A VPN akkor hasznos, ha otthonától távol is hozzá szeretne férni az otthoni hálózat eszközeihez, például egy fájlszerverhez vagy hálózati tárhelyhez. Saját VPN-szerver beállításával olyan virtuális magánhálózatot hozhat létre, amelyhez csak az Ön által engedélyezett eszközök csatlakozhatnak. Így nem kell közvetlenül megnyitnia az otthoni szolgáltatásokat az internet felé.

A beállítás elsőre bonyolultnak tűnhet, hiszen szerveroldali konfigurációra, megfelelő hálózati elérésre és kliensbeállításokra is szükség van. A cikk bemutatja, mire jó a VPN, hogyan állíthatja be az otthoni vagy távoli hozzáférést, és miként exportálhatja az OpenVPN-konfigurációt a csatlakozó eszközre.

Végigvesszük a szükséges hálózati beállításokat, a porttovábbítást, valamint a kulcsok és tanúsítványok szerepét. Szó lesz arról is, hogyan választhat az OpenVPN és a WireGuard között, illetve mitől függ a kapcsolat sebessége. A lépések segítenek olyan hozzáférést kialakítani, amely illeszkedik az otthoni hálózathoz és a használati célhoz.

OpenVPN-konfigurációs fájl exportálása

1. Állítsa be a szerver elérhetőségét. Az OpenVPN-szerver konfigurációjában rögzítse a kívülről elérhető címet, a protokollt és a portot. A bemutatott példa UDP-t és az 50015-ös portot használja. A VPN-kliensek számára külön címtartományt adjon meg, ne az otthoni LAN hálózatát használja újra. Például a helyi hálózat címe 192.168.1.0/24 lehet.
2. Exportálja a kliensprofilt. A szerver kezelőfelületén vagy parancssori eszközével állítsa elő az OpenVPN-konfigurációs fájlt. Ez jellemzően az elérési címet, a portot, az átviteli protokollt és a tanúsítványadatokat tartalmazza. Ha külön tanúsítvány- vagy kulcsfájlokat is kap, mentse el őket a profil mellé. Kezelje bizalmasan az exportált adatokat, mert hozzáférést biztosíthatnak a VPN-hez.
3. Telepítse a klienst, majd importálja a profilt. Az OpenVPN-kliensben válassza az importálást, és nyissa meg az exportált fájlt. Androidon a bemutatott beállítás TUN interfészt használ, mert az adott kliens nem támogatja a TAP interfészt. Windows alatt kövesse az alkalmazás importálási lépéseit, majd adja meg a hitelesítési adatokat. A csatlakozó eszköznek internetelérésre is szüksége van.
4. Válasszon megfelelő routeres megoldást. Az előre konfigurált VPN-routerek kezelőfelülete leegyszerűsítheti a kliensprofil betöltését, de a beállítások eszközönként eltérhetnek. Ellenőrizze a router útválasztását, DNS-beállítását és azt, hogy mely eszközök forgalma haladjon át a VPN-en. A szerver telepítéséhez használt VPS-környezetet az VPS-szerveres infrastruktúra is biztosíthatja.
5. Védje és tartsa karban a hozzáférést. A saját VPN-szerver kockázatai közé tartozik a kliensprofil kiszivárgása, az elavult szoftver és a jogosulatlan hozzáférés. Tartsa naprakészen a szervert, korlátozza a hozzáférést, és vonja vissza a már nem használt kliensek hitelesítő adatait. Magyarországon csak olyan hálózathoz csatlakozzon VPN-en keresztül, amelyhez jogosultsága van, és tartsa be a szolgáltató szerződési feltételeit.
6. Ellenőrizze a kapcsolatot és a teljesítményt. Csatlakozás után hasonlítsa össze a külső IP-címet a VPN használata előtti címmel, majd végezzen DNS-szivárgási próbát. Windowsban a VPN-profilnál megjelenő „Csatlakoztatva” állapot jelzi a sikeres kapcsolatot. Az otthoni VPN sebességét főként a feltöltési sávszélesség és a Magyarországig vezető útvonal határozza meg. A titkosítás és a szerver terhelése szintén befolyásolja a késleltetést.

