OpenConnect или OpenVPN: какой enterprise-VPN выбрать

MAATRIX

Когда VPN нужен не «для себя», а для отдела или всей компании, выбор протокола перестаёт быть вопросом вкуса. У сотрудников уже стоит корпоративный ноутбук с преднастроенным Cisco AnyConnect, у ИТ-отдела — политики MDM, а у вас — сервер, который нужно поднять так, чтобы не переустанавливать клиенты на полусотне машин. Разберём, чем ocserv (реализация OpenConnect) отличается от OpenVPN на практике и когда каждый из них — правильный выбор.

Зачем вообще сравнивать OpenConnect и OpenVPN

OpenVPN — де-факто стандарт для VPN на своём сервере: огромная экосистема, клиенты под всё, гибкая настройка через один текстовый конфиг. Но у него есть слепое пятно — совместимость с корпоративными клиентами, которые уже развёрнуты в организациях с историей Cisco.

OpenConnect (протокол) и ocserv (открытая серверная реализация под Linux) решают конкретную задачу: сервер, который говорит на языке Cisco AnyConnect SSL VPN. Официальный клиент Cisco AnyConnect, встроенный клиент OpenConnect в NetworkManager на Linux, приложения OpenConnect для iOS и Android — все они умеют подключаться к ocserv без танцев с бубном.

Разница на практике простая:

• OpenVPN — вы контролируете обе стороны, протокол свой собственный, клиент почти всегда OpenVPN Connect или совместимый (Tunnelblick, встроенная поддержка в роутерах).
• ocserv/OpenConnect — сервер говорит протоколом Cisco AnyConnect (по сути, TLS/DTLS handshake, совместимый с AnyConnect SSL VPN), а на клиентской стороне может быть как открытый OpenConnect, так и официальный проприетарный клиент Cisco.

Это не «один протокол лучше другого» — это вопрос, что уже стоит на компьютерах ваших людей и как быстро вам нужно раскатить доступ.

Совместимость с Cisco AnyConnect — главный довод в пользу ocserv

Если в компании когда-то был или есть Cisco ASA / Cisco Secure Client, у сотрудников почти наверняка уже установлен клиент AnyConnect (сейчас он называется Cisco Secure Client, но ядро протокола то же). ИТ-отдел его администрирует через GPO, у пользователей есть привычка «открыть AnyConnect и ввести логин».

Замена сервера Cisco ASA (дорогая лицензия, оборудование, поддержка) на VPS с ocserv позволяет сохранить этот клиент как есть — просто поменять адрес сервера в профиле подключения. Никакой переустановки, никакого переобучения пользователей.

Практическая проверка совместимости перед миграцией:

# На клиенте с Cisco AnyConnect/Secure Client — просто меняете
# адрес VPN-шлюза на IP или домен нового сервера с ocserv.
# Протокол TLS handshake должен пройти прозрачно, если
# на сервере настроен валидный сертификат (не self-signed).

Важный нюанс: официальный клиент Cisco строже проверяет сертификат и иногда — group-url и banner-сообщения, чем открытый OpenConnect-клиент. Если планируете держать именно проприетарный Cisco Secure Client на части машин, тестируйте подключение с ним отдельно, а не только с openconnect из командной строки — расхождения в поведении встречаются на нюансах TLS-версий и cipher suite.

Открытый клиент OpenConnect для Linux/macOS/Windows подключается так:

sudo openconnect --protocol=anyconnect vpn.example.com

Он же лежит в основе интеграции с NetworkManager — то есть на Linux-ноутбуках сотрудников подключение настраивается через системный GUI, без терминала.

Протоколы и порты: TLS/DTLS против OpenVPN на UDP/TCP

С точки зрения сетевого администратора разница в транспорте тоже важна.

Ключевое преимущество ocserv здесь — он изначально рассчитан на работу на 443-м порту одновременно с обычным HTTPS-трафиком, потому что так делал оригинальный Cisco ASA. Это удобно там, где исходящий трафик компании фильтруется прокси и разрешены только 80/443. OpenVPN тоже можно перевести на TCP/443, но маскировка под легитимный HTTPS-трафик получается менее естественной без дополнительных обвязок вроде obfs4 или stunnel.

Для сравнения производительности самих протоколов однозначных цифр давать не буду — она сильно зависит от загрузки CPU сервера, MTU, качества канала и конкретной версии ПО. На практике оба варианта в TCP/UDP-режиме дают ощутимо схожую скорость на современном VPS с 1-2 vCPU для десятков одновременных пользователей; узкое место обычно не протокол, а канал сервера и шифрование на слабом CPU.

