OpenVPN

OpenVPN je open-source software a zároveň protokol, kterým se vytváří VPN – šifrované spojení mezi vaším zařízením a serverem. Veškerý provoz, který jde tunelem, je pro poskytovatele internetu nebo správce veřejné Wi-Fi nečitelný a navštívené weby vidí IP adresu serveru místo vaší.

Projekt vznikl v roce 2001 a patří k nejdéle používaným řešením VPN. Podporují ho firemní sítě, domácí routery i většina komerčních poskytovatelů VPN. Díky dlouhé historii prošel několika nezávislými bezpečnostními audity a jeho silné i slabé stránky jsou dobře známé.

Jak OpenVPN funguje

K navázání zabezpečeného spojení OpenVPN používá protokol TLS – stejný základ, jaký chrání webové stránky s HTTPS. Klient a server se vzájemně ověří certifikáty, případně i jménem a heslem, a dohodnou si klíče. Samotná data pak šifrují moderními algoritmy, typicky AES v režimu GCM nebo ChaCha20-Poly1305.

OpenVPN běží obvykle v uživatelském prostoru operačního systému a kryptografii přenechává ověřeným knihovnám, nejčastěji OpenSSL. Je velmi konfigurovatelný: nastavení se ukládají do textových profilů s příponou .ovpn, které obsahují adresu serveru, certifikáty a volby šifrování. Tato pružnost je výhodou pro správce, špatně zvolená konfigurace ale může bezpečnost oslabit.

UDP, nebo TCP

OpenVPN umí tunel přenášet přes UDP i TCP. UDP je výchozí a rychlejší, protože nečeká na potvrzení každého paketu – opravu ztrát řeší až provoz uvnitř tunelu. Hodí se pro běžné prohlížení, hovory i streamování.

TCP je spolehlivější v sítích, které UDP blokují nebo omezují, například v některých hotelech či firmách. Pokud OpenVPN běží na portu 443, jeho provoz se podobá běžnému HTTPS a snáz projde přísným firewallem. Daní je nižší rychlost a u ztrátových linek efekt, kdy se opakované přenosy zdvojují.

OpenVPN a WireGuard

Novější WireGuard má řádově menší kód, pevně zvolenou moderní kryptografii a běží přímo v jádře Linuxu, takže bývá rychlejší a šetrnější k baterii. OpenVPN je pomalejší a složitější, nabízí ale víc možností nastavení, podporu TCP a delší praxi ve firemním nasazení.

U dobře nastaveného serveru jsou oba protokoly považovány za bezpečné. OpenVPN má navrch tam, kde je třeba projít restriktivními sítěmi nebo napojit existující infrastrukturu certifikátů, WireGuard v rychlosti a jednoduchosti. Výběr poskytovatele a další souvislosti najdete v kategorii VPN.

K čemu OpenVPN slouží

Firmy jím připojují zaměstnance do interní sítě, domácnosti si jím zpřístupňují domácí server nebo NAS mimo domov a komerční poskytovatelé VPN ho nabízejí v aplikacích jako jeden z protokolů. Mnoho routerů umí OpenVPN server spustit přímo, bez dalšího počítače.

VPN chrání soukromí spojení, ne identitu jako takovou – pokud se přihlásíte do účtu, služba ví, kdo jste. Provoz navíc vidí provozovatel serveru, proto rozhoduje, komu důvěřujete. Pokud potřebujete jen propojit vlastní zařízení, zvažte i mesh VPN.

Časté dotazy

Kde stáhnout OpenVPN?

Klienta stáhněte z oficiální stránky projektu nebo z obchodu s aplikacemi vašeho systému. Pokud používáte komerční VPN, OpenVPN bývá zabudovaný přímo v její aplikaci. Vyhněte se neoficiálním zrcadlům.

Je OpenVPN zdarma?

Komunitní verze je open-source a bezplatná. Firma, která za projektem stojí, nabízí i placené produkty pro správu firemních VPN. Za server nebo službu VPN se ale obvykle platí zvlášť.

Je OpenVPN bezpečný?

Při aktuální verzi a rozumné konfiguraci ano. Rizika vznikají u zastaralých verzí, slabého nastavení šifrování nebo u nedůvěryhodného provozovatele serveru.

Co je soubor .ovpn?

Je to konfigurační profil s adresou serveru, certifikáty a nastavením tunelu. Načtete ho do klienta a připojení je připravené. Obsahuje citlivé údaje, proto ho nesdílejte.