PPPoE passthrough esetén az internetkapcsolat működése a routerek beállításaitól függhet. A fórumválasz szerint a saját routert a Sagemcom ETH1 portjára csatlakoztatva, PPPoE passthrough-val a saját router hozhatja létre a PPPoE-kapcsolatot. PPPoE passthrough használatakor a set-top box a szolgáltatói router egyik LAN-portjához csatlakoztatva működhet a saját routertől függetlenül. Így a saját router internetkapcsolata és a set-top box csatlakozása külön úton valósulhat meg.

A szolgáltatói router közvetlen LAN-kapcsolattal általában elérhető, de a mögötte lévő routerből csak akkor, ha azon statikus útvonalat állít be, és a készülék ezt támogatja. Az ellenőrzés során külön vizsgálja a szolgáltatói router elérhetőségét, a routerben látható címet és a ping eredményét. Hasonlítsa össze a routerben látható címet egy külső ellenőrző oldalon megjelenő nyilvános IP-címmel. A router akkor is blokkolhatja a pingkéréseket, ha a szolgáltatói hálózat nem szűri azokat, ezért a sikertelen ping önmagában nem bizonyítja, hogy a szolgáltatói hálózat blokkolja a kéréseket.

Helyi hálózati vagy internetes VPN-hozzáférés

Otthonról a VPN-szerver a helyi hálózaton érhető el, távolról viszont az interneten keresztül kell kapcsolódni hozzá. Otthoni OpenVPN-szervernél továbbítsa a használt portot a szerver rögzített belső IP-címére, majd dinamikus DNS-sel rendeljen állandó nevet a változó nyilvános IP-címhez.

1. Döntse el, melyik hálózatot kell elérni. Ha csak a helyi hálózaton teszteli a VPN-t, használja a szerver belső címét és a kliens útvonalbeállításait. Távoli kapcsolathoz a router nyilvános címe vagy dinamikus DNS-neve szükséges. A VPN-kliensek címtartománya legyen különálló: a példa 192.168.2.0/24 hálózatot használ, míg az otthoni LAN címe 192.168.1.0/24.
2. Rögzítse a VPN-szerver belső IP-címét. Állítson be statikus címet a szerveren, a router DHCP-tartományán kívül. Ezt a címet adja meg a porttovábbítás céljaként. Ha a számítógép vagy a NAS címe újraindítás után megváltozik, a router rossz eszközre továbbíthatja a külső kéréseket, így a távoli kapcsolat nem épül fel.
3. Készítse el a porttovábbítási szabályt. OpenVPN-példában irányítsa az 1194-es UDP-portot a VPN-szerver rögzített LAN-címére. A szabályt azon a routeren állítsa be, amely közvetlenül fogadja az internetkapcsolatot. AP módban működő másodlagos router esetén a fő routeren is szükséges lehet a VPN-port megnyitása és továbbítása.
4. Vegye figyelembe a két router közötti útvonalat. Egy példában a szolgáltatói HGW címe 192.168.1.4, a TP-Link routeré pedig 192.168.1.250. Ha az OpenVPN-szerver a második router mögött fut, a külső kérésnek mindkét eszköz szabályain át kell jutnia. Ellenőrizze a tűzfalat is, mert a NAS vagy a router biztonsági szabályai kiszűrhetik az internet felől érkező kapcsolatot.
5. Állítson be dinamikus DNS-nevet. A routeren vagy a hálózaton futó frissítőprogrammal kapcsolja össze a választott nevet az aktuális nyilvános IP-címmel. Így az OpenVPN-kliensben akkor is használhatja a nevet, ha a szolgáltató új címet oszt ki. Az exportált profilban is erre a névre állítsa be a szervercímet.
6. Próbálja ki a külső elérést. Mobilinternetet használó számítógépről vagy telefonról csatlakozzon, ne ugyanarról a Wi-Fi-hálózatról. Külső portellenőrzővel vizsgálja meg az 1194-es UDP-port elérhetőségét, majd nézze meg a VPN-szerver naplóját. Sikeres kézfogás után tesztelje, hogy a kliens eléri-e a kívánt helyi címet.
7. Válassza ki, milyen forgalom haladjon át a VPN-en. Ha csak az otthoni fájlszervert vagy más helyi eszközt szeretné elérni, irányítsa a kliens forgalmát a szükséges LAN-címekre. Ha a teljes internetforgalmat is az otthoni kapcsolaton keresztül vezetné, az OpenVPN-konfigurációban a redirect-gateway def1 beállítás használható. Ilyenkor a teljes útvonal a szerver feltöltési sebességétől is függ.

