Настройка IKEv2 VPN сервера: пошаговое руководство для России

Введение

IKEv2 (Internet Key Exchange version 2) — один из самых надёжных и быстрых протоколов VPN, который отлично подходит для мобильных устройств благодаря способности быстро восстанавливать соединение при смене сети. В условиях российских интернет-ограничений самостоятельная настройка IKEv2 сервера позволяет сохранить контроль над данными и обходить блокировки без зависимости от сторонних сервисов. В этой статье мы рассмотрим полный процесс установки и настройки IKEv2 сервера на базе Linux с использованием StrongSwan, а также подключение клиентов Windows, macOS, iOS и Android.

Подготовка сервера

Для начала вам потребуется сервер с установленной ОС Linux (рекомендуется Ubuntu 22.04 LTS или Debian 11/12). Желательно иметь статический IP-адрес и доменное имя, хотя IP тоже подойдёт. Основные шаги подготовки:

1. Обновите систему: sudo apt update && sudo apt upgrade -y
2. Настройте имя хоста (hostname) и убедитесь, что DNS резолвится корректно.
3. Откройте порты в брандмауэре: 500/udp (ISAKMP), 4500/udp (IPsec NAT-T). Если используете ufw: sudo ufw allow 500,4500/udp
4. Настройте forwarding IP: sudo sysctl -w net.ipv4.ip_forward=1 и сделайте правило постоянным в /etc/sysctl.conf.

Также вам потребуется сертификат для аутентификации. Можно использовать самоподписанный сертификат (для тестирования) или выпущенный Let's Encrypt (для продакшена). В этой статье будем использовать самоподписанный с помощью OpenSSL.

Установка и настройка StrongSwan

StrongSwan — это полнофункциональная реализация IPsec для Linux. Установка проста:

sudo apt install strongswan strongswan-pki libcharon-extra-plugins -y

Далее создадим корневой сертификат CA и сертификат сервера:

# Генерация CA ключа и сертификата
pki --gen --type rsa --size 4096 --outform pem > ca-key.pem
pki --self --ca --lifetime 3650 --in ca-key.pem --dn "CN=IKEv2 VPN CA" --outform pem > ca-cert.pem

# Генерация серверного ключа и сертификата
pki --gen --type rsa --size 2048 --outform pem > server-key.pem
pki --pub --in server-key.pem | pki --issue --lifetime 1825 --cacert ca-cert.pem --cakey ca-key.pem --dn "CN=<ваш-сервер-IP>" --san <ваш-сервер-IP> --flag serverAuth --flag ikeIntermediate --outform pem > server-cert.pem

Замените <ваш-сервер-IP> на фактический IP или домен. Скопируйте сертификаты в нужные каталоги:

sudo cp ca-cert.pem /etc/ipsec.d/cacerts/
sudo cp server-cert.pem /etc/ipsec.d/certs/
sudo cp server-key.pem /etc/ipsec.d/private/

Теперь отредактируем конфигурацию StrongSwan (/etc/ipsec.conf):

config setup
    charondebug="ike 2, knl 2, cfg 2"
    uniqueids=no

conn ikev2-vpn
    auto=add
    compress=no
    type=tunnel
    keyexchange=ikev2
    fragmentation=yes
    forceencaps=yes
    ike=aes256-sha256-modp2048,3des-sha1-modp1024!
    esp=aes256-sha256,3des-sha1!
    dpdaction=clear
    dpddelay=300s
    rekey=no
    left=%any
    leftid=@<ваш-сервер-IP>
    leftcert=server-cert.pem
    leftsendcert=always
    leftsubnet=0.0.0.0/0
    right=%any
    rightid=%any
    rightauth=eap-mschapv2
    rightsourceip=10.10.10.0/24
    rightdns=8.8.8.8,1.1.1.1
    rightsendcert=never
    eap_identity=%identity

Укажите в leftid свой IP или домен. Теперь задаём секреты в /etc/ipsec.secrets:

: RSA server-key.pem
 : EAP ""

Замените и на реальные логин и пароль для клиента. Можно добавить несколько строк. Перезапустите StrongSwan:

sudo systemctl restart strongswan-starter

Настройка клиентов

Windows 10/11

Импортируйте корневой сертификат CA (ca-cert.pem) в хранилище «Доверенные корневые центры сертификации». Затем создайте новое VPN-подключение: Тип — IKEv2, адрес сервера — ваш IP/домен, тип аутентификации — EAP (Microsoft: Secured Password). Введите логин и пароль из ipsec.secrets.

macOS

Настройте подключение через «Системные настройки» → «Сеть» → «VPN» → «Добавить». Выберите тип IKEv2, укажите сервер и удалённый ID (IP или домен). В настройках аутентификации выберите «Запрос сертификата» и укажите путь к ca-cert.pem (или импортируйте его в связку ключей). Используйте имя пользователя и пароль.

iOS / iPadOS

Перейдите в «Настройки» → «Основные» → «VPN и управление устройством» → «Добавить конфигурацию VPN». Выберите тип IKEv2, укажите описание, сервер, удалённый ID. Включите «Отправить пакет данных». Сертификаты можно установить через почту или профиль MDM. При подключении введите учётные данные.

Android

Используйте встроенный клиент «IPSec IKEv2 VPN» (встроенный в Android 12+). Создайте профиль: сервер — IP/домен, тип IPSec — IKEv2, метод аутентификации — «Сертификат», выберите импортированный ca-cert.pem. Введите имя пользователя и пароль. Для старых версий можно установить приложение strongSwan VPN Client.

Тестирование и устранение неисправностей

Проверьте статус StrongSwan: sudo ipsec statusall. Если соединение не устанавливается, смотрите логи: sudo journalctl -u strongswan-starter -f. Типичные проблемы: неправильные сертификаты, закрытые порты, несовпадение ID. Убедитесь, что на клиенте правильно импортирован CA-сертификат. При использовании NAT (например, сервер за роутером) включите forceencaps=yes.

Заключение

Настройка собственного IKEv2 сервера — это надёжный способ защитить свой трафик и обойти блокировки. StrongSwan предоставляет гибкие возможности настройки, а протокол IKEv2 обеспечивает стабильное соединение даже при смене сетей. Следуя данному руководству, вы сможете развернуть полноценный VPN сервер за 30-60 минут.