OpenVPN на UniFi Gateway: подключение к VPS, маршруты и диагностика ошибок

MAATRIX · Обновлено 22 октября 2026 · 7 мин чтения

У OpenVPN есть полезное качество: он умеет долго работать в инфраструктуре, о существовании которой вспоминают только при переезде. Сервер настроили, сертификаты выдали, сотрудники подключаются. Потом в офисе появляется UniFi Gateway, и возникает разумное желание перенести подключение с нескольких компьютеров на один шлюз.

Такой перенос возможен, но файл .ovpn — только половина настройки. UniFi должен сначала установить туннель, а затем получить правило, объясняющее, какие устройства им пользуются. Пройдём этот путь без изменения серверных параметров наугад. Заодно подготовим короткий порядок диагностики: сообщение об ошибке полезнее магического совета «перезагрузите всё», если знать, что именно оно сообщает.

Паспорт подключения: пять вещей, которые стоит уточнить

Первое — модель шлюза. Официальный OpenVPN-клиент относится к Next-Gen UniFi Gateway и UniFi Cloud Gateway. Наличие в помещении точки доступа с логотипом Ubiquiti ещё не означает наличие VPN-клиента. Для старых USG и другой линейки EdgeRouter требуется отдельная проверка возможностей. Требования производителя приведены в инструкции OpenVPN Client.

Второе — клиентский профиль. Нужен файл именно для OpenVPN, предназначенный для подключения к вашему серверу. Для обычного выхода в интернет удобна конфигурация TUN с сертификатами и ключами внутри файла. Если профиль ссылается на отдельные файлы, получите полный комплект или единый профиль, который принимает импорт UniFi.

Третье — авторизация. Некоторые серверы дополнительно требуют VPN-логин и пароль, другие узнают клиента по сертификату. В готовом профиле MAATRIX используется сертификатная схема. Не подставляйте вместо отсутствующих VPN-данных пароль root, личного кабинета или администратора UniFi. Это не усилит авторизацию, зато добавит лишний секрет в ненужное место.

Четвёртое — транспорт и порт. Параметры UDP или TCP должны совпадать с сервером. Пятое — назначение подключения: весь интернет выбранного устройства или только внутренние ресурсы организации. В этой статье настраиваем первый вариант, с выходом через VPS. Межофисная сеть требует дополнительных маршрутов и правил доступа и не возникает автоматически при импорте файла.

Перед первым подключением оставьте себе путь назад

Сохраните резервную копию UniFi и посмотрите версии приложения Network и прошивки шлюза. Проводите настройку из локальной сети. Выберите один тестовый ноутбук, убедитесь, что UniFi является его шлюзом, и запишите обычный внешний IP. Так результат будет легко сравнить, а ошибка не затронет весь офис.

Подготовьте отдельный профиль для UniFi. Если сертификат уже используется на другом независимом клиенте, запросите новый. Общая копия удобна ровно до первого конфликта сессий или необходимости отозвать доступ одному устройству. Файл .ovpn с закрытым ключом храните как пароль, а не как картинку для переписки.

Проверьте дату на шлюзе и отсутствие пересечения подсетей LAN и VPN. У сертификатов есть сроки действия, у маршрутов — диапазоны адресов; обе вещи не любят двусмысленности. Если профиль относится к корпоративному серверу, заранее уточните у администратора, допускается ли подключение целой локальной сети через одного клиента.

Свой узел выхода можно развернуть на VPS MAATRIX, выбрав OpenVPN среди доступных способов установки ПО. Для зарубежных рабочих сервисов подходят доступные локации США, UK или FR. Выбирайте их по задаче и проверенной задержке. Доступность ИИ зависит также от правил конкретного сервиса и аккаунта; смена точки выхода не даёт обещания универсальной совместимости.

Импорт файла: сначала читаем результат, потом меняем сеть

В приложении UniFi Network откройте Settings → VPN → VPN Client, создайте подключение OpenVPN и загрузите .ovpn. Назовите его, например, OpenVPN-Work-FR. Введите отдельные VPN-учётные данные только если их требует сервер, затем примените изменения. Импорт и проверка содержимого описаны в официальном руководстве.

Если интерфейс отвергает параметр, запишите точный текст ошибки. Поддержка OpenVPN не означает, что любая директива любой версии будет принята всеми устройствами. Получите профиль, совместимый с установленным клиентом, или согласуйте исправление с администратором. Не удаляйте проверки серверного сертификата, TLS-защиту и другие непонятные строки до первого успешного сохранения.