A VPN célja és felhasználási esetei

1. Határozza meg, milyen eszközöket szeretne elérni. A VPN virtuális magánhálózat, amelyhez csak a kijelölt számítógépek csatlakozhatnak. Távoli hozzáférést adhat például egy otthoni szerverhez, hálózati tárhelyhez vagy nyomtatóhoz. Saját VPN-szerver beállítása akkor célszerű, ha biztonságos útvonalra van szüksége valamelyik saját hálózati erőforrás eléréséhez.
2. Válassza külön a távoli hozzáférést és a teljes forgalom átvezetését. Beállíthatja úgy a VPN-t, hogy csak az otthoni hálózat címei legyenek elérhetők. Másik lehetőségként az eszköz teljes internetforgalma is áthaladhat a VPN-alagúton. Ez minden alkalmazás adatforgalmát érintheti, ezért videóhívásnál vagy online játéknál a késleltetést is vegye figyelembe.
3. Használja távoli munkához a szükséges belső rendszerek elérésére. Home office-ban VPN-en keresztül elérheti a belső fájlszervert vagy egy adminisztrációs felületet. Ahelyett, hogy ezeket közvetlenül az interneten tenné hozzáférhetővé, korlátozhatja az elérést hitelesített VPN-kapcsolatra. A munkához használt számítógép és a VPN-szerver útválasztási beállításai határozzák meg, mely belső címek érhetők el.
4. Állítson be külön profilt minden klienshez. Készítsen önálló WireGuard-konfigurációt a laptophoz, a telefonhoz és a táblagéphez. Így egy elveszett eszköz hozzáférését külön visszavonhatja, a többi kliens beállításainak módosítása nélkül. A VPN-alkalmazás importálja a profilt, a felhasználó pedig az eszközén indíthatja el vagy állíthatja le a kapcsolatot.
5. Igazítsa a megoldást az operációs rendszerhez. Linuxon a WireGuard rendszeroldali hálózati kapcsolatként állítható be, mobilon pedig kliensalkalmazás töltheti be a konfigurációt. Microsoft Windows alatt a VPN-kliens külön alkalmazásként kezelheti a WireGuard-profilt. Válasszon az eszközein támogatott klienst, majd ellenőrizze, hogy a profilban helyes-e a szervercím és az útválasztás.
6. Ne várjon a VPN-től teljes anonimitást. A saját szerver a saját VPN-átjáróján keresztül továbbítja a forgalmat, de nem teszi láthatatlanná az online tevékenységét. A célállomás, a böngészőbe való bejelentkezés és a használt alkalmazás továbbra is azonosíthatja Önt. A VPN elsősorban a hálózati kapcsolatot védi és szabályozott hozzáférést biztosít, nem helyettesíti a fiókvédelmet.
7. Határozza meg, mikor ne használja a saját átjárót. Ha csak egyetlen eszközt szeretne távolról elérni, fölösleges lehet a teljes otthoni hálózatot VPN-en keresztül összekapcsolni. Ha több saját eszköznek kell elérnie ugyanazokat a belső rendszereket, a központi WireGuard-szerver egyszerű hozzáférési pontot biztosíthat. A döntésnél vegye figyelembe a szükséges útvonalakat, a szerverterhelést és a kapcsolat sebességét.

