VPN-туннель между компьютерами: как соединить устройства за NAT без сложной настройки

Зачем нужен VPN-туннель между компьютерами

VPN-туннель между двумя компьютерами позволяет объединить их в единую защищённую сеть, как будто они находятся в одной локальной сети. Это даёт возможность обмениваться файлами, использовать удалённый рабочий стол, запускать приложения, требующие прямого доступа, и обеспечивать шифрование трафика. В отличие от облачных сервисов, такое соединение не зависит от сторонних платформ и даёт полный контроль над данными.

Классический подход предполагает использование VPN-сервера, к которому подключаются оба компьютера. Однако в этом случае весь трафик проходит через сервер, что увеличивает задержку и снижает скорость. Прямой туннель «точка-точка» лишён этого недостатка, но требует решения проблемы NAT, которая возникает у большинства домашних и офисных подключений.

Проблема NAT: почему прямое соединение сложно

NAT (Network Address Translation) — это механизм, который позволяет нескольким устройствам в локальной сети использовать один публичный IP-адрес. Когда компьютер отправляет пакет в интернет, NAT подменяет локальный IP и порт на внешние. Ответы приходят на этот внешний адрес и порт, а NAT перенаправляет их обратно на нужное устройство.

Проблема возникает, когда два компьютера за разными NAT пытаются установить прямое соединение. Они не знают внешних IP-адресов и портов друг друга, а NAT блокирует входящие соединения, которые не были инициированы изнутри. Без дополнительных ухищрений установить туннель напрямую невозможно.

Существуют разные типы NAT, которые ведут себя по-разному. Cone NAT (полный, ограниченный, порт-ограниченный) сохраняет соответствие между внутренним и внешним портом, что упрощает пробой. Symmetric NAT использует разные внешние порты для каждого нового соединения, что делает пробой значительно сложнее. Понимание типа NAT у вашего провайдера — первый шаг к выбору стратегии.

Технологии для организации туннеля: STUN, UDP Hole Punching, OpenVPN

Для создания прямого VPN-туннеля за NAT используются несколько ключевых технологий.

STUN (Session Traversal Utilities for NAT) — протокол, который позволяет устройству узнать свой внешний IP-адрес и порт, которые видит интернет. Клиент отправляет запрос на STUN-сервер, и тот возвращает эти данные. Это необходимо для того, чтобы сообщить удалённой стороне, куда отправлять пакеты.

UDP Hole Punching — техника, при которой оба устройства одновременно отправляют UDP-пакеты на внешние адреса друг друга. NAT воспринимает эти пакеты как ответы на свои исходящие запросы и создаёт временные «дыры» в своём фильтре. После этого пакеты начинают проходить напрямую.

OpenVPN — популярный инструмент для создания VPN-туннелей. В режиме точка-точка он может использовать UDP-соединение, установленное с помощью hole punching. OpenVPN обеспечивает шифрование и аутентификацию, что делает туннель безопасным.

Также упоминаются GRE-туннели и IPsec, но они менее гибки для работы через NAT и требуют более сложной настройки.

Схема с VPS-посредником: как это работает

Один из способов организовать прямое соединение — использовать VPS-сервер в качестве координатора. Этот сервер не передаёт трафик между компьютерами, а лишь помогает им обменяться текущими внешними IP-адресами и портами.

Скрипт на VPS слушает определённый UDP-порт. Когда узел отправляет на него пакет с идентификатором соединения, сервер записывает IP и порт источника. Когда оба узла зарегистрировались, сервер сообщает каждому из них данные другого. После этого узлы начинают обмениваться пакетами напрямую, используя UDP hole punching.

В описанном в источниках примере используется простая реализация на Bash: tcpdump для перехвата пакетов, netcat для отправки ответов. Идентификатор соединения позволяет различать несколько одновременных туннелей. Хеш hostname используется для того, чтобы узел не получал свои собственные данные.

После обмена данными узлы запускают OpenVPN, используя полученные IP и порт. Внутренние адреса генерируются случайным образом в подсети 10.0.0.0/30, что позволяет избежать конфликтов.

Схема без VPS: STUN и облачное хранилище

Можно обойтись без аренды VPS, используя публичные STUN-серверы и облачное хранилище для обмена координатами. В одном из источников описан вариант с Яндекс.Диском и WebDAV.

Алгоритм выглядит так:

1. Каждый узел создаёт файл готовности на Яндекс.Диске в общей папке.
2. Когда оба файла готовности обнаружены, узлы запрашивают у STUN-сервера свой внешний IP и порт.
3. Полученные данные загружаются в отдельные файлы на Яндекс.Диск.
4. Каждый узел скачивает файл с данными удалённого узла.
5. Запускается OpenVPN с параметрами, полученными из файла.

Для работы с Яндекс.Диском используется утилита curl с поддержкой WebDAV. Скрипт создаёт папку, имя которой является хешем от идентификатора соединения, и обменивается файлами внутри неё.

Этот подход полностью бесплатен (если не считать трафик), но зависит от доступности STUN-сервера и облачного хранилища. Время синхронизации может быть больше, чем при использовании VPS.

Пошаговая инструкция: настройка туннеля с VPS

Рассмотрим практический пример настройки прямого VPN-туннеля с использованием VPS-посредника. Все скрипты написаны для Linux (Ubuntu/Debian) и используют стандартные утилиты.