Установка ocserv на Ubuntu 24.04: быстрый практический пример

Если решили попробовать ocserv, вот минимальный рабочий конфиг для теста на чистом VPS.

sudo apt update
sudo apt install -y ocserv gnutls-bin

# Генерация самоподписанного сертификата для быстрого теста
# (для продакшена — сертификат от Let's Encrypt на реальный домен)
sudo mkdir -p /etc/ocserv/ssl
cd /etc/ocserv/ssl
sudo certtool --generate-privkey --outfile server-key.pem
sudo certtool --generate-self-signed --load-privkey server-key.pem \
  --outfile server-cert.pem

Базовый /etc/ocserv/ocserv.conf (ключевые строки):

auth = "plain[passwd=/etc/ocserv/ocpasswd]"
tcp-port = 443
udp-port = 443
run-as-user = ocserv
run-as-group = ocserv
socket-file = /run/ocserv-socket
server-cert = /etc/ocserv/ssl/server-cert.pem
server-key = /etc/ocserv/ssl/server-key.pem
max-clients = 128
max-same-clients = 4
ipv4-network = 10.10.10.0
ipv4-netmask = 255.255.255.0
dns = 1.1.1.1
route = default

Создание пользователя и запуск:

sudo ocpasswd -c /etc/ocserv/ocpasswd ivanov
sudo systemctl enable --now ocserv
sudo systemctl status ocserv

Не забудьте про NAT и форвардинг пакетов на сервере — без включённого net.ipv4.ip_forward=1 и правила MASQUERADE в iptables/nftables клиенты подключатся, но не получат доступ в интернет. Подробный пошаговый разбор установки ocserv, включая работу с Let's Encrypt и группами доступа, есть в отдельном материале — ocserv (OpenConnect) на Ubuntu 24.04: пошаговая установка.

OpenVPN: когда гибкость важнее совместимости

Если совместимости с Cisco-клиентами не требуется, а важна максимальная управляемость — OpenVPN обычно удобнее для бизнеса по нескольким причинам.

• Готовые системы управления сертификатами. Easy-RSA из коробки закрывает выпуск и отзыв клиентских сертификатов — для команды из 20-100 человек это проще, чем ручное управление паролями.
• Гибкость маршрутизации. Split-tunnel, отдельные маршруты по отделам, разные конфиги для разных групп пользователей настраиваются через client-config-dir без внешних систем.
• Больше проверенных интеграций. Плагины аутентификации через RADIUS, LDAP, Google Authenticator для OpenVPN обкатаны годами на большем числе инсталляций, чем аналоги для ocserv.
• Прозрачная отладка. Логи OpenVPN подробнее «из коробки», сообщества и готовых разборов ошибок больше.

Минимальный установочный путь для сравнения — на том же VPS ставится за несколько команд, конфиг клиента генерируется одним скриптом. Подробная инструкция с нуля — в статье как установить и настроить OpenVPN на VPS, а если сервер уже работает и возникают проблемы с подключением — частые ошибки OpenVPN на сервере и их решения.

Единственный серьёзный минус для enterprise-сценария: сотрудникам придётся ставить отдельный клиент OpenVPN Connect, даже если у них уже есть AnyConnect. Для компании с 10 людьми это не проблема. Для 200 человек с жёсткими политиками ИТ-отдела — уже вопрос согласований и времени на раскатку.

Аутентификация, MFA и AD/LDAP в обеих системах

Для бизнеса аутентификация обычно важнее самого туннеля — доступ должен привязываться к корпоративной учётке, а не к файлу конфига, который можно скопировать и унести.

ocserv поддерживает несколько бэкендов аутентификации одновременно (можно комбинировать):

• plain — локальный файл паролей (только для теста, не для продакшена);
• pam — через системный PAM, а через него — интеграция с LDAP/AD (модуль pam_ldap или sssd);
• сертификаты клиента (cert-user-oid) — тот же принцип, что и в OpenVPN;
• связка сертификат + пароль/OTP для честного двухфакторного входа.

OpenVPN решает то же самое через:

• сертификаты Easy-RSA как основа (обязательный первый фактор);
• плагин openvpn-plugin-auth-pam для второго фактора через PAM → LDAP/AD или Google Authenticator (TOTP);
• сторонние решения вроде OpenVPN-AS для веб-консоли управления пользователями (платная часть).

На практике для среднего бизнеса рабочая связка в обоих случаях — сертификат на устройство плюс пароль от корпоративной учётки через LDAP, и по возможности TOTP-код как третий фактор. Разница в том, что в OpenVPN сертификат — обязательное звено цепи с самого начала, а в ocserv можно стартовать с логина/пароля и добавить сертификаты позже, не пересобирая всю схему.

Если компания уже использует WireGuard параллельно с OpenVPN и выбирает между ними для нового проекта — вопрос решается по другим критериям, разбор в статье WireGuard или OpenVPN: что выбрать для сервера. Здесь же сравнение именно про совместимость с Cisco-инфраструктурой, где WireGuard не участвует — под него нет клиента, совместимого с AnyConnect.

Частые вопросы