Kulcsok, tanúsítványok és speciális beállítások

1. Készítsen külön WireGuard-kulcspárt minden eszközhöz. A szerveren futtassa a wg genkey parancsot a privát kulcs létrehozásához, majd a wg pubkey paranccsal állítsa elő a nyilvános kulcsot. A privát kulcs maradjon az adott eszközön, és ne kerüljön naplóba vagy megosztott fájlba. A nyilvános kulcsot vegye fel a másik fél társbeállításába.
2. Ne keverje össze a kulcsokat a tanúsítványokkal. A WireGuard nyilvános és privát kulcsokkal azonosítja a társakat, nem hagyományos tanúsítványlánccal. Ezért a konfigurációban a megfelelő kulcsokat kell a megfelelő végpontokhoz társítani. OpenVPN esetén a konfiguráció tanúsítványokat is tartalmazhat, a két megoldás beállítási fájljai pedig nem cserélhetők fel.
3. Rögzítse pontosan a társ adatait. A szerver konfigurációjában adja meg a kliens nyilvános kulcsát és a társ számára engedélyezett IP-címet vagy címtartományt. A kliens fájljában szerepeljen a szerver nyilvános kulcsa, elérési címe és a szükséges útválasztási beállítás. A AllowedIPs mező például azt határozza meg, mely forgalom haladjon át a virtuális magánhálózat alagútján.
4. Védje a privát kulcsot a szerveren és a kliensen. Korlátozza a fájlhoz való hozzáférést az operációs rendszer jogosultságaival, és ne küldje el nyilvános csatornán. Ha egy eszköz elveszik, távolítsa el a hozzá tartozó nyilvános kulcsot a szerver társlistájából. Ezzel megszünteti az adott kulcshoz kötött hozzáférést anélkül, hogy minden kliens kulcsát le kellene cserélnie.
5. Állítsa be a kapcsolat életben tartását csak indokolt esetben. Mobilhálózat vagy tűzfal megszakíthatja a hosszabb ideig inaktív kapcsolatokat, ezért a kliens rendszeres életben tartó csomagokat küldhet. Ne másolja át automatikusan az OpenVPN-paramétereket: a bemutatott OpenVPN-szerver keepalive-beállítása 10 másodperces időközt és 120 másodperces időtúllépést használ. Ezek az értékek nem WireGuard-beállítások.
6. Ellenőrizze a titkosítási szerepeket és az útválasztást. A WireGuard ChaCha20 algoritmust használ titkosításhoz, Poly1305-öt hitelesítéshez, Curve25519-et pedig kulcscseréhez. A virtuális magánhálózat működéséhez a szerver és a kliens konfigurációjának kulcspárjai egyezzenek. Ha az alagút felépül, de a belső eszköz nem érhető el, vizsgálja meg az engedélyezett címeket és a szerver útválasztását.
7. Frissítse a hozzáférést eszközcserénél. Új telefon vagy számítógép csatlakoztatásakor hozzon létre külön kulcspárt, és csak annak nyilvános kulcsát adja hozzá a szerverhez. Távolítsa el a régi eszköz kulcsát, amikor már nincs rá szükség. Így a saját VPN-szerver beállítása átlátható marad, és egyetlen kliens cseréje miatt nem kell az összes kapcsolatot újrakonfigurálnia.

WireGuard vagy OpenVPN: melyik a jobb saját VPN-szerverhez?

1. Válasszon a felhasználási cél alapján. Személyes VPN-átjáróhoz a WireGuard jó kiindulópont, és általános választásként szinte minden routeres VPN-helyzetre ajánlható. Letisztult konfigurációja kevés beállítást igényel. Az OpenVPN akkor lehet megfelelő, ha az Ön meglévő hálózata már erre épül, vagy a használt eszközök ezt támogatják.
2. Vegye figyelembe a kapcsolat felépülését. A WireGuard kézfogása egy körfordulóban befejeződik, ami egyszerű és gyors kapcsolatindítást tesz lehetővé. Ez önmagában nem határozza meg a teljes adatátviteli sebességet. A késleltetést és az átvitelt a hálózati útvonal, a szerverterhelés és az internetkapcsolat is befolyásolja.
3. Mérlegelje a processzor terhelését. A személyes VPN-átjáró titkosítási feladata CPU-kötött, nem memória-kötött. Kiinduló méretezésként 1 vCPU és 1 GB RAM használható WireGuardhoz. Lakossági sávszélességen ez 5-10 egyidejű eszközkapcsolat kezelésére lehet alkalmas. A tényleges terhelés a forgalomtól és a titkosítási munkától függ.
4. Ismerje a WireGuard titkosítási összetevőit. A WireGuard ChaCha20 algoritmust használ titkosításhoz, Poly1305-öt hitelesítéshez, Curve25519-et pedig kulcscseréhez. Ezek az algoritmusok a protokoll részei, ezért nem kell külön titkosítási csomagot összeállítania. A szerver és minden kliens konfigurációjában a hozzájuk tartozó kulcsoknak kell szerepelniük.
5. Ne válassza a PPTP-t új szerverhez. A PPTP használata nem ajánlott, mert ismert biztonsági problémái vannak. WireGuard vagy OpenVPN beállításakor használjon korszerű kulcskezelést, tartsa naprakészen a rendszert, és szabályozza megfelelően a hozzáférést. A protokoll kiválasztása nem helyettesíti a szerver rendszeres karbantartását.
6. Próbálja ki a kiválasztott megoldást a tényleges kliensekkel. Telepítse a WireGuardot a Linux-szerverre, majd külön konfigurációval csatlakozzon laptopról és telefonról. Ellenőrizze, hogy elérhetők-e a kívánt belső címek, és a kapcsolat bontás után újra felépül-e. OpenVPN esetén is tesztelje a hálózati útvonalakat és a hozzáféréseket.
7. Illessze a Linux-környezetet a választott protokollhoz. A szerver működéséhez szükséges erőforrásokat és rendszerbeállításokat a feladat határozza meg. Ha Ön Linux-alapú VPN-átjárót készít, tekintse át a VPS-szerverek környezetét, majd válassza ki azt a megoldást, amely megfelel a tervezett WireGuard- vagy OpenVPN-telepítésnek.