Шаг 1. Подготовка VPS. Установите tcpdump и netcat. Скопируйте скрипт connector2.sh на сервер и запустите его с указанием порта, например:

nohup /path/to/connector2.sh 13013 > /var/log/connector2.log &

Скрипт будет слушать UDP-порт 13013 и обрабатывать запросы от узлов.

Шаг 2. Подготовка узлов. На каждом компьютере установите openvpn, netcat, tcpdump, curl. Сгенерируйте общий секретный ключ:

openvpn --genkey --secret secret.key

Скопируйте ключ на оба узла и установите права chmod 600 secret.key.

Шаг 3. Запуск скрипта на узлах. Скрипт vpn7.sh принимает идентификатор соединения (любое уникальное слово). Запустите его на обоих узлах с одинаковым идентификатором:

./vpn7.sh mytunnel

Скрипт выполнит следующие действия:

• выберет случайный локальный порт в диапазоне 20000-65000;
• отправит пакет с идентификатором на VPS;
• получит от VPS свой внешний IP и порт, а также данные удалённого узла;
• начнёт обмен UDP-пакетами с удалённым узлом для пробоя NAT;
• запустит OpenVPN с параметрами соединения.

Шаг 4. Проверка. После установки туннеля вы сможете пинговать внутренние адреса (например, 10.0.0.1 и 10.0.0.2) и использовать сетевые сервисы.

Автоматизация и запуск при старте системы

Чтобы туннель поднимался автоматически при загрузке компьютера, можно добавить запуск скрипта в автозагрузку. В системах с systemd создайте unit-файл, а в более старых — добавьте строку в /etc/rc.local.

Пример для rc.local:

nohup /path/to/vpn7.sh mytunnel > /var/log/vpn7.log 2>&1 &

Скрипт сам проверяет наличие необходимых утилит и ключа. Если ключ отсутствует, он выводит сообщение об ошибке и завершает работу. Также скрипт сохраняет сгенерированный октет (число для внутреннего IP) в конфигурационный файл, чтобы при перезапуске адрес не менялся.

Для повышения надёжности можно добавить проверку доступности удалённого узла и автоматическое переподключение при обрыве связи.

Ограничения и подводные камни

Несмотря на привлекательность прямого туннеля, у него есть ограничения.

Тип NAT. Если провайдер использует Symmetric NAT, UDP hole punching может не сработать, так как внешний порт меняется для каждого нового соединения. В этом случае потребуется более сложный релейный сервер (TURN).

Стабильность. NAT-таблицы имеют ограниченное время жизни. Если соединение простаивает, «дыра» может закрыться. Для поддержания туннеля необходимо периодически отправлять keepalive-пакеты.

Безопасность. Использование статического ключа OpenVPN подходит для доверенных узлов, но для большей безопасности рекомендуется использовать сертификаты или другие методы аутентификации.

Зависимость от внешних сервисов. В схеме без VPS используются публичные STUN-серверы и облачное хранилище. Если они недоступны, туннель не установится.

Скорость. Прямое соединение обычно быстрее, чем через сервер, но может быть нестабильным при плохом качестве интернет-канала.

Альтернативные решения: готовые сервисы и коммерческие VPN

Если самостоятельная настройка кажется сложной, можно использовать готовые решения.

Hamachi (LogMeIn) — популярный сервис для создания виртуальных локальных сетей. Он автоматически решает проблему NAT и предоставляет простой интерфейс. Однако бесплатная версия имеет ограничения по количеству устройств, а полный функционал требует подписки.

TeamViewer — в первую очередь для удалённого доступа, но также позволяет организовывать VPN-соединения между компьютерами. Удобен, но также является платным для коммерческого использования.

ZeroTier — современное решение, которое создаёт глобальную оверлейную сеть. Оно использует собственные серверы координации, но трафик между устройствами идёт напрямую (peer-to-peer). Бесплатный тариф подходит для небольших сетей.

Tailscale — аналогичный ZeroTier сервис, построенный на основе WireGuard. Отличается простотой настройки и хорошей производительностью.

Эти сервисы избавляют от необходимости писать скрипты, но требуют доверия к стороннему провайдеру и могут иметь ограничения по трафику или функционалу.

Практические советы и выводы

Организация прямого VPN-туннеля между компьютерами за NAT — задача решаемая, но требующая понимания сетевых технологий. Вот несколько советов.

• Определите тип NAT у вашего провайдера. Это можно сделать с помощью STUN-запросов или специальных онлайн-сервисов.
• Если Symmetric NAT, рассмотрите использование TURN-сервера или готовых решений.
• Используйте надёжные STUN-серверы. Публичные серверы могут быть перегружены или недоступны.
• Для обмена координатами в схеме без VPS выбирайте облачные хранилища с поддержкой WebDAV, например Яндекс.Диск.
• Регулярно обновляйте скрипты и следите за логами.
• Не забывайте про безопасность: используйте сильные ключи, ограничьте доступ к скриптам.

Прямой туннель позволяет получить высокую скорость и низкую задержку, что особенно важно для игр, видеозвонков и передачи больших файлов. Если вы готовы потратить время на настройку, это отличный способ получить независимую и защищённую сеть.

Вопросы и ответы