpn #собственно, запуск сервера
    
    docker run -v $OVPN_DATA:/etc/openvpn --rm -it kylemanna/openvpn easyrsa build-client-full CLIENTNAME nopass #создаем клиента. CLIENTNAME меняем
    
    docker run -v $OVPN_DATA:/etc/openvpn --rm kylemanna/openvpn ovpn_getclient CLIENTNAME > CLIENTNAME.ovpn #генерируем ovpn файл для клиента
    


    После чего ставим себе, маме, папе, бабушке, жене и прочим доверенным лицам на телефон клиент openvpn и скачиваем на телефон *.ovpn файл (можно даже по почте).

    Команд в баше чуть больше придется ввести, но на деле ничего сложного нету.


    1. Yeah
      17.04.2018 14:58

      Ну тогда уж https://github.com/kylemanna/docker-openvpn/blob/master/docs/docker-compose.md


      А то отдельные докер команды — некомильфо


      1. berezuev
        17.04.2018 18:59

        А какая разница, те же самые команды, только вместо docker run здесь docker-compose run -rm


  1. MrBinWin
    17.04.2018 14:11

    Пустой дроплет на DigitalOcean с Ubuntu 16.04:

    sudo apt-get install pptpd
    sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE && iptables-save
    sudo iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS  --clamp-mss-to-pmtu
    
    sudo nano /etc/ppp/chap-secrets
    >>> box1 pptpd passwordhere *
    >>> box2 pptpd passwordhere *
    
    sudo nano /etc/ppp/pptpd-options
    >>> ms-dns 8.8.8.8
    >>> ms-dns 8.8.4.4
    
    sudo nano /etc/pptpd.conf
    >>> localip 10.0.0.1
    >>> remoteip 10.0.0.100-200
    
    sudo nano /etc/sysctl.conf
    >>> net.ipv4.ip_forward = 1
    
    sudo sysctl -p
    sudo service pptpd restart
    


    Охапка дров, VPN готов!


    1. tema_sun
      17.04.2018 16:17
      +2

      Бессмысленный комментарий. Тот кто понимает, что в нем написано, в нем не нуждается. А тому кто не понимает, он никак не поможет.


      1. MrBinWin
        17.04.2018 18:29

        Я не понимаю, что в нём написано, но для меня полезно, т.к. сегодня поднял за 10 минут именно так.


    1. bougakov
      17.04.2018 17:02

      pptpd — плохо, особенно для мобильных. Очень медленно переподключается при скачках между 3G и WiFi, бесит пользователей. IKEv2 же заточен под этот сценарий.


      1. mxms
        18.04.2018 00:08

        IKEv2 блокируется по стандартным портам быстро и тотально. Местами уже давно.


        1. bougakov
          18.04.2018 01:08

          странно — моим успешно пользовались даже из-за Великого Китайского Файерволла


          1. mxms
            18.04.2018 01:10

            Видимо, в Китае IKEv2 крайне малопопулярен т.к. у меня он там тоже работал.


  1. and7ey
    17.04.2018 14:13

    Вам еще в прошлой статье написали, что ваш канал — он не для обращения к разработчикам, т.к. туда писать можете только вы.

    Если есть предложения, критика, пожелание, то к разработчикам можно обратиться в канале iNinja в том же Telegram (у вас он, кстати, продолжает работать?).


    1. KingServers
      17.04.2018 15:17

      Сделали канал поддержки
      t.me/joinchat/BpOZHxKWYtLG3fxv5qIVHA


  1. j_wayne
    17.04.2018 14:20

    Как раз вчера Algo VPN попробовал. Сервер деплоится на ура.
    На ios сработало, linux mint 17 имеет проблемы с network-manager-snowspan, чуда не произошло. Пробовал из исходников собрать, тоже не вышло. Руки вообще-то тоже кривые, что есть то есть.


  1. uoziod
    17.04.2018 15:21

    5 кликов мышкой, 3 евро в месяц. www.scaleway.com/imagehub/openvpn


  1. zim32
    17.04.2018 15:25

    Решение временное. Скоро заблокируют VPN.


    1. uoziod
      17.04.2018 15:27

      Перед этим ещё повыносимся от корневых сертификатов


    1. mxms
      18.04.2018 00:15

      Чё-то тратящий ярд баксов в год Китай с этим не сильно преуспел. Вы полагаете наши долбодятлы справятся?


      1. zim32
        18.04.2018 07:50

        Ну и где ж не преуспели? Почти все население использует местный подконтрольный вичат.


        1. mxms
          18.04.2018 09:36

          И ровно там же все желающие сидят в Whatsapp и Facebook


    1. Lennonenko
      18.04.2018 00:25

      как вы предлагаете это делать?
      а как быть географически распределённым компаниям, использующим VPN для объединения офисов?
      или предоставляющим удалённым сотрудникам доступ к локальной сети?


      1. zim32
        18.04.2018 07:48

        Ну компании будут получать лицензию. Это все мелкие детали которые не способеы остановить могучее желание контроля


        1. Lennonenko
          18.04.2018 10:44

          ну то есть админресурс, понятно
          а как контролировать-то? как отличать легитимный зашифрованный трафик за пределы страны от VPN?


