SoftEther VPN Client Servers: обзор, настройка и использование

Что такое SoftEther VPN и почему он выделяется среди аналогов

SoftEther VPN — это открытое и бесплатное программное обеспечение, которое одновременно работает и как VPN-клиент, и как VPN-сервер. Проект развивается как академическая инициатива Университета Цукубы (Япония) и распространяется под лицензией Apache License 2.0. Название расшифровывается как Software Ethernet, что отражает главную идею: виртуализация сетевых устройств для построения гибких VPN-сетей.

Ключевая особенность — поддержка множества протоколов одновременно. SoftEther умеет работать с собственным протоколом SSL-VPN, а также с OpenVPN, L2TP/IPsec, MS-SSTP, L2TPv3 и EtherIP. Это означает, что один сервер способен обслуживать клиентов с самыми разными устройствами и программами: от встроенных VPN-клиентов Windows и macOS до мобильных приложений. Для сравнения, большинство коммерческих VPN-решений завязаны на один протокол, что ограничивает совместимость.

Отдельно стоит отметить высокую производительность. Разработчики заявляют, что SoftEther работает быстрее OpenVPN, особенно на каналах с высокой пропускной способностью. Технически это достигается за счёт оптимизированной реализации SSL-туннелирования и эффективного использования ресурсов CPU и памяти. Программа стабильна при длительной работе и не имеет утечек памяти, что подтверждается многолетней практикой.

SoftEther позволяет строить как Remote Access VPN (подключение одного компьютера к LAN), так и Site-to-Site VPN (объединение нескольких офисов). Архитектура включает виртуальные сетевые адаптеры на клиенте и виртуальные коммутаторы (Virtual Hub) на сервере. Это даёт администратору почти безграничную гибкость в проектировании топологии сети.

Архитектура SoftEther: виртуальные хабы, адаптеры и туннели

Понимание архитектуры SoftEther помогает эффективно настраивать VPN под конкретные задачи. Основных элементов три: Virtual Network Adapter (виртуальный сетевой адаптер), Virtual Hub (виртуальный коммутатор) и VPN Session (сессия).

Виртуальный адаптер создаётся на стороне клиента и выглядит для операционной системы как обычная сетевая карта. Все программы отправляют данные через этот адаптер, а SoftEther перехватывает Ethernet-кадры и шифрует их перед отправкой на сервер. Виртуальный коммутатор на сервере принимает подключения от множества клиентов и пересылает кадры между ними, имитируя работу физического Ethernet-коммутатора. Сессия VPN — это зашифрованное соединение между адаптером и хабом, по сути виртуальный сетевой кабель.

Такая схема позволяет использовать преимущества L2-туннелирования: поверх VPN можно передавать не только IP-пакеты, но и другие протоколы, например, NetBIOS или broadcast-трафик. Это критично для некоторых корпоративных приложений и игр. При необходимости SoftEther поддерживает и L3-режим с IP-маршрутизацией.

На сервере можно создавать несколько виртуальных хабов, каждый со своими пользователями и политиками безопасности. Это удобно для разделения отделов компании или предоставления разных уровней доступа. Между удалёнными хабами настраиваются каскадные соединения, объединяющие несколько физических сетей в единую логическую структуру.

Особого внимания заслуживает функция Local Bridge — она связывает виртуальный хаб с физическим сетевым интерфейсом сервера. Это необходимый шаг для организации Remote Access VPN, когда удалённый сотрудник должен получить доступ к ресурсам офисной сети. Без Local Bridge клиент сможет общаться только с самим сервером.

Мультипротокольность: какие VPN-протоколы поддерживает SoftEther

SoftEther поддерживает целый спектр протоколов, что делает его универсальным инструментом для администраторов и обычных пользователей.

