OpenVPN: что это, чем OpenVPN Connect отличается от OpenVPN GUI и почему в России он не подключается
OpenVPN — старейший открытый VPN-протокол. OpenVPN Connect — его официальное бесплатное приложение, OpenVPN GUI — клиент для Windows. Своих серверов у них нет. В России OpenVPN массово блокируют с августа 2023 года: его распознают даже на другом порту.
На этой странице
OpenVPN — ветеран среди VPN: первая версия вышла в 2001 году, и долгое время именно его считали стандартом надёжного VPN. На нём до сих пор работают корпоративные сети, роутеры и многие VPN-сервисы по всему миру. Но в России у OpenVPN та же беда, что у WireGuard: его научились узнавать и обрывать. Ниже — что такое OpenVPN и его приложения, где их скачать, что лежит в файле .ovpn и почему подключение из России к зарубежному серверу почти всегда заканчивается ошибкой.
Что такое OpenVPN простыми словами
- Протокол и программа. OpenVPN — это и способ шифровать трафик, и бесплатная программа с открытым кодом под лицензией GPLv2. Автор — Джеймс Йонан, первая версия вышла 13 мая 2001 года.
- Шифрование на TLS. OpenVPN использует библиотеку OpenSSL и протокол TLS — те же технологии, что защищают сайты по HTTPS. Для входа — сертификаты и ключи, иногда ещё логин и пароль.
- UDP или TCP. Работает и так, и так. Официальный порт — 1194, но владелец сервера может выбрать любой.
- Везде. Windows, macOS, Linux, BSD, Android, iPhone, многие роутеры.
- Своих серверов нет. Приложения OpenVPN никуда не подключают сами — нужен файл конфигурации от сервера.
OpenVPN Connect, OpenVPN GUI и Community: в чём разница
Под словом «OpenVPN» скрывается несколько программ. Путаются в них постоянно, хотя для пользователя разница небольшая: все они открывают один и тот же файл .ovpn.
| OpenVPN Connect | OpenVPN Community и OpenVPN GUI | Access Server и CloudConnexa | |
|---|---|---|---|
| Что это | Официальное приложение-клиент компании OpenVPN Inc. | Бесплатная версия с открытым кодом; для Windows в установщик входит клиент OpenVPN GUI и системная служба | Платные решения для компаний: свой VPN-сервер с веб-панелью или облачный сервис |
| Устройства | Windows 10 и 11, macOS, Linux, iPhone, Android, ChromeOS | Установщик для Windows 10 и новее, исходный код для остальных систем | Серверная часть; пользователи подключаются через OpenVPN Connect |
| Как подключиться | Загрузить файл .ovpn или ввести адрес сервера от администратора | Импортировать файл .ovpn в OpenVPN GUI и подключиться | Профиль выдаёт администратор компании |
| С какими серверами | С любыми совместимыми с OpenVPN, не только с серверами компании | С любыми совместимыми | Свои серверы компании |
| Цена | Бесплатно | Бесплатно | Платно для бизнеса |
Коротко: если нужен просто клиент на телефон или компьютер — ставьте OpenVPN Connect. OpenVPN GUI выбирают те, кто привык к классической версии на Windows или поднимает свой сервер на OpenVPN Community.
Где скачать OpenVPN
Официальный сайт — openvpn.net. Сборки и исходный код — на GitHub в проекте OpenVPN/openvpn. В магазинах приложений много программ со словом «OpenVPN» в названии от других разработчиков — это не официальные клиенты, а чаще всего отдельные VPN-сервисы.
| Устройство | Что ставить | Откуда |
|---|---|---|
| Windows | OpenVPN Connect или OpenVPN Community с OpenVPN GUI | openvpn.net/client, Microsoft Store или openvpn.net/community |
| Mac | OpenVPN Connect | openvpn.net/client |
| iPhone и iPad | OpenVPN Connect | App Store, в том числе российский |
| Android | OpenVPN Connect | Google Play |
| Linux | OpenVPN из репозитория дистрибутива или OpenVPN Connect | Пакетный менеджер, openvpn.net/client |
| Роутеры | Встроенный клиент OpenVPN | В настройках роутера, если он поддерживает OpenVPN |
Файл конфигурации OpenVPN (.ovpn): что внутри
Чтобы подключиться, нужен файл конфигурации — обычно с расширением .ovpn, на Linux бывает .conf. Это обычный текстовый файл, его можно открыть блокнотом. По образцу из официального репозитория OpenVPN, главное в нём:
- client — это настройки клиента, часть параметров он получит от сервера.
