openvpn-install

Instalador de OpenVPN para Debian, Ubuntu, Fedora, openSUSE, CentOS, Amazon Linux, Arch Linux, Oracle Linux, Rocky Linux y AlmaLinux.

Este script te permitirá configurar y gestionar tu propio servidor VPN seguro en solo unos segundos.

¿Qué es esto?

Este script está pensado para ejecutarse en tu propio servidor, ya sea un VPS o un servidor dedicado, o incluso un ordenador en casa.

Una vez configurado, podrás generar archivos de configuración de cliente para cada dispositivo que quieras conectar.

Cada cliente podrá enrutar su tráfico de internet a través del servidor, totalmente cifrado.```mermaid graph LR A[Phone] -->|Encrypted| VPN B[Laptop] -->|Encrypted| VPN C[Computer] -->|Encrypted| VPN

VPN[OpenVPN Server]

VPN --> I[Internet]

## ¿Por qué OpenVPN?

OpenVPN era el estándar de facto para VPNs de código abierto cuando se creó este script. WireGuard llegó después y es más simple y rápido para la mayoría de los casos de uso. Echa un vistazo a [wireguard-install](https://github.com/angristan/wireguard-install).

Dicho esto, OpenVPN sigue teniendo sentido cuando necesitas:

- **Soporte TCP**: funciona en entornos restrictivos donde UDP está bloqueado (redes corporativas, aeropuertos, hoteles, etc.)
- **Claves privadas protegidas por contraseña**: las configuraciones de WireGuard almacenan la clave privada en texto plano
- **Compatibilidad heredada**: existen clientes para casi todas las plataformas, incluidos sistemas antiguos

## Características

- Instala y configura un servidor OpenVPN listo para usar
- Interfaz CLI para automatización y scripting (modo no interactivo con salida JSON)
- Renovación de certificados tanto para certificados de cliente como de servidor
- Listar y monitorear clientes conectados
- Desconexión inmediata del cliente al revocar el certificado (a través de la interfaz de gestión)
- Utiliza los [repositorios oficiales de OpenVPN](https://community.openvpn.net/openvpn/wiki/OpenvpnSoftwareRepos) cuando es posible para las últimas versiones estables
- Reglas de firewall y reenvío gestionados sin problemas (soporte nativo de firewalld y nftables, con iptables como respaldo)
- Subredes VPN configurables (IPv4: por defecto `10.8.0.0/24`, IPv6: por defecto `fd42:42:42:42::/112`)
- MTU de túnel configurable (por defecto: `1500`)
- Si es necesario, el script puede eliminar OpenVPN limpiamente, incluida la configuración y las reglas de firewall
- Ajustes de cifrado personalizables, configuraciones predeterminadas mejoradas (ver [Seguridad y cifrado](#security-and-encryption) más abajo)
- Utiliza las últimas funciones de OpenVPN cuando están disponibles (ver [Seguridad y cifrado](#security-and-encryption) más abajo)
- Variedad de resolutores DNS para enviar a los clientes
- Opción de usar un resolutor autoalojado con Unbound (compatible con instalaciones de Unbound ya existentes)
- Opción entre TCP y UDP
- Soporte flexible de IPv4/IPv6:
  - Extremo de servidor IPv4 o IPv6 (cómo se conectan los clientes)
  - Clientes solo IPv4, solo IPv6 o de doble pila (direccionamiento VPN y acceso a internet)
  - Todas las combinaciones compatibles: 4→4, 4→4/6, 4→6, 6→4, 6→6, 6→4/6
  - Prevención automática de fugas: bloquea el protocolo no deseado en modos de pila única
- Modo sin privilegios: ejecutar como `nobody`/`nogroup`
- Bloquear fugas de DNS en Windows 10
- Nombre de certificado de servidor aleatorizado
- Opción de proteger a los clientes con una contraseña (cifrado de clave privada)
- Opción para permitir que varios dispositivos usen el mismo perfil de cliente simultáneamente (desactiva las direcciones IP persistentes)
- **Autenticación por huella digital de pares** (OpenVPN 2.6+): autenticación simplificada similar a WireGuard sin CA
- ¡Muchas otras pequeñas cosas!

