1.概述

OpenVPN是一个开源的虚拟专用网络（VPN）软件，可以用于在不安全的网络（如互联网）上为用户提供安全的网络连接。它使用加密的数据通道来确保数据的安全性，并可以通过多种方式来构建虚拟网络，包括使用TCP或UDP协议，使用安全套接字层（SSL）或传输层安全（TLS）加密数据通道，或者使用混合模式，即同时使用多种方式。

OpenVPN可以在多种平台上运行，包括Windows、MacOS、Linux、Android和iOS等。它可以与多种路由器和网络设备集成，并提供了丰富的配置选项，使用者可以根据自己的需要来自定义设置。

支持多种加密算法：OpenVPN支持使用多种加密算法来保护数据的安全性，包括AES、Blowfish、CAST-128、DES、3DES、RC5和IDEA等。

支持多种协议：OpenVPN可以使用TCP或UDP协议来建立虚拟网络，并且支持使用SSL或TLS来加密数据通道。

2.应用场景

2.1总部与分支机构之间联通，打通分支与总部的连接

2.2 通过VPN远程连接到公司的服务器，企业员工远程办公，访问公司内网的ERP、OA等系统。

3. 环境搭建

本篇文章以centos为例演示如何搭建并使用openvpn。

3.1环境准备

3.1.1安装 easy-rsa、iptables-service

yum -y install easy-rsa iptables-service

3.1.2 配置系统转发，并使配置立即生效

echo net.ipv4.ip_forward=1 >> /etc/sysctl.confsysctl -p

3.1.2 关闭firewall​​​​​​​

systemctl stop firewalldsystemctl disable firewalld

3.1.3启动iptables​​​​​​​

systemctl enable iptablessystemctl start iptables

3.1.4 配置iptables转发流量,代理主要以iptables转发实现

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

3.1.5 允许tcp/udp 1194通过防火墙​​​​​​​

iptables -I INPUT -p tcp –dport 1194 -j ACCEPTiptables -I INPUT -p udp –dport 1194 -j ACCEPT

3.1.6 保存规则并重启​​​​​​​

service iptables savesystemctl restart iptables

3.2 服务端环境搭建

3.2.1 安装openvpn

yum -y install openvpn

3.2.2 生成服务器端证书

查看easy-rs安装路径

rpm -ql easy-rsa

复制easy-rsa到/etc/openvpn目录

cp -r /usr/share/easy-rsa/ /etc/openvpn/easy-rsa

复制easy-rsa配置文件到/etc/openvpn/easy-rsa/3.0.8目录,并重命名为vars

cp -r /usr/share/doc/easy-rsa/vars.example /etc/openvpn/easy-rsa/3.0.8/vars

查看/etc/openvpn目录结构

tree /etc/openvpn

修改证书配置文件vars,其他的默认即可,主要是修改个人信息,也可以不改

vim /etc/openvpn/easy-rsa/3.0.8/vars

修改内容如下​​​​​​​

set_var EASYRSA_REQ_COUNTRY "CN"set_var EASYRSA_REQ_PROVINCE "SD"set_var EASYRSA_REQ_CITY "JN"set_var EASYRSA_REQ_ORG "SY"set_var EASYRSA_REQ_EMAIL "sywl@sywl123.com"set_var EASYRSA_REQ_OU "tpc"

初始化​​​​​​​

cd /etc/openvpn/easy-rsa/3.0.8./easyrsa init-pki

为方便安装测试，这里使用onpass参数选择不要密码创建根证书

./easyrsa build-ca nopass

创建server端证书、私钥文件

./easyrsa gen-req server nopass

给server端证书签名,提示confirm request details:时,输入yes

./easyrsa sign server server

创建dh文件（秘钥交换算法）

./easyrsa gen-dh

创建tls认证秘钥

openvpn –genkey –secret ta.key

查看当前生成的文件目录结构

tree pki

拷贝证书文件到openvpn目录下

mkdir /etc/openvpn/certscp ./pki/ca.crt /etc/openvpn/certs/cp ./pki/dh.pem /etc/openvpn/certs/cp ./pki/issued/server.crt /etc/openvpn/certscp ./pki/private/server.key /etc/openvpn/certscp ta.key /etc/openvpn/certs