Собственный протокол SSL-VPN — это фирменная разработка SoftEther, которая работает поверх HTTPS. Трафик такого туннеля невозможно отличить от обычного зашифрованного веб-трафика, поэтому Deep Packet Inspection (DPI) на межсетевых экранах не может обнаружить VPN-соединение. Это свойство особенно ценно в сетях со строгими ограничениями (корпоративные сети, государственный фильтрация). Именно SSL-VPN обеспечивает максимальную скорость и устойчивость к блокировкам.

OpenVPN-совместимость реализована встроенным клоном сервера OpenVPN. SoftEther может принимать подключения от стандартных OpenVPN-клиентов (например, OpenVPN GUI или Tunnelblick). Это облегчает миграцию с OpenVPN на SoftEther без необходимости переустанавливать клиентское ПО. Разработчики специально подчёркивают, что скорость SoftEther выше, чем у оригинального OpenVPN.

L2TP/IPsec — стандартный протокол, встроенный в Windows, macOS, iOS и Android. Настроив SoftEther как L2TP/IPsec-сервер, вы сможете подключаться с любого устройства без установки дополнительного софта. Для этого на сервере задаётся общий ключ IPsec (Pre-Shared Key), который вводится в настройках клиента. Важно помнить, что L2TP/IPsec может блокироваться в некоторых сетях, так как его трафик легко идентифицировать.

MS-SSTP — протокол Microsoft, работающий поверх HTTPS на порту 443. Он полезен в средах, где разрешён только стандартный веб-трафик. SoftEther поддерживает SSTP-сервер, что позволяет подключаться из Windows без сторонних программ.

L2TPv3 и EtherIP — более экзотические протоколы, ориентированные на провайдеров и сетевое оборудование. Они обеспечивают совместимость с Cisco и другим профессиональным оборудованием.

Такое разнообразие позволяет подобрать протокол под конкретные условия сети: если нужно обойти DPI — выбирайте SSL-VPN, если нужна максимальная совместимость с мобильными устройствами — L2TP/IPsec, если работаете в строгом корпоративном окружении — MS-SSTP.

Обход блокировок и NAT Traversal: технологии VPN over ICMP, VPN over DNS и Azure

Одна из главных «фишек» SoftEther — способность устанавливать VPN-соединения даже в самых негостеприимных сетях. Разработчики предусмотрели несколько технологий, которые работают там, где классические VPN бессильны.

VPN over HTTPS — базовая технология SSL-VPN. Так как туннель замаскирован под обычный HTTPS, межсетевые экраны, которые пропускают веб-трафик, не могут заблокировать соединение. Это эффективно против большинства ограничений, включая государственную цензуру.

VPN over ICMP — экзотический режим, при котором данные передаются внутри ICMP-пакетов (тех самых, что используются для ping). Некоторые администраторы забывают блокировать ICMP, поэтому такой туннель может пройти там, где TCP/UDP полностью закрыты. Однако скорость будет невысокой, и это скорее аварийный способ связи.

VPN over DNS — передача данных через DNS-запросы. Этот метод также применяется в утилитах типа iodine. DNS-трафик почти никогда не блокируется, так как без него невозможна работа интернета. SoftEther реализует подобный туннель в рамках своего протокола, что позволяет обойти даже самые строгие файрволы.

NAT Traversal — функция, позволяющая серверу работать за NAT без необходимости проброса портов на роутере. В сочетании со встроенным Dynamic DNS (DDNS) это означает, что вы можете поднять VPN-сервер на компьютере с серым IP-адресом (например, в домашней сети) и подключаться к нему из интернета по постоянному доменному имени. Вся настройка выполняется автоматически, что сильно упрощает жизнь.

VPN Azure — бесплатный облачный сервис от SoftEther. Если ваш сервер не имеет публичного IP и не может использовать NAT Traversal (например, из-за симметричного NAT), вы можете подключить его к Azure Relay. Тогда клиенты будут соединяться через облачный ретранслятор, используя уникальный идентификатор Azure. Такой подход гарантирует доступность сервера практически в любых условиях.

