OpenVPN с ГОСТ в НАЙС.ОС

В НАЙС.ОС OpenVPN использует системную криптографическую платформу OpenSSL с поддержкой российских алгоритмов. Сервис может передавать IP-трафик через защищённый туннель, в котором канал данных шифруется ГОСТ Р 34.12-2015 «Кузнечик» в режиме CBC, а контроль подлинности пакетов выполняется HMAC со «Стрибогом-256».

Эта конфигурация применяется в реальном подключении двух узлов НАЙС.ОС и подтверждается журналами согласования алгоритмов в обоих направлениях. Для работы туннеля используются системные службы openvpn-server@... и openvpn-client@..., настройки сетевых интерфейсов выполняются штатными средствами НАЙС.ОС, а сетевой доступ регулируется iptables.

Два отдельных криптографических канала

Канал данных шифрует пользовательские IP-пакеты, а управляющий TLS-канал проверяет сертификаты, устанавливает защищённое соединение и обеспечивает согласование ключей. Алгоритмы этих двух каналов независимы. Поэтому ГОСТ на канале данных можно использовать одновременно с TLS на основе AES и RSA.

С чего начать

1. Как защищается VPN-соединение — какая криптография относится к TLS, а какая к трафику.
2. Рабочий профиль ГОСТ — полный разбор применяемых параметров.
3. Настройка сервера — размещение конфигурации, проверка прав и запуск службы.
4. Настройка клиента — согласование профиля и проверка туннеля.
5. Диагностика — почему соединение не устанавливается или работает без трафика.

Справочные руководства

• Алгоритмы и согласование — «Кузнечик», «Магма», HMAC и выбор data-ciphers.
• OpenSSL и ГОСТ — Provider, Engine и проверка доступных алгоритмов.
• Работа службы — systemctl, journalctl, сохранение конфигурации.
• Проверка при изменениях — приёмочные сценарии и порядок обновлений.

Для создания собственных ГОСТ-ключей, CSR и сертификатов используйте документацию OpenSSL: здесь не повторяется курс по PKI.

Документация ПО · НАЙС.ОС CLOUD