sudo apt update && sudo apt upgrade -yCode language: Bash (bash)

sudo apt install -y ca-certificates curl gnupg lsb-releaseCode language: Bash (bash)

sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
  $(. /etc/os-release && echo "$VERSION_CODENAME") stable" | \
  sudo tee /etc/apt/sources.list.d/docker.list > /dev/nullCode language: Bash (bash)

sudo apt update
Code language: Bash (bash)

sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-pluginCode language: Bash (bash)

sudo systemctl status dockerCode language: Bash (bash)

sudo mkdir /docker-compose-data/portainer # Создаём каталог
cd /docker-compose-data/portainer # Переходим в созданный каталог
sudo echo "" > docker-compose.yml # Создаём в каталоге пустой файл конфигурацииCode language: Bash (bash)

services:
  portainer: # Название контейнера внутри файла конфигурации
    image: portainer/portainer-ce:latest # Используемый для разворачивания образ. В продуктовых сервисах, лучше указать конкретную версию вместо latest (последнюю доступную), чтобы избежать случайного обновления
    container_name: portainer # Название контейнера в системе
    restart: unless-stopped # Контейнер никогда не остановиться
    ports:
      - "9000:9000" # Внешний порт (порт, который виден на хосте) : Внутренний порт (порт внутри контейнера, с которым связан внешний порт)
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock # Проброс Docker-сокета внутрь контейнера, чтобы Portainer мог напрямую управлять Docker на хосте (контейнерами, образами, томами и сетями)
      - portainer_data:/data # Хранилище, которое доступно внутри контейнера в виде каталога /data
   networks: [proxy] # Указываем, что наш контейнер подключен к сети с именем "proxy"

volumes:
  portainer_data: # Объявляем, что используем хранилище (на хосте это хранилище будет расположено в /var/lib/docker/volumes/portainer_data/_data/)networks:

networks:
  proxy: # Объявляем, что используем эту сеть
    external: true # и она внешняя
Code language: Dockerfile (dockerfile)

docker network create proxyCode language: Bash (bash)

sudo docker compose up -dCode language: Bash (bash)

sudo docker ps

services:
  app:
    image: 'docker.io/jc21/nginx-proxy-manager:latest'
    restart: unless-stopped
    ports:
      - '80:80' # Порт HTTP
      - '81:81' # Порт админ-панели
      - '443:443' # Порт HTTPS
    volumes:
      - ./data:/data
      - ./letsencrypt:/etc/letsencrypt
    networks: [proxy] # В одной сети с portainer
    
networks:
    proxy:
      external: trueCode language: Dockerfile (dockerfile)

Как и говорилось ранее, хост должен иметь внешний (белый) IP, а значит и DNS записи вы наверняка должны понимать как к нему прописать, но если вы вдруг (как и я) делаете этот пример на виртуальной машине, то можно такие имена прописать в hosts файле.

• Domain Names: portainer.my.host (то имя, которое указано в DNS для сервиса portainer)
• Scheme: http
• Forward Hostname / IP: portainer (имя сервиса в докере, оно будет доступно для NPM, т.к. они в одной сети proxy)
• Forward Port: 9000 (порт из настроечного файла portainer)

• SSL Certificate: Request a new Certificate
• Force SSL: True
• HTTP/2 Support: True

docker network create guac-vpn-transitCode language: Bash (bash)

Сеть создаётся один раз. В неё не надо подключать PostgreSQL и веб-интерфейс Guacamole — только guacd и контейнеры с VPN. Сеть proxy у нас уже создана ранее для работы через Nginx Proxy Manager.

• Stacks → Add stack
• Name: guacamole
• Build method: Web editor
• Access control: Enable access control: Administrators

Перед разворачиванием стека в разделе Environment variables добавим переменную POSTGRES_PASSWORD и зададим для неё сложный пароль. В сам текст стека пароль не вставляем.

services:
  guac-init:
    image: guacamole/guacamole:1.6.0
    entrypoint: ["/bin/sh", "-c"]
    command:
      - cp /opt/guacamole/extensions/guacamole-auth-jdbc/postgresql/schema/*.sql /initdb/
    volumes:
      - guac_init:/initdb
    restart: "no"

  guac-db:
    image: postgres:17-alpine
    container_name: guac-db
    restart: unless-stopped
    environment:
      POSTGRES_DB: guacamole_db
      POSTGRES_USER: guacamole_user
      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
    volumes:
      - guac_db:/var/lib/postgresql/data
      - guac_init:/docker-entrypoint-initdb.d:ro
    depends_on:
      guac-init:
        condition: service_completed_successfully
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U guacamole_user -d guacamole_db"]
      interval: 10s
      timeout: 5s
      retries: 5
    networks:
      - guac-internal

  guacd:
    image: guacamole/guacd:1.6.0
    container_name: guacd
    restart: unless-stopped
    networks:
      - guac-internal
      - guac-vpn-transit