VPN Gate: публичные ретрансляторы для бесплатного доступа в интернет

VPN Gate — это отдельный проект, тесно связанный с SoftEther. Он представляет собой сеть из тысяч добровольных серверов, разбросанных по всему миру, через которые любой пользователь может выйти в интернет. Серверы предоставляются энтузиастами, которые запускают SoftEther VPN Server с включённой опцией VPN Gate.

Главное предназначение VPN Gate — обход цензуры и доступа к заблокированным ресурсам. Пользователи могут выбирать страну подключения, что позволяет открывать гео-ограниченный контент (стриминговые сервисы, новостные сайты и т.д.). При этом SoftEther Client включает специальный плагин VPN Gate, который упрощает поиск и подключение к доступным серверам.

Однако важно понимать риски. Серверы предоставляются неизвестными лицами, поэтому нет гарантии безопасности. Трафик может прослушиваться, а логи сохраняться. Не рекомендуется использовать VPN Gate для передачи чувствительных данных (банковские операции, рабочая переписка). Более того, производительность таких серверов нестабильна: они могут внезапно отключаться, иметь низкую скорость или быть перегруженными. Также стоит помнить, что VPN Gate не обеспечивает анонимность, так как не скрывает ваш реальный IP перед сервером назначения.

Для обычного сёрфинга и обхода блокировок VPN Gate может быть удобен, но для серьёзных задач лучше поднимать собственный сервер. Интересно, что организаторы VPN Gate утверждают, что серверы не имеют доступа к приватным IP-подсетям (например, 192.168.0.0/16), поэтому через них нельзя атаковать внутренние сети компании.

Установка SoftEther VPN Server на Windows и Linux

Установка серверной части SoftEther не требует глубоких знаний, но есть нюансы для разных ОС.

Windows: Скачайте установочный пакет с официального сайта. Запустите установку и выберите компонент «SoftEther VPN Server». На этапе настройки укажите имя виртуального хаба (например, DEFAULT), включите Remote Access VPN Server. Мастер предложит настроить Dynamic DNS (можно пропустить, если есть статический IP). Далее настраивается L2TP/IPsec с общим ключом — это обязательный шаг для поддержки мобильных устройств. Последний шаг — выбор физического сетевого интерфейса, который будет использоваться для Local Bridge. После завершения установки вы попадёте в менеджер управления, где нужно создать пользователей и настроить права. Важно не удалять стандартный порт 5555 — он используется для локального управления сервером.

Linux (Debian/Ubuntu): Скачайте архив для Linux или используйте репозиторий. Обычно установка сводится к распаковке и запуску скрипта install.sh. После установки нужно запустить vpnserver start. Администрирование выполняется через графический менеджер с Windows-машины (можно подключаться к удалённому серверу по IP) или через командную строку (vpncmd). Некоторые пользователи отмечают, что CLI-инструмент недостаточно документирован, поэтому проще сначала настроить сервер через GUI на Windows, а затем перенести конфигурацию.

Кроссплатформенность: Сервер работает на Windows, Linux, macOS, FreeBSD и Solaris. Клиент доступен для Windows, macOS, Linux, Android, iOS. Это покрывает практически все популярные платформы.

Проверка после установки: Убедитесь, что нужные порты открыты в брандмауэре. Основные порты: 443 (HTTPS), 992, 1194 (OpenVPN), 5555 (администрирование), а также порты для L2TP/IPsec (500, 4500, 1701). Если используете NAT, настройте проброс портов на роутере.

Настройка клиента: подключение к серверу SoftEther

SoftEther предоставляет собственный VPN-клиент, который подключается к серверу по протоколу SSL-VPN. Для этого:

1. Установите SoftEther VPN Client (можно вместе с плагином VPN Gate).
2. Запустите клиент и создайте новое VPN-подключение: нажмите «Add VPN Connection».
3. Укажите имя подключения, адрес сервера (IP или домен), порт (по умолчанию 443), имя виртуального хаба и учётные данные пользователя.
4. При первом создании подключения клиент попросит создать виртуальный сетевой адаптер. Соглашайтесь и задайте ему имя.
5. После создания подключения выберите его в списке и нажмите «Connect».