## Compatibilidad

El script es compatible con estas distribuciones de Linux:

|                     | Soporte |
| ------------------- | ------- |
| AlmaLinux >= 8      | ✅ 🤖   |
| Amazon Linux 2023   | ✅ 🤖   |
| Arch Linux          | ✅ 🤖   |
| CentOS Stream >= 8  | ✅ 🤖   |
| Debian >= 11        | ✅ 🤖   |
| Fedora >= 40        | ✅ 🤖   |
| openSUSE Leap >= 16 | ✅ 🤖   |
| openSUSE Tumbleweed | ✅ 🤖   |
| Oracle Linux >= 8   | ✅ 🤖   |
| Rocky Linux >= 8    | ✅ 🤖   |
| Ubuntu >= 18.04     | ✅ 🤖   |

A tener en cuenta:

- El script se prueba regularmente solo contra las distribuciones marcadas con 🤖.
  - Solo se prueba en arquitectura `amd64`.
- El script requiere `systemd`.

### Proveedores recomendados

- [Vultr](https://umami.stanislas.cloud/q/1HH9Thp8i): Ubicaciones en todo el mundo, soporte IPv6, desde \$2.5/mes
- [Hetzner](https://umami.stanislas.cloud/q/HdzaOJWq7): Ubicaciones en todo el mundo, IPv6, 20 TB de tráfico, desde €3.59/mes
- [Digital Ocean](https://umami.stanislas.cloud/q/sEVh1l79B): Ubicaciones en todo el mundo, soporte IPv6, desde \$4/mes

## Uso

Primero, descarga el script en tu servidor y hazlo ejecutable:```bash
curl -O https://raw.githubusercontent.com/angristan/openvpn-install/master/openvpn-install.sh
chmod +x openvpn-install.sh

Necesitas ejecutar el script como root y tener el módulo TUN habilitado.

Modo Interactivo

La forma más fácil de empezar es el menú interactivo:```bash ./openvpn-install.sh interactive

Esto te guiará a través de la instalación y la gestión de clientes.

En tu directorio personal, tendrás archivos `.ovpn`. Estos son los archivos de configuración del cliente. Descárgalos desde tu servidor (usando `scp`, por ejemplo) y conéctate usando tu cliente OpenVPN favorito.

Si tienes alguna pregunta, dirígete primero a las [FAQ](#faq). Y si necesitas ayuda, puedes abrir una [discusión](https://github.com/angristan/openvpn-install/discussions). Por favor, busca primero en los issues y discusiones existentes.

### Modo CLI

> [!WARNING]
> No se garantiza la compatibilidad de la API. Pueden ocurrir cambios que rompan la compatibilidad entre versiones. Si usas este script programáticamente (p. ej., en automatización o CI/CD), fija un commit específico en lugar de usar la rama master.

Para automatización y scripting, usa la interfaz CLI:```bash
# Install with defaults
./openvpn-install.sh install

# Add a client
./openvpn-install.sh client add alice

# List clients
./openvpn-install.sh client list

# Revoke a client (immediately disconnects if connected)
./openvpn-install.sh client revoke alice

Comandos```text

openvpn-install [options]

Commands: install Install and configure OpenVPN server uninstall Remove OpenVPN server client Manage client certificates server Server management interactive Launch interactive menu

Global Options: --verbose Show detailed output --log Log file path (default: openvpn-install.log) --no-log Disable file logging --no-color Disable colored output -h, --help Show help

Ejecuta `./openvpn-install.sh <command> --help` para conocer las opciones específicas de cada comando.

#### Gestión de clientes```bash
# Add a new client
./openvpn-install.sh client add alice

# Add a password-protected client
./openvpn-install.sh client add bob --password

# Revoke a client
./openvpn-install.sh client revoke alice

# Renew a client certificate
./openvpn-install.sh client renew bob --cert-days 365

Listar todos los clientes:```text $ ./openvpn-install.sh client list ══ Client Certificates ══ [INFO] Found 3 client certificate(s)