3.2.3 创建server配置文件

复制配置模板文件server.conf到/etc/openvpn/

cp /usr/share/doc/openvpn/sample/sample-config-files/server.conf /etc/openvpn/

修改server.conf配置文件​​​​​​​

cd /etc/openvpnvim server.conf

内容如下：​​​​​​​

#监听本机ip地址local 0.0.0.0(这里填本机地址)#监控本机端口号port 1194#指定采用的传输协议，可以选择tcp或udpproto tcp#指定创建的通信隧道类型，可选tun或tap,window服务器必须是tapdev tun#指CA证书的文件路径ca /etc/openvpn/certs/ca.crt#指定服务器端的证书文件路径cert /etc/openvpn/certs/server.crt#指定服务器端的私钥文件路径key /etc/openvpn/certs/server.keydh /etc/openvpn/certs/dh.pem#指定虚拟局域网占用的IP地址段和子网掩码，不能和服务器eth0同网段server 10.8.0.0 255.255.255.0#服务器自动给客户端分配IP后，客户端下次连接时，仍然采用上次的IP地址(第一次 分配的IP保存在ipp.txt中，下一次分配其中保存的IP)。ifconfig-pool-persist ipp.txt#自动推送客户端上的网关及DHCP,此项开启了流量转发,有这项才能使用服务器代理上 网push "redirect-gateway def1 bypass-dhcp"#OpenVPN的DHCP功能为客户端提供指定的 DNS、WINS 等push "dhcp-option DNS 114.114.114.114"#允许客户端与客户端相连接，默认情况下客户端只能与服务器相连接client-to-client#允许同一个客户端证书多次登录,看需配置#duplicate-cn#每10秒ping一次，连接超时时间设为120秒keepalive 10 120#开启TLS-auth，使用ta.key防御攻击。服务器端的第二个参数值为0，客户端的为1。tls-auth /etc/openvpn/certs/ta.key 0#加密认证算法,2.4之前是AES-256-CBCcipher AES-256-GCM#使用lzo压缩的通讯,服务端和客户端都必须配置comp-lzo#最大连接用户max-clients 100#定义运行的用户和组,openvpn用户是安装的时候系统自动创建的user openvpngroup openvpn#重启时仍保留一些状态persist-keypersist-tun#输出短日志,每分钟刷新一次,以显示当前的客户端status /var/log/openvpn-status.log#日志保存路径log /etc/openvpn/log/openvpn.loglog-append /etc/openvpn/log/openvpn.log#指定日志文件的记录详细级别，可选0-9，等级越高日志内容越详细verb 3#相同信息的数量，如果连续出现 20 条相同的信息，将不记录到日志中mute 20#下面这项只能udp连接开启#explicit-exit-notify 1#设置tls最低版本为1.3,连接的客户端如果是2.4以下则配置为1.0tls-version-min 1.3

3.2.4 创建启动的服务脚本

创建unit文件

vim /lib/systemd/system/openvpn@.service

内容如下：​​​​​​​

[Unit]Description=OpenVPN Robust And Highly Flexible Tunneling Application On %IAfter=network.target[Service]Type=notifyPrivateTmp=trueExecStart=/usr/sbin/openvpn –cd /etc/openvpn/ –config %i.conf[Install]WantedBy=multi-user.target

设置openvpn开机启动

systemctl enable openvpn@server

启动openvpn

systemctl start openvpn@server

查看端口和进程是否启动成功,

netstat -lntp|grep openvpnps -aux|grep openvpn

3.3 客户端配置

3.3.1 下载windows客户端

https://openvpn.net/index.php/download/community-downloads.html

3.3.2 服务端生成并配置客户端证书信息

进入证书管理目录

cd /etc/openvpn/easy-rsa/3.0.8

生成客户端证书

./easyrsa gen-req client1 nopass

注册客户端1的证书,输入yes

./easyrsa sign client client1

将证书拷贝到一个目录存着​​​​​​​

cp ./pki/issued/client1.crt /etc/openvpn/clientcp ./pki/private/client1.key /etc/openvpn/client

3.3.3 本地电脑客户端配置

将client1.crt client1.key ta.key ca.crt四个文件下载到本地客户端目录的config目录下。

配置客户端配置文件,复制客户端sample-config目录下的client.ovpn文件到config目录下修改内容如下:

#客户端client#隧道类型,与服务器一致dev tun#tcp还是udp,与服务器一致proto tcp#服务器ip和端口remote xxx.xxx.xxx.xxx 1194#自动重连resolv-retry infinite#不绑定本地特定的端口nobind#服务器重启后保持一些状态persist-keypersist-tun#客户端证书目录ca ca.crtcert client.crtkey client.key#远程证书验证remote-cert-tls server#tls握手秘钥,与服务器保持一致,服务器0,客户端1tls-auth ta.key 1#加密方式cipher AES-256-GCM开启数据压缩comp-lzo#日志级别verb 3#同信息的数量，如果连续出现 20 条相同的信息，将不记录到日志中mute 20#tls最低版本,与服务器保持一致tls-version-min 1.3#不保存密码auth-nocache#使客户端中所有流量经过VPN,所有网络连接都使用vpnredirect-gateway def1

打开客户端,右键选项修改配置文件目录,双击连接服务器