Клиент поддерживает несколько одновременных подключений к разным серверам, что удобно для тестирования. Также есть возможность настраивать дополнительные параметры, например, отключение изменения таблицы маршрутизации (No Adjustments of Route Table), если возникают проблемы с сетевой связностью.

Использование L2TP/IPsec без клиента: Если у вас iPhone, Android или Windows без возможности установки софта, можно настроить встроенный VPN-клиент. В параметрах выберите тип L2TP/IPsec, укажите адрес сервера и общий ключ IPsec, который задан на сервере. Такой способ менее защищён от DPI, но удобен для быстрого подключения.

Подключение через VPN Gate: Если вам нужен бесплатный публичный сервер, используйте плагин VPN Gate в клиенте. Он показывает список доступных серверов с указанием страны, задержки и нагрузки. Выбирайте подходящий и подключайтесь в один клик.

После успешного подключения ваш компьютер получит IP-адрес из подсети VPN-сервера. Проверить работоспособность можно, открыв в браузере любой сайт — ваш IP изменится на IP сервера.

Безопасность и шифрование: AES-256, RSA-4096, защита от TunnelCrack

SoftEther уделяет серьёзное внимание безопасности. Встроенные механизмы шифрования соответствуют современным стандартам, что позволяет использовать программу в корпоративной среде.

Шифрование: Данные в туннеле SSL-VPN шифруются с использованием AES-256, а для обмена ключами применяется RSA с длиной ключа 4096 бит. Это военная стойкость, обеспечивающая защиту от перехвата и расшифровки. Для аутентификации пользователей доступны пароли, сертификаты, RADIUS, а также интеграция с доменом Windows NT. В актуальных версиях также поддерживается использование OpenSSL 3.0, что повышает общую криптостойкость.

Защита от TunnelCrack: В августе 2023 года SoftEther добавил защиту от известной уязвимости TunnelCrack, которая затрагивает многие VPN-решения. Эта атака позволяет злоумышленнику перенаправлять трафик VPN вне зашифрованного туннеля при определённых условиях сети. Разработчики выпустили патчи, которые рекомендуется установить всем пользователям.

Исправление уязвимостей: В июне 2023 года вышла версия 4.42, в которой были устранены шесть уязвимостей, включая CVE-2023-27395. Аудит проводился при содействии Cisco Systems, что говорит о серьёзном подходе к безопасности. Хотя разработчики отмечают, что реальный риск эксплуатации в обычных условиях невысок, обновления стоит устанавливать своевременно.

Дополнительные функции безопасности: Встроенный файрвол для виртуального хаба позволяет ограничивать доступ по IP-адресам, портам и протоколам. Есть поддержка логирования, включая глубокий анализ пакетов (Deep Packet Inspection), и отправка логов в syslog. Функция QoS и шейпинга трафика помогает контролировать полосу пропускания для разных пользователей.

Важно: Несмотря на встроенную защиту, SoftEther не предоставляет «kill switch» — функцию автоматического отключения интернета при обрыве VPN. Если соединение неожиданно разорвётся, ваш реальный IP может временно стать видимым. Для критически важных задач рекомендуется использовать сторонние решения (например, скрипты, отключающие сетевой интерфейс).

Производительность и сравнение с OpenVPN

Один из главных аргументов в пользу SoftEther — высокая скорость. Разработчики утверждают, что он быстрее OpenVPN, и это подтверждается независимыми тестами. Причина в том, что SSL-VPN протокол SoftEther оптимизирован для работы с высокой пропускной способностью и низкими задержками.

Например, в тестах с 1-гигабитным каналом SoftEther показывает результаты на уровне нативных решений, тогда как OpenVPN часто упирается в CPU при использовании шифрования. SoftEther эффективно использует многоядерные процессоры, что особенно важно на мощных серверах. Потребление памяти и CPU у SoftEther ниже по сравнению с OpenVPN, что делает его пригодным для запуска на слабом оборудовании (Raspberry Pi, старых ПК).