Ha az OpenVPN-szerver NAS-on vagy routeren fut, a titkosítási beállítások áttekintésekor az AES-256 használható példaként. A kliensoldali profilnak a szerver beállításaival összhangban kell lennie, ezért a csatlakozás előtt ellenőrizze a megadott kapcsolat- és hitelesítési adatokat. Windows VPN-profil létrehozásakor a VPN-kapcsolat típusát a vállalat vagy a VPN-szolgáltatás által használt típus alapján válassza ki. A hitelesítéshez felhasználónév és jelszó, egyszeri jelszó, tanúsítvány vagy intelligens kártya használható. Válassza azt a hitelesítési módot, amelyet a szerver és az adott profil ténylegesen támogat; ez segít elkerülni, hogy a kapcsolat a beállítások eltérése miatt hiúsuljon meg. A profilt a tényleges kliensen próbálja ki, és ellenőrizze a csatlakozást a kívánt hálózati erőforrások elérése mellett.

A bemutatott OpenVPN-konfiguráció a 192.168.2.0 255.255.255.0 hálózatot használja a VPN-kliensek számára. Ezt a címtartományt a kliensbeállításokkal együtt érdemes ellenőrizni, hogy a kiosztott címek és az elérni kívánt belső hálózatok ne keveredjenek össze. A szerver a keepalive-paraméterrel 10 120 értéket állít be: a kapcsolat ellenőrzése 10 másodperces időközzel történik, az időtúllépés pedig 120 másodperc. A tesztelés során figyelje meg, hogy a kliens a kapcsolat megszakadása után ismét eléri-e a szervert, és a kívánt útvonalak továbbra is működnek-e. Ha módosít a konfiguráción, a szerver és a kliens oldalán is ellenőrizze, hogy az értékek összeillenek, majd ismételje meg a próbát. Így a választott OpenVPN-beállítás nemcsak elindul, hanem a tervezett hozzáférést is biztosítja.

AWh: Webtárhely

Az aWh Webtárhelye akkor lehet megfelelő, ha a Linux VPS-en futó VPN mellett weboldalt is szeretne üzemeltetni. A VPN-szerver és a webtárhely külön feladatot lát el: a VPN biztonságos távoli hálózati hozzáférést biztosít, a webtárhely pedig a weboldal elhelyezésére szolgál. Így a saját VPN-szerver beállítása elkülöníthető a webes tartalmak üzemeltetésétől.

Ha a fő célja továbbra is a WireGuard futtatása, szerverválasztáskor vegye figyelembe a Linux-környezetet, a szükséges hálózati beállításokat és a tervezett klienskapcsolatokat. Weboldal elhelyezésére az aWh Webtárhelye szolgál. A szolgáltatások megismeréséhez látogasson el az awh.hu oldalára.