          1. zim32
            18.04.2018 11:54

            Могу сказать что 90% хомячков будут юзать то что им будет проще без всяких впн и прочего. А остальные 10% подтянуться за ними, т.к. не будете же вы использовать месенджер в котором два человека сидит из всех ваших знакомых? Поэтому это просто вопрос времени.

            А по поводу трафика. Есть способы. Попробуйте под европейским айпи торрент покачать.


            1. Lennonenko
              18.04.2018 12:37

              Могу сказать что 90% хомячков будут юзать то что им будет проще без всяких впн и прочего

              90% хомячков юзают ватсап и вайбер

              не будете же вы использовать месенджер в котором два человека сидит из всех ваших знакомых?

              мои контакты в большинстве осиливают в впн, поэтому лично мне ничего не грозит

              А по поводу трафика. Есть способы. Попробуйте под европейским айпи торрент покачать

              на хецнере качаю постоянно, ничего не происходит
              но речь не об этом — как вы отличите VPN-трафик от обычного https, если он зарулен на 443-й порт, например? есть, конечно, методы анализа, но они дороги и ненадёжны
              даже великий китайский файрволл течёт, хотя туда уйма бабла вбухана и весь трансграничный трафик проходит через гэбистские сервера с DPI


              1. zim32
                18.04.2018 13:52

                Очень просто. Весь ваш траф идет на один айпи. Значит это впн. Заворачивать роутинг это уже не для хомячков.


                1. Lennonenko
                  18.04.2018 21:03

                  одного подкованного достаточно для овпнивания кучи неподкованных
                  у меня и сейчас часть трафика через валдиковскую проксю идёт, если вдруг его прикроют, я смогу и сам такую настроить и, опять же, знакомым раздать


                1. Vilgelm
                  19.04.2018 07:40

                  Самое простое что приходит на ум: по VPN на устройство. Для телефона один, для планшета другой, для ноутбука третий, для компьютера четвертый. И вот трафик уже идет не на один айпи.


    1. Vilgelm
      19.04.2018 07:39

      Заблокировать VPN можно только внеся в реестр 0.0.0.0/0 и завести белый список или резать вообще весь шифрованный трафик (хотя в таком случае можно обмениваться картинками в стиле хаброинвайтов, просто это будет медленно или использовать решения вида VPNoverICMP или VPNoverDNS). В иных случаях есть виды VPN которые ничем не отличаются от обычного SSL.
      Решения по типу китайского фаервола достаточно дороги (а в России, где пару скриптов на bash (это я про Ревизор) стоят 80 млн это будет невероятно дорого) и не на 100% эффективны.


      1. zim32
        19.04.2018 08:12

        Поэтому они выпустят закон, запещающий впн. И будут выборочно устраивать порку. И вот тогда вы полумаете использовать впн и получить штраф и административку или сидетть себе тихонько в гос. мессенджере.


        1. Vilgelm
          19.04.2018 09:01

          Тогда я скорее всего подумаю о переезде в место, где такого маразма нет, даже если это место Казахстан. Т.к. такое банально лишит меня заработка


  1. bougakov
    17.04.2018 17:00

    Algo VPN — круто, но не очень хорошо — надо пользователям ставить сертификаты.
    Лучше обойтись сертификатом Let's encrypt. У меня работает такая конфигурация, раздаю пароли VPN куче друзей-знакомых, авторизуя их через Facebook.

    Сейчас закончу тестировать решение, которое позволяет скрестить Let's encrypt и Wildcard DNS, чтобы не надо было покупать домен — и накатаю статью.

    Моя конфигурация на сервере в Hetzner за 2.49 EUR показывает такие результаты:

    image

    никакому коммерческому VPN и не снилось, особенно — за такие деньги


    1. valery1707
      17.04.2018 21:03
      -1

      Я буду рад увидеть скрипт для настройки этого счастья.
      Возможно даже на github, для интеграции других способов авторизации?


    1. mxms
      18.04.2018 01:16

      Давайте. Возможно это поможет разобраться с Let's Encrypt wildcard certs быстрее.


    1. Fr3nzy
      18.04.2018 13:18

      А это вы через роутер или напрямую? У меня на данный момент дома Netgear R8000 и что на Hetzner, что на ExpressVPN он показывал макс 30мегабит/с с гигабитным интернетом. Вернее, это я думаю, что роутер виноват — не успел полностью протестировать вчера.


      1. bougakov
        18.04.2018 13:37

        это LTE Advanced МегаФона


    1. Ualde
      18.04.2018 14:23

      Решение тестирование прошло? А то статью хочется очень увидеть… :)


      1. bougakov
        18.04.2018 18:14

        с сервисом XIP.io вышел облом:

        There were too many requests of a given type :: Error creating new cert :: too many certificates already issued for: xip.io: see letsencrypt.org/docs/rate-limits


        а вот certbot certonly --standalone --agree-tos --email me@example.com -d N.N.N.N.sslip.io — сработало!