  guacamole:
    image: guacamole/guacamole:1.6.0
    container_name: guacamole
    restart: unless-stopped
    environment:
      GUACD_HOSTNAME: guacd
      GUACD_PORT: 4822
      POSTGRESQL_ENABLED: "true"
      POSTGRESQL_HOSTNAME: guac-db
      POSTGRESQL_DATABASE: guacamole_db
      POSTGRESQL_USERNAME: guacamole_user
      POSTGRESQL_PASSWORD: ${POSTGRES_PASSWORD}
      WEBAPP_CONTEXT: ROOT
      REMOTE_IP_VALVE_ENABLED: "true"
    depends_on:
      guac-db:
        condition: service_healthy
      guacd:
        condition: service_started
    networks:
      - guac-internal
      - proxy

volumes:
  guac_db:
  guac_init:

networks:
  guac-internal:
    driver: bridge
  proxy:
    external: true
  guac-vpn-transit:
    external: true
Code language: Dockerfile (dockerfile)

Контейнер guac-init нужен только при первом разворачивании: он копирует стандартную схему базы данных Guacamole в отдельный volume. PostgreSQL при создании новой базы автоматически выполняет эти SQL-файлы. Сама база хранится в volume guac_db, поэтому перезапуск или пересоздание контейнеров guacamole и guacd не удаляет пользователей и настройки подключений.

guacd специально не публикуем наружу через ports:. У него нет собственной авторизации, поэтому доступ к нему должен оставаться только внутри Docker-сетей.

• Domain Names: guac.my.host
• Scheme: http
• Forward Hostname / IP: guacamole
• Forward Port: 8080
• Websockets Support: True
• Block Common Exploits: True

В разделе SSL запрашиваем сертификат, включаем Force SSL и HTTP/2 Support. Благодаря параметру WEBAPP_CONTEXT=ROOT Guacamole будет открываться просто по адресу https://guac.my.host/, без дополнительного /guacamole/ в конце.

Login: guacadmin
Password: guacadminCode language: HTTP (http)

Первым делом меняем пароль администратора. Дальше уже можно создавать обычных пользователей непосредственно в интерфейсе Guacamole: Settings → Users → New User. Например, создадим пользователя ivan.petrov и дадим ему доступ только к тем подключениям, которые ему действительно нужны.

В рабочей системе стандартный пароль guacadmin оставлять нельзя. Он нужен только для первого входа после инициализации базы.

У ООО Ромашка будет один RDP-сервер. Эта организация подключается через OpenVPN:

• Name: ООО Ромашка — RDS
• Protocol: RDP
• Hostname: vpn-romashka
• Port: 3389
• Username: demo-rdp
• Password: ExampleOnly!2026

У ООО Василёк будет два RDP-сервера, доступных через одно L2TP/IPsec-подключение. Для первого сервера создадим:

• Name: ООО Василёк — 1С RDS
• Protocol: RDP
• Hostname: vpn-vasilek
• Port: 3389
• Username: demo-user
• Password: ExampleOnly!2026

Для второго сервера:

• Name: ООО Василёк — Администрирование
• Protocol: RDP
• Hostname: vpn-vasilek
• Port: 3390
• Username: demo-admin
• Password: ExampleOnly!2026

Обратите внимание: для двух серверов ООО Василёк используется одно и то же имя vpn-vasilek, но разные порты — 3389 и 3390. В следующем разделе один VPN-контейнер будет перенаправлять эти порты на два разных RDP-сервера внутри сети организации.

Имена vpn-romashka и vpn-vasilek — это не DNS-имена серверов заказчиков. Это имена VPN-контейнеров в нашей общей Docker-сети guac-vpn-transit. Логины и пароли RDP здесь тоже вымышленные. В рабочей системе используем реальные учётные данные удалённых серверов и выдаём пользователям Guacamole доступ только к нужным подключениям.

docker network inspect guac-vpn-transitCode language: Bash (bash)

Эту сеть мы создали при установке Guacamole в предыдущем разделе. Если команда вернула информацию о сети, дополнительно ничего создавать не требуется.

sudo mkdir -p /opt/vpn-forwarders/secrets/romashka
sudo chmod 700 /opt/vpn-forwarders/secrets/romashkaCode language: Bash (bash)

В этот каталог помещаем переданный заказчиком файл client.ovpn. Текущая реализация OpenVPN-forwarder также ожидает файл key_password с паролем приватного ключа. Секреты в GitHub не храним.

/opt/vpn-forwarders/secrets/romashka/
├── client.ovpn
└── key_passwordCode language: Bash (bash)

Ограничим права:

sudo chmod 600 /opt/vpn-forwarders/secrets/romashka/client.ovpn
sudo chmod 600 /opt/vpn-forwarders/secrets/romashka/key_passwordCode language: Bash (bash)

• Stacks → Add stack
• Name: vpn-romashka
• Build method: Git Repository
• Repository URL: https://github.com/pantifeek/docker-vpn-forwarders.git
• Repository reference: refs/heads/main
• Compose path: portainer/stacks/openvpn.yml
• Access control: Enable access control: Administrators

Образ будет собран прямо из исходников репозитория, отдельный Docker Registry для этого не нужен.