Tervezze meg a VPN következő lépését

A saját VPN-szerver beállítása után alakítson ki egyszerű karbantartási rutint: tartsa naprakészen a rendszert, és távolítsa el a már nem használt eszközök hozzáférését. Rögzítse azt is, mely felhasználók és hálózati erőforrások érhetők el távolról. Így a konfiguráció átlátható marad akkor is, amikor új számítógépet vagy telefont csatlakoztat.

Ha Linux-alapú szerverkörnyezetre van szüksége a VPN futtatásához, az aWh KVM VPS szolgáltatása releváns lehet. A Webtárhely weboldalak üzemeltetésére, a Domain regisztráció pedig saját webcím használatára szolgál. Ezek különböző feladatokat látnak el, ezért az Ön tényleges műszaki céljához igazítsa a választást.

Ha szeretné áttekinteni az elérhető lehetőségeket, kérjen segítséget az aWh-tól. A jól megtervezett következő lépéssel magabiztosan építheti tovább saját hálózati környezetét.

Gyakori kérdések

Mire jó, és miért lehet szüksége VPN-re?

A VPN segítségével távolról is elérheti az otthoni vagy munkahelyi hálózat kijelölt erőforrásait. Akkor érdemes használni, ha például útközben szüksége van egy belső üzleti alkalmazásra vagy saját hálózati eszközre. Előre határozza meg, mely felhasználók és eszközök férhetnek hozzá, így a kapcsolat nem terjed ki automatikusan a teljes hálózatra.

Mi a VPN?

A VPN olyan hálózati kapcsolat, amelyen keresztül adatforgalom haladhat az eszköz és egy távoli végpont között. Működése eltér a távoli asztali eléréstől: a VPN hálózati kapcsolatot biztosít, míg a távoli asztal egy másik számítógép kezelőfelületét jeleníti meg. VPN-en keresztül többféle helyi szolgáltatáshoz is hozzáférhet, ha ezt az útválasztás és a jogosultságok lehetővé teszik.

Építsen VPN-routert, vagy használjon VPS-átjárót?

Az otthoni router megfelelő végpont lehet, ha az internet felől szeretné elérni saját otthoni eszközeit. VPS-átjáróval külön szerveren működtetheti a VPN-t, így annak elérése nem függ attól, hogy az otthoni router be van-e kapcsolva. A két megoldás nem feltétlenül helyettesíti egymást: ha a VPS-en keresztül az otthoni hálózatot is elérné, meg kell terveznie a két hálózat közötti útvonalat.

Milyen hardverre és internetkapcsolatra van szükség saját VPN-szerverhez?

Otthoni szerverhez olyan számítógép vagy router szükséges, amelyen a VPN-szoftver folyamatosan futhat, és amely stabil hálózati kapcsolattal rendelkezik. A távoli adatátvitelt korlátozhatja az otthoni internet feltöltési kapacitása, különösen nagy fájlok elérésekor. VPS esetén a szerver erőforrásait az egyidejű forgalom és a titkosítási terhelés alapján válassza ki. A hálózati kártya és az útválasztás is befolyásolja a működést.

Hogyan állítható be saját VPN-szerver VPS-en lépésről lépésre?

Válasszon támogatott Linux-környezetet, majd lépjen be rendszergazdai jogosultsággal. A WireGuard telepítése és a konfiguráció elkészítése után indítsa el a kapcsolatot a wg-quick up wg0 paranccsal. A wg show paranccsal megtekintheti az interfész és a társak állapotát. Ha megfelelően működik, állítsa be a szolgáltatás automatikus indulását, majd tesztelje újraindítás után is.

Hogyan lehet VPN-klienseket és biztonságos titkosítást beállítani?

A kliensalkalmazásban ellenőrizze, hogy a megfelelő szerverhez csatlakozik-e, és csak a szükséges hálózati útvonalakat használja-e. WireGuard esetén a szerveren a wg show kimenete mutatja a társak legutóbbi kézfogását és adatforgalmát. Telefon beállításakor ne jelenítse meg nyilvános helyen a konfigurációs QR-kódot. Kapcsolódási hiba esetén először a kliens állapotát, majd a szerver naplóját vizsgálja meg.

• vpn
• otthoni hálózat
• távoli hozzáférés
• openvpn
• wireguard
• porttovábbítás
• hálózati biztonság