        — Congratulations! Your certificate and chain have been saved at:
        /etc/letsencrypt/live/N.N.N.N.sslip.io/fullchain.pem
        Your key file has been saved at:
        /etc/letsencrypt/live/N.N.N.N.sslip.io/privkey.pem
        Your cert will expire on 2018-07-17. To obtain a new or tweaked
        version of this certificate in the future, simply run certbot
        again. To non-interactively renew *all* of your certificates, run
        «certbot renew»


        то есть SSL-сертификат на голый IP-адрес выписать МОЖНО, то есть можно организовать IPSec VPN без покупки домена, и не надо клиентам ставить сертификат, достаточно пары логин-пароль!


        1. mxms
          18.04.2018 19:31

          то есть SSL-сертификат на голый IP-адрес выписать МОЖНО

          Нельзя и уже относительно давно. Вы выписали таки на домен N.N.N.N.sslip.io и если зайдёте по IP то сертификат будет невалиден. Посмотрите что у вас в самом полученном сертификате написано (Subject: и DNS:).


          1. bougakov
            19.04.2018 01:57

            пожалуйста, читайте сообщения целиком. Задача состояла в том, чтобы как-то заполучить SSL-сертификат Let's encrypt, не тратясь на домен. Конечно, есть no-ip, .tk и прочь., но wildcard DNS тупо проще.


            1. mxms
              19.04.2018 11:17

              У вас в предложение противоречие, потому что "получить сертификат на IP" и "получить сертификат на бесплатный домен" это две колоссальные разницы, на что и было указано.
              Вообще, если уж вам так хочется сэкономить доллар-два в год, то также можно прибегнуть к старому доброму afraid.org


              1. bougakov
                19.04.2018 13:23

                у меня есть домен, мне не жалко платить $10 за регистрацию и потом за renewal.

                Задача в том, чтобы придумать конфигурацию VPN с минимальной стоимостью владения и минимальной сложностью установки конечным пользователям. В идеале — EUR 2.49 Хетцнеру и ни копейкой больше.

                Решение — StrongSwan с IKEv2 и авторизацией по EAP — логин+пароль и сертификат от Let's Encrypt. Let's Encrypt на IP не выдаётся, поэтому и шли розыски самого простого wildcard DNS, не забаненного у LE.

                Afraid — плохо, там регистрироваться надо, лишний шаг. Wildcard DNS — проще.

                Ещё раз — вы докапываетесь к словам, не понимая задачи. Поверьте, я разбираюсь в функционировании CA и отличия IP от доменного имени.


  1. koot
    17.04.2018 22:56
    +1

    Лучший скрипт настройки это
    https://github.com/StreisandEffect/streisand/blob/master/README-ru.md


    1. bougakov
      17.04.2018 22:58

      IKEv2 они ниасилили, как вижу :( github.com/StreisandEffect/streisand/issues/1222


      1. koot
        18.04.2018 00:06

        Есть куча других протоколов которые работают из коробки более экзотичных


  1. koot
    18.04.2018 00:02

    Одна-единственная команда настраивает с нуля сервер под операционной системой Ubuntu 16.04 с большим набором ПО для противодействия цензуре, который может полностью скрыть и зашифровать весь ваш трафик.
    Стрейзанд поддерживает создание новых серверов в Amazon EC2, Azure, DigitalOcean, Google Compute Engine, Linode, и Rackspace. В скором времени ожидается поддержка также и других облачных хостеров. Стрейзанд также можно запускать на любом сервере с операционной системой Ubuntu 16.04 вне зависимости от хостера, и сотни серверов могут быть одновременно сконфигурированы с применением этого метода.
    Процесс полностью автоматизирован и занимает примерно десять минут, что довольно круто, учитывая что среднему системному администратору требуется несколько дней возни, для того, чтобы настроить малую часть того, что Стрейзанд предлагает "из коробки".
    После того, как ваш сервер Стрейзанд запущен, вы можете раздать инструкции по подключению друзьям, членам семьи и соратникам. Инструкции по подключению содержат в себе копию SSL-сертификата, уникального для каждого сервера, так что вам нужно послать им всего один файл.
    Каждый сервер полностью самодостаточен


  1. Lennonenko
    18.04.2018 00:16

    Чиновник не просто обходит блокировку, а настраивает прокси-сервер, что строжайше запрещено обычным смертным

    кем это запрещено, да ещё и строжайше?

    Более того, Роскомнадзор обещал крестный ход в отношении прокси-серверов и VPN

    нет, они обещали подумать, что можно сделать


  1. zim32
    18.04.2018 12:00

    Кстати не забывайте отключать торент трекер когда используете впн особенно европейский. У меня прилетела обуза от Digital Ocean на второй день.


    1. bougakov
      18.04.2018 14:52

      я собрал список основных трекеров, чтобы внести их в чёрный список dnsmasq: pastebin.com/0QjxWE50

      лучше полагаться не на сознательность пользователей…


    1. Vilgelm
      19.04.2018 07:44

      Что вы такое качаете? Качал на OVH, качал на online.net, ни одной абузы за несколько лет.


  1. Vilgelm
    19.04.2018 07:48

    Можно проще:

    wget https://git.io/vpn -O openvpn-install.sh && bash openvpn-install.sh