- dev tun — тип виртуального сетевого адаптера.
- proto udp или proto tcp — как идут данные; должно совпадать с сервером.
- remote адрес порт — адрес сервера и порт, например 1194. Строк remote может быть несколько — тогда клиент перебирает серверы.
- ca, cert, key — сертификат центра, сертификат и закрытый ключ клиента. Часто они вшиты прямо в файл между тегами <ca>, <cert>, <key>.
- tls-auth или tls-crypt — дополнительный общий ключ, если его требует сервер.
Файл создаёт владелец сервера и передаёт вам. Закрытый ключ внутри — как пароль: у кого файл, тот и подключается. Поэтому «бесплатные конфиги OpenVPN» из интернета — это всегда чужие серверы: их владелец видит, куда вы ходите, и может выключить сервер в любой момент.
UDP или TCP и какие порты нужны
Официальный порт OpenVPN, закреплённый в реестре IANA, — 1194. На практике владелец сервера выбирает порт сам, а протокол в клиенте должен совпадать с серверным, иначе соединения не будет.
- UDP обычно быстрее и даёт меньшую задержку — это вариант по умолчанию в образце конфигурации.
- TCP медленнее, особенно на плохой связи, зато его иногда пропускают сети, где UDP закрыт.
В России ни порт, ни выбор TCP от блокировки не спасают — об этом ниже.
Почему OpenVPN не подключается в России
Что происходило
- 7 августа 2023 года началась массовая блокировка OpenVPN и WireGuard. VPN-сервисы подтверждали блокировку OpenVPN, IKEv2 и WireGuard, сбои были у МТС, «Билайна», «МегаФона», Yota, Tele2 и домашних провайдеров. По оценке специалистов, трафик распознавали и обрывали системы ТСПУ, установленные у операторов.
- Ноябрь 2023 года — «Коммерсант» сообщил о перечне Роскомнадзора из 49 сервисов и протоколов, которые блокируются через ТСПУ. OpenVPN в нём назван вместе с WireGuard и Shadowsocks.
Почему OpenVPN так легко распознать
OpenVPN создавали для надёжного шифрования, а не для маскировки, и у его соединений есть устойчивые приметы. В 2022 году исследователи из Мичиганского и Аризонского университетов показали это на конференции USENIX Security: по характерным байтам, размерам пакетов и ответам сервера они распознавали больше 85% соединений OpenVPN у провайдера с миллионом абонентов почти без ложных срабатываний. Из 41 «замаскированной» конфигурации коммерческих VPN им удалось опознать 34. Вывод авторов: заблокировать OpenVPN, даже с большинством нынешних способов маскировки, под силу любому оператору связи.
Поэтому смена порта на 443, переход на TCP или «обфусцированные» сборки в России обычно не помогают — распознают не номер порта, а поведение соединения.
OpenVPN не подключается: блокировка или ошибка в настройках
| Что видите | Скорее всего | Что делать |
|---|---|---|
| В журнале «TLS key negotiation failed to occur within 60 seconds» | Клиент не дождался ответа сервера: по умолчанию OpenVPN ждёт завершения TLS-рукопожатия 60 секунд. Сервер недоступен, порт закрыт или соединение режут по дороге | Сервер за рубежом, вы в России — почти наверняка блокировка. Иначе — проверить адрес, порт и протокол в строке remote |
| «AUTH_FAILED» | Сервер отклонил логин и пароль или сертификат | Проверить данные для входа у того, кто выдал файл |
| Подключилось, но сайты не открываются | DNS или маршруты не настроены на сервере | Вопрос к владельцу сервера |
| Работает на одном интернете, на другом нет | Ограничения у оператора или провайдера | Проверить на другой сети; если сервер ваш — переходить на протокол с маскировкой |
| Не работает только при включённом втором VPN | Два VPN мешают друг другу | Оставить один: Какое у меня VPN-приложение и не включён ли второй VPN |
OpenVPN на роутере
Многие роутеры умеют подключаться к серверу OpenVPN сами — тогда через VPN идёт всё, что подключено к домашнему Wi-Fi. Для этого в настройки роутера загружают тот же файл .ovpn. Ограничение то же: если сервер за рубежом, а роутер в России, соединение по OpenVPN, скорее всего, заблокируют. Если у вас VPN на роутере и хочется пользоваться VPN ещё и на телефоне — У меня VPN на роутере — можно ли вместе с Демьянычем.
