OpenVPN

proxies:
  - name: "openvpn"
    type: openvpn
    server: vpn.example.com
    port: 1194
    proto: udp
    # Режим auth-user-pass
    username: "user"
    password: "pass"
    # Режим сертификатов (альтернатива вышеуказанному)
    # cert: |
    #   -----BEGIN CERTIFICATE-----
    #   ...
    #   -----END CERTIFICATE-----
    # key: |
    #   -----BEGIN PRIVATE KEY-----
    #   ...
    #   -----END PRIVATE KEY-----
    # tls-auth: |
    #   -----BEGIN OpenVPN Static key V1-----
    #   ...
    #   -----END OpenVPN Static key V1-----
    # key-direction: "1"
    ca: |
      -----BEGIN CERTIFICATE-----
      MIIB...example
      -----END CERTIFICATE-----
    # tls-crypt: |
    #  -----BEGIN OpenVPN Static key V1-----
    #  ...
    #  -----END OpenVPN Static key V1-----
    # tls-crypt-v2: |
    #  -----BEGIN OpenVPN tls-crypt-v2 client key-----
    #  ...
    #  -----END OpenVPN tls-crypt-v2 client key-----
    # peer-info:
    #   IV_HWADDR: "52:54:00:ff:72:87"
    #   UV_DEVICE_ID: "laptop-001"
    # ping: 10
    # ping-restart: 60
    # tran-window: 3600
    # handshake-timeout: 30
    # dev: tun
    # cipher: AES-128-GCM
    # data-ciphers: [AES-256-GCM, AES-128-GCM]
    # data-ciphers-fallback: AES-128-CBC
    # auth: SHA256
    # comp-lzo: "no"
    udp: true
    # mtu: 1500
    # ip-stack:
    #   mode: auto
    #   congestion-controller: cubic
    # dialer-proxy: "ss1"
    # remote-dns-resolve: true
    # dns: [ 1.1.1.1, 8.8.8.8 ]

Общие поля

server

Обязательно, адрес сервера OpenVPN.

port

Обязательно, порт сервера OpenVPN, по умолчанию 1194.

proto

Опционально, тип протокола, поддерживается udp или tcp, по умолчанию udp.

username / password

Опционально, имя пользователя и пароль, необходимые для режима аутентификации auth-user-pass.

Примечание: Необходимо выбрать либо этот вариант, либо пару cert / key. Оба варианта не могут быть пустыми одновременно.

ca

Обязательно, содержимое сертификата CA. Скопируйте содержимое тега <ca> из вашего .ovpn файла.

cert

Опционально, содержимое клиентского сертификата. Скопируйте содержимое тега <cert> из вашего .ovpn файла. Можно пропустить при использовании режима с именем пользователя и паролем.

key

Опционально, содержимое закрытого ключа клиента. Скопируйте содержимое тега <key> из вашего .ovpn файла. Можно пропустить при использовании режима с именем пользователя и паролем.

tls-auth

Необязательно, скопируйте из тега <tls-auth> в файле .ovpn. Взаимоисключающий с tls-crypt / tls-crypt-v2.

key-direction

Необязательно, заполняется при использовании tls-auth, поддерживает значения "1" или "0". Если не заполнено или указана пустая строка, используется двунаправленный режим (bidirectional).

tls-crypt

Опционально, ключ шифрования TLS. Скопируйте содержимое тега <tls-crypt> из вашего .ovpn файла (сами теги копировать не нужно). Взаимоисключающий с tls-auth / tls-crypt-v2.

tls-crypt-v2

Опционально, скопируйте клиентский ключ из тега <tls-crypt-v2> в файле .ovpn (сами теги копировать не нужно). Взаимоисключающий с tls-auth / tls-crypt.

ping

Опционально, по умолчанию 0.

ping-restart

Опционально, по умолчанию 0.

peer-info

Опциональные пары ключ-значение peer-info, передаваемые серверу. Они добавляются после встроенных IV_VER/IV_PROTO/IV_CIPHERS и могут использоваться сервером для принятия решения о допуске.

tran-window

Количество секунд, в течение которых старый ключ данных (data key) сохраняется после смены ключа (rekey); по умолчанию — 3600. Явное значение 0 означает немедленное истечение срока действия. Должно быть согласовано с серверным параметром —tran-window.

handshake-timeout

Опциональный таймаут рукопожатия в секундах. Значение по умолчанию 0 означает, что используется только таймаут внешнего соединения.

dev

Опционально, тип виртуального сетевого интерфейса, на данный момент поддерживается только tun, по умолчанию tun.

cipher

Опционально, метод шифрования, поддерживаются AES-128-GCM / AES-256-GCM / AES-128-CBC / AES-256-CBC / CHACHA20-POLY1305, по умолчанию AES-128-GCM. Значение AES-CBC будет обрабатываться как AES-128-CBC.

data-ciphers

Необязательно, список согласования шифров (cipher) для канала данных, отправляет IV_CIPHERS серверу; список шифров, переданный (push) сервером, пересекается с локальным списком, и выбирается первое совпадение.

data-ciphers-fallback

Необязательно, резервный (fallback) шифр в случае сбоя согласования (соответствует —data-ciphers-fallback)

auth

Опционально, алгоритм аутентификации данных, поддерживаются MD5 /SHA1 / SHA256/ SHA384 / SHA512, по умолчанию SHA256. При использовании AEAD-шифров параметр auth игнорируется.

comp-lzo

Опционально, метод сжатия данных. Допустимые значения: yes, no, adaptive.

udp

Опционально, использовать ли протокол UDP. true означает использование UDP, false — использование TCP.

mtu

Опционально, максимальный размер пакета (MTU), по умолчанию 1500.

ip-stack

Необязательная настройка стека IP-протоколов.

ip-stack.mode

Доступные значения: auto, gvisor, mips. Значение по умолчанию — auto. При значении auto всегда используется IP-стек mihomo (MIPS); для gvisor требуется сборка с -tags with_gvisor.

ip-stack.congestion-controller

Алгоритм управления перегрузкой TCP. Доступные значения: cubic, reno, bbr, bbr3. Значение по умолчанию — cubic.

При использовании стека IP-протоколов gVisor этот параметр не применяется.

dialer-proxy

Опционально, идентификатор исходящего прокси. Если указано, соединение OpenVPN будет установлено через данный прокси.

remote-dns-resolve

Опционально, принудительное удаленное разрешение DNS, по умолчанию false.

dns

Опционально, работает только если параметр remote-dns-resolve установлен в true. Задает список адресов DNS-серверов для удаленного разрешения.