После импорта дождитесь установленного туннеля. Пока не меняйте правила всех компьютеров: сначала убедитесь, что соединение вообще стабильно. Если оно постоянно восстанавливается, посмотрите журнал и время каждого разрыва. Повторяемый сбой проще исследовать, чем сеть, в которой одновременно меняются сертификат, DNS и пять правил firewall.

Маршрут для одного ноутбука

Создайте правило Route. В Network 9.4 оно находится в Settings → Policy Table → Create New Policy, в 9.3 — в Settings → Policy Engine → Policy-Based Routes → Create Route. Интерфейсом выберите OpenVPN, источником — тестовый ноутбук, назначением — Any. Включите Kill Switch, если прямой выход при отказе запрещён. Документация маршрутизации UniFi поясняет эти поля.

Проверьте, нет ли других правил для того же устройства. Для первого запуска проще направить через туннель весь его внешний трафик: это позволяет проверить работу без поиска каждого домена авторизации и загрузки файлов. Позднее можно создать отдельную VLAN для таких устройств или продумать более узкие назначения.

Теперь откройте проверку IPv4 на самом ноутбуке. Адрес должен соответствовать выходу VPS. Затем откройте нужное приложение, выполните вход и обычную операцию. Например, у ИИ проверьте длинный ответ и загрузку небольшого несекретного документа. Смена адреса подтверждает маршрут, но не заменяет функциональный тест приложения.

Три незаметных участника: DNS, IPv6 и размер пакета

Первый участник — DNS. Зафиксируйте, откуда клиент получает адрес резолвера и каким путём идут запросы. Настройки браузера, системный DNS и настройки шлюза могут различаться. Пока выясняете причину, оставьте одну понятную схему. Если позже используете правила по доменам, клиентам нужен DNS через UniFi Gateway; произвольный внешний DoH способен нарушить такую логику выбора маршрута.

Второй — IPv6. Профиль, настроенный только для IPv4, не доказывает, что IPv6 защищён тем же туннелем. Проверьте оба адреса с ноутбука. Для отдельной сети с IPv4-only сервером временно отключите выдачу IPv6 и переподключите клиентов. Если IPv6 нужен постоянно, настройте и проверьте его поддержку на обоих концах, а не просто допишите маршрут в файл.

Третий — размер пакета. Когда вход работает, но большие загрузки останавливаются, среди возможных причин есть MTU. Это гипотеза, которую проверяют после DNS и маршрута, изменяя один параметр и сравнивая результат. Универсального «правильного числа для любого VPN» нет: путь и инкапсуляция отличаются. Сохраните исходные значения, чтобы эксперимент не превратился в новую постоянную неисправность.

Журнал ошибок как короткий разговор с сервером

AUTH_FAILED указывает на проблему авторизации или серверной политики. Проверьте дополнительные VPN-данные, состояние пользователя и действительность сертификата. Ошибка проверки сертификата требует внимания к времени, срокам и доверенному удостоверяющему центру. Не отключайте проверку подлинности ради исчезновения сообщения.

Тайм-аут соединения заставляет проверить внешний адрес, порт, транспорт и доступность сервиса. Если сервер слушает UDP, профиль TCP не поможет. Если туннель установлен, но адрес ноутбука прежний, возвращайтесь к правилу маршрутизации. Эти случаи относятся к разным этапам, и смешивать их — всё равно что ремонтировать дверной замок из-за задержки лифта.

Смысл параметров профиля можно уточнять в руководстве OpenVPN, учитывая фактическую версию клиента. Для обращения в поддержку подготовьте модель, версии, время ошибки и очищенный фрагмент журнала. Закрытый ключ и пароль в приложении к тикету обычно не нужны.

Проверка отказа и спокойный откат

На своём тестовом VPS кратковременно остановите OpenVPN, сохранив маршрут UniFi. При включённом Kill Switch новые внешние соединения выбранного ноутбука должны прекратиться; после восстановления сервиса — заработать. Если прямой выход разрешён, проверьте ожидаемый возврат к провайдеру. Сам факт наличия галочки не заменяет эту проверку, особенно при резервном WAN.

Чтобы отменить настройку, снимите маршрут и связанную с ним блокировку, остановите VPN-клиент и проверьте обычный внешний IP. После успешного теста подключайте остальные устройства небольшими группами. Сохраните рабочий профиль, резервную копию и короткую запись о выбранном поведении при отказе. Такая запись редко выглядит героически, зато именно она помогает следующему администратору закончить работу до ужина.