Эксплуатация OpenVPN как службы systemd

В НАЙС.ОС OpenVPN запускается через экземпляры системных служб. Название профиля в имени unit-сервиса связывает запуск с соответствующим конфигурационным файлом.

Сервер

systemctl status openvpn-server@server-gost.service
systemctl cat openvpn-server@server-gost.service
systemctl is-enabled openvpn-server@server-gost.service

В применяемой установке сервис читает /etc/openvpn/server-gost.conf, ведёт PID в /run/openvpn/server-gost.pid и работает с конфигурацией выбранного ГОСТ-профиля. Вызов systemctl cat показывает точный путь запуска и исключает догадки о расположении файла.

Клиент

systemctl list-units 'openvpn-client@*'
systemctl status openvpn-client@cloud.ru.service
systemctl cat openvpn-client@.service

Подставьте фактическое имя клиента.

Текущая диагностика

journalctl -u openvpn-server@server-gost.service --since '-1 hour' --no-pager
journalctl -u openvpn-client@cloud.ru.service --since '-1 hour' --no-pager

Для анализа именно криптографии используйте фильтр из диагностики ГОСТ. Помните, что журналы могут включать имена клиентов и публичные адреса; перед передачей в поддержку их необходимо обезличить.

Применение настроек

Перезапуск OpenVPN разрывает подключённых клиентов. Сначала сохраните копию конфигурации и зафиксируйте текущие действующие соединения; затем выбирайте обслуживаемое окно:

sudo systemctl restart openvpn-server@server-gost.service
sudo systemctl --no-pager --full status openvpn-server@server-gost.service

После перезапуска заново проверьте фактический согласованный шифр и HMAC с реальным клиентом, а не только статус active (running).

Обслуживание без нарушения сетевой политики

Доступ к порту OpenVPN и маршрутизация выполняются средствами iptables и systemd-networkd. Не перезапускайте сетевую подсистему ради изменения криптографических параметров, если проблема относится только к OpenVPN. Не выполняйте iptables -F или установку ACCEPT для всей таблицы.