Стоит ли покупать OpenVPN
Сама программа бесплатна; платные у OpenVPN Inc. только решения для компаний. Когда предлагают «купить OpenVPN» или «подписку OpenVPN», продают доступ к чужому серверу с файлом .ovpn. Для подключения из России к зарубежному серверу это плохое вложение: блокируется сам протокол. OpenVPN остаётся хорошим выбором там, где его не режут, — например, для доступа к рабочей сети или за границей.
Чем заменить OpenVPN в России
Для России сервисы и владельцы своих серверов перешли на протоколы, которые прячут соединение: AmneziaWG — WireGuard с изменёнными пакетами; VLESS с Reality и Hysteria2 — соединение выглядит как обычный зашифрованный веб-трафик. Как они устроены и чем отличаются от OpenVPN — Протоколы VPN: сравнение и что работает в России.
Если свой сервер не нужен, а нужен VPN, который просто работает, — Демьяныч как раз на VLESS с Reality, у sing-box общий автовыбор между серверами. Файлы .ovpn и сертификаты не нужны: добавляете подписку в sing-box или Happ, и приложение само получает серверы и обновляет их. Серверы проверяются из обычных российских сетей каждые 2 минуты, заблокированный автоматика меняет на запасной. Российские сайты идут напрямую, банки и Госуслуги работают с включённым VPN. Как это устроено — Как это работает: включил и забыл; попробовать можно 3 дня бесплатно, без карты.
Частые вопросы
OpenVPN — это VPN-сервис?
Нет. OpenVPN — протокол и бесплатная программа с открытым кодом. Серверов у неё нет: чтобы подключиться, нужен файл конфигурации .ovpn от своего сервера, от работодателя или от VPN-сервиса.
Чем OpenVPN Connect отличается от OpenVPN GUI?
OpenVPN Connect — официальное приложение компании OpenVPN Inc. для Windows, Mac, Linux, iPhone, Android и ChromeOS. OpenVPN GUI — клиент для Windows, который входит в бесплатную версию OpenVPN Community. Оба подключаются по файлу .ovpn к любому совместимому серверу.
Где скачать OpenVPN на компьютер?
OpenVPN Connect — на openvpn.net в разделе Client или в Microsoft Store. Бесплатную версию с OpenVPN GUI — на openvpn.net/community: установщик для Windows 10 и новее. Исходный код и релизы — на GitHub в проекте OpenVPN/openvpn.
Почему OpenVPN не подключается в России?
С 7 августа 2023 года в России шли массовые блокировки OpenVPN и WireGuard, а в ноябре 2023 года OpenVPN, по данным «Коммерсанта», вошёл в перечень протоколов, которые Роскомнадзор блокирует через ТСПУ. Исследователи показали, что соединения OpenVPN распознаются по содержимому пакетов, даже со сменой порта и маскировкой.
Какой порт у OpenVPN — UDP или TCP?
Официальный порт OpenVPN — 1194, работает он и по UDP, и по TCP. Протокол и порт задаёт владелец сервера, в клиенте они должны совпадать с сервером. UDP обычно быстрее, по TCP можно подключиться там, где UDP не пропускают.
Где взять бесплатные серверы для OpenVPN?
Бесплатные конфигурации из интернета — это чужие серверы: их владелец видит, куда вы ходите, и может выключить сервер когда угодно. А если сервер за рубежом, из России подключение по OpenVPN, скорее всего, заблокируют.