OpenVPN остаётся лидером по распространённости и имеет огромное сообщество, но его производительность часто критикуют. SoftEther, будучи академическим проектом, смог предложить более современную архитектуру. Для пользователей, которые хотят «пересесть» с OpenVPN, SoftEther предоставляет встроенный OpenVPN-клон, упрощающий миграцию.

Однако не стоит воспринимать цифры производительности как абсолютную истину — они зависят от конфигурации сети, типа протокола и оборудования. Рекомендуется провести собственные тесты на вашем канале связи, прежде чем выбирать VPN-решение.

Ограничения и особенности: отсутствие kill switch, зависимость от VPN Gate, лицензионные нюансы

Несмотря на все достоинства, SoftEther имеет некоторые ограничения, которые следует учитывать при выборе.

Отсутствие kill switch: Как уже упоминалось, в клиенте нет встроенного механизма аварийного отключения трафика при разрыве VPN. Это может привести к утечке реального IP-адреса. Для конфиденциальности в публичных Wi-Fi сетях стоит использовать дополнительные инструменты или настраивать файрвол.

Нестабильность VPN Gate: Бесплатные публичные серверы не гарантируют скорость и доступность. Многие серверы работают на домашних ПК и могут выключаться в любой момент. Подключение может быть медленным из-за перегрузки. Для критичных задач лучше настроить собственный сервер.

Сложность настройки для новичков: Хотя GUI-инструменты упрощают управление, продвинутые параметры требуют знания документации и иногда работы с командной строкой. Интерфейс на английском языке, что может быть барьером для части пользователей.

Лицензионные изменения: Изначально SoftEther распространялся под GPLv2, но в январе 2014 года лицензия была сменена на Apache License 2.0. Это более разрешительная лицензия, которая позволяет использовать код в коммерческих продуктах без обязательного открытия исходников. Для обычных пользователей изменения не имеют значения, но для разработчиков это важно.

Совместимость с Windows 11: Программа поддерживает Windows 11, начиная с версии 4.39. Убедитесь, что у вас установлена последняя версия для избежания проблем.

Неофициальные сборки: В интернете можно встретить модифицированные версии SoftEther. Пользуйтесь только официальным сайтом, чтобы избежать вредоносных вставок.

Практические сценарии использования SoftEther

SoftEther применим во множестве ситуаций. Рассмотрим наиболее частые сценарии.

Корпоративный Remote Access VPN: Сотрудники подключаются к офисной сети из дома или командировок. Используя L2TP/IPsec, они могут работать с внутренними ресурсами (файловые серверы, CRM, корпоративная почта) с любых устройств, включая мобильные. SoftEther поддерживает BYOD, что удобно для компаний, разрешающих личные гаджеты.

Объединение офисов (Site-to-Site VPN): Два филиала компании можно соединить через каскадные Virtual Hub'ы. Все компьютеры в разных офисах будут видеть друг друга как в одной локальной сети. Это упрощает обмен данными и централизованное управление.

Безопасный доступ в интернет из общественных сетей: В кафе или аэропорту можно подключиться к собственному VPN-серверу дома. Трафик будет зашифрован, и злоумышленники в той же сети не смогут перехватить пароли и логины.

Обход региональных блокировок: Если вы находитесь в стране с ограничениями, SoftEther поможет получить доступ к заблокированным ресурсам через сервер в другой стране. VPN over HTTPS и VPN over DNS эффективны даже при глубокой фильтрации.

Тестирование сети: SoftEther можно использовать для эмуляции сетевых задержек и потери пакетов через встроенные функции QoS и симуляции. Это полезно для проверки устойчивости приложений к плохому соединению.

Создание собственного облачного VPN: Вы можете разместить SoftEther на VPS (DigitalOcean, AWS, любой другой) и получить личный VPN-сервер с фиксированным IP в любой стране. Это даёт больший контроль и безопасность, чем использование публичных VPN Gate.

Вопросы и ответы