Выбор софтового VPN сервера?

Question

[Андрей]

Стою перед выбором, надо выбрать софтовый VPN сервер для Centos8
ТЗ
- поддержка пользовательских устройств /android-ios/win/mac в идеале конечно без установки стороннего ПО
- поддержка vpn site-to-site ipsec
- если будет динамическая маршрутизация то +
- авторизация пользователей без качелей с сертификатами, по ключу

Answer 1

[Алексей Черемисин]

OpenVPN - других слов нет, и не будет.

-----
Давайте я немного разверну свой ответ. Каждый раз при очередной надобности в VPN, я пробую разные решения, начиная от PPTP и заканчивая WireGuard, не считая частнофирменных сисоц и всяких решений исключительног под всем известную операционную систему..
И так на протяжении лет 20-и.
За эти года построил сотни сетей и решений от простых на 10-20 клиентов, до серверов доступа на несколько тысяч.
У OpenVPN есть куча недостатков, у него нет нативных клиентов, но есть три очень больших преимущества:
1) Относительно высокая скорость работы
2) Очень быстрое поднятие, установка и отладка
3) Он работает везде, на любой платформе (да, я его поднимал даже очень экзотических системах типа OS-9), с любым MTU, на любых типах сетей, проходит все мыслимые и немыслимые NAT.
Итого: увы, на мой взгляд, лучшей альтернативы ему пока нет.

Comments

[Андрей]

а Strongswan?

[Денис Юрьев]

OpenVPN - других слов нет, и не будет.

Если вы других слов не знаете, то не значит что их нет

[Алексей Черемисин]

Денис Юрьев, Так что тогда словоблудить? Ответьте сами!

[Алексей Черемисин]

MoscowStyle, Давайте я немного разверну свой ответ. Каждый раз при очередной надобности в VPN, я пробую разные решения, начиная от PPTP и заканчивая WireGuard.
И так на протяжении лет 20-и.
За эти года построил сотни сетей и решений от простых на 10-20 клиентов, до серверов доступа на несколько тысяч.
У OpenVPN есть куча недостатков, у него нет нативных клиентов, но есть три очень больших преимущества:
1) Относительно высокая скорость работы
2) Очень быстрое поднятие, установка и отладка
3) Он работает везде, на любой платформе (да, я его поднимал даже очень экзотических системах типа OS-9), с любым MTU, на любых типах сетей, проходит все мыслимые и немыслимые NAT.
Итого: увы, на мой взгляд, лучшей альтернативы ему пока нет.

[fdroid]

2) Очень быстрое поднятие, установка и отладка

Всё, на этом преимущества этого хипстерского VPN-сервера закончились.

[Алексей Черемисин]

fdroid, Ну, у Вас же есть более лучшее предложение! Выскажите его. Наверняка у вас есть хорошее руководство по быстрому и неглюкавому L2TP и IPSEC? Ведь тольок это решение включено во все платформы...

[shurshur]

MoscowStyle, strongswan - это ходячий глюк. Его используют только там, где есть уже готовый VPN-сервер с ipsec и чаще всего как обёртка вокруг l2tp (который требует ещё более глючного xl2tpd). Когда нужно развернуть решение с нуля, это плохой выбор.

[fdroid]

Алексей Черемисин,

Наверняка у вас есть хорошее руководство по быстрому и неглюкавому L2TP и IPSEC

Это зависит от того на чём разворачивать сервер и кто клиенты. Да, есть руководства, наработки.

Ведь тольок это решение включено во все платформы...

Разумеется. Это признанный стандарт VPN.

[Алексей Черемисин]

fdroid, Если нетрудно, поделитесь с сообществом, оно алчет и руководства и наработок.

[Андрей]

shurshur, ваше предложение?

[Андрей]

fdroid, а вы бы что выбрали под мои условия?

[shurshur]

MoscowStyle, я поддержу openvpn. Неприятно ставить дополнительный софт, но оно того стоит.

[pfg21]

тогда такой вопрос: а что делать когда NAT и со стороны клиента (серый ip 100.*.*.* c PPoE от провайдера) и со стороны сервера (свой север в локалке, но за обычным роутером, максимум могу попросить пробросить порт) ??

[shurshur]

pfg21, openvpn может работать через проброшенный порт.

[fdroid]

Алексей Черемисин, например для Linux я использую этот скрипт https://github.com/hwdsl2/setup-ipsec-vpn, для микротиков собственную компиляцию из мануалов.

[fdroid]

MoscowStyle, L2TP IPSec. И кстати, если ещё есть возможность, откажитесь от CentOS 8, разработчик её похерил, если вы не в курсе, у 8 поддержка будет только до конца года.

Answer 2

[Сайпутдин Омаров]

Pfsense все коробке
L2tp для клиентов . Понимаю не центос.
Тогда по манам l2tp в центос и айписек

Answer 3

[Денис Юрьев]

L2TP/IPSec из коробки и в андроиде, и в маке, и в винде

Answer 4

[nejmatovich]

Pritunl, но там с сертами, серт с юзером генерится в один клик.
К серту прилагается пинкод/пасс

Answer 5

[didar kamiljanow]

ShadowSocks

Answer 6

[ValdikSS]

Под ваши требования подходит strongSwan, разве что.