VPN_CONTAINER_NAME=vpn-romashka
SECRET_DIR=/opt/vpn-forwarders/secrets/romashka
TRANSIT_NETWORK=guac-vpn-transit
PORT_FORWARDS=3389:10.20.30.40:3389
HEALTH_MODE=allCode language: Dockerfile (dockerfile)

Строка 3389:10.20.30.40:3389 означает: контейнер vpn-romashka слушает внутри Docker-сети порт 3389 и всё, что приходит на этот порт, отправляет через OpenVPN на RDP-сервер 10.20.30.40:3389.

sudo mkdir -p /opt/vpn-forwarders/secrets/vasilek
sudo chmod 700 /opt/vpn-forwarders/secrets/vasilek

sudo install -m 600 /dev/null /opt/vpn-forwarders/secrets/vasilek/username
sudo install -m 600 /dev/null /opt/vpn-forwarders/secrets/vasilek/password
sudo install -m 600 /dev/null /opt/vpn-forwarders/secrets/vasilek/pskCode language: Bash (bash)

В файлы username, password и psk записываем соответственно логин VPN, пароль пользователя и Pre-Shared Key, которые выдал заказчик. Я специально не привожу эти значения даже в вымышленном примере, чтобы не приучать хранить секреты прямо в Stack или в истории команд.

/opt/vpn-forwarders/secrets/vasilek/
├── username
├── password
└── pskCode language: Bash (bash)

test -c /dev/ppp && echo "/dev/ppp доступен" || echo "/dev/ppp не найден"Code language: Bash (bash)

Stack L2TP/IPsec передаёт устройство /dev/ppp внутрь контейнера, поэтому оно должно существовать на Docker-хосте.

• Stacks → Add stack
• Name: vpn-vasilek
• Build method: Git Repository
• Repository URL: https://github.com/pantifeek/docker-vpn-forwarders.git
• Repository reference: refs/heads/main
• Compose path: portainer/stacks/l2tp-ipsec.yml
• Access control: Enable access control: Administrators

VPN_CONTAINER_NAME=vpn-vasilek
SECRET_DIR=/opt/vpn-forwarders/secrets/vasilek
TRANSIT_NETWORK=guac-vpn-transit
VPN_SERVER=vpn.vasilek.example
PORT_FORWARDS=3389:10.50.10.21:3389;3390:10.50.10.22:3389
HEALTH_MODE=allCode language: Dockerfile (dockerfile)

Здесь уже два правила перенаправления, разделённые точкой с запятой:

vpn-vasilek:3389 → 10.50.10.21:3389
vpn-vasilek:3390 → 10.50.10.22:3389Code language: CSS (css)

То есть один L2TP/IPsec-туннель обслуживает сразу два сервера. Для Guacamole они выглядят как один hostname с разными портами.

networks:
  guac-vpn-transit:
    external: trueCode language: Dockerfile (dockerfile)

Эта сеть внешняя, поэтому её не надо создавать заново при каждом разворачивании Stack. К ней подключены guacd, vpn-romashka и vpn-vasilek.

• Name: ООО Василёк — 1С RDS
• Protocol: RDP
• Hostname: vpn-vasilek
• Port: 3389
• Username / Password / Domain — учётные данные RDP-сервера ООО Василёк.

Цепочка подключения:

Guacamole → vpn-vasilek:3389 → L2TP/IPsec → 10.50.10.21:3389

• Name: ООО Василёк — Администрирование
• Protocol: RDP
• Hostname: vpn-vasilek
• Port: 3390
• Username / Password / Domain — учётные данные второго RDP-сервера ООО Василёк.

Цепочка подключения:

Guacamole → vpn-vasilek:3390 → L2TP/IPsec → 10.50.10.22:3389

• проверяется, что VPN-процесс и интерфейс работают;
• проверяется маршрут до целевого сервера;
• проверяется доступность целевого TCP-порта;
• проверяется, что локальный процесс socat, который занимается перенаправлением соединения, жив и слушает нужный порт.

Если сломался только проброс порта, контейнер перезапускает только socat, не разрывая VPN без необходимости. Если проблема уже в самом VPN или маршруте, выполняется переподключение. После нескольких неудачных восстановлений основной процесс контейнера завершается, а Docker благодаря restart: unless-stopped запускает контейнер заново.

Для IKEv2, L2TP/IPsec, WireGuard, FortiGate и Kerio в проекте предусмотрен split-DNS: публичное имя VPN-шлюза продолжает разрешаться обычным DNS Docker, а внутренние имена серверов заказчика могут разрешаться через DNS, полученный от VPN или явно указанный в параметрах подключения.

Для OpenVPN работа DNS зависит от настроек самого .ovpn-профиля, поэтому в примере ООО Ромашка я специально использовал IP-адрес RDP-сервера. Для первого запуска это позволяет отделить проблемы VPN от проблем разрешения внутренних имён.