OpenVPN简单部署笔记

打算在IDC机房部署VPN环境，Openvpn也是一个不错的选择:开源，好用，而且免费。

OpenVPN简单介绍
OpenVPN是一个用于创建虚拟专用网络(Virtual Private Network加密通道的免费开源软件。使用OpenVPN可以方便地在家庭、办公场所、住宿酒店等不同网络访问场所之间搭建类似于局域网的专用网络通道。OpenVPN使用方便，运行性能优秀，支持Solaris、Linux 2.2+(Linux 2.2+表示Linux 2.2及以上版本，下同)、OpenBSD 3.0+、FreeBSD、NetBSD、Mac OS X、Android和Windows 2000+的操作系统，并且采用了高强度的数据加密，再加上其开源免费的特性，使得OpenVPN成为中小型企业及个人的VPN首选产品。使用OpenVPN配合特定的代理服务器，可用于访问Youtube、FaceBook、Twitter等受限网站，也可用于突破公司的网络限制；OpenVPN允许参与创建VPN的单点使用公开密钥、电子证书、或者用户名／密码来进行身份验证。它大量使用了OpenSSL加密库中的SSLv3/TLSv1协议函数库。目前OpenVPN能在Solaris、Linux、OpenBSD、FreeBSD、NetBSD、Mac OS X与Windows 2000／XP／Vista/Windows 7以及Android上运行，并包含了许多安全性的功能。它并不是一个基于Web的VPN软件，也不与IPsec及其他VPN软件包兼容。
1）加密
OpenVPN使用OpenSSL库加密数据与控制信息：它使用了OpenSSL的加密以及验证功能，意味着，它能够使用任何OpenSSL支持的算法。它提供了可选的数据包HMAC功能以提高连接的安全性。此外，OpenSSL的硬件加速也能提高它的性能。
2）验证
OpenVPN提供了多种身份验证方式，用以确认参与连接双方的身份，包括：预享私钥，第三方证书以及用户名／密码组合。预享密钥最为简单，但同时它只能用于创建点对点的VPN；基于PKI的第三方证书提供了最完善的功能，但是需要额外的精力去维护一个PKI证书体系。OpenVPN2.0后引入了用户名／口令组合的身份验证方式，它可以省略客户端证书，但是仍有一份服务器证书需要被用作加密。
3）网络
OpenVPN所有的通信都基于一个单一的IP端口，默认且推荐使用UDP协议通讯，同时TCP也被支持。OpenVPN连接能通过大多数的代理服务器，并且能够在NAT的环境中很好地工作。服务端具有向客户端“推送”某些网络配置信息的功能，这些信息包括：IP地址、路由设置等。OpenVPN提供了两种虚拟网络接口：通用Tun/Tap驱动，通过它们，可以创建三层IP隧道，或者虚拟二层以太网，后者可以传送任何类型的二层以太网络数据。传送数据可通过LZO算法压缩。IANA指定给OpenVPN的官方端口为1194。OpenVPN 2.0以后版本每个进程可以同时管理数个并发的隧道。
OpenVPN使用通用网络协议（TCP与UDP）的特点使它成为IPsec等协议的理想替代，尤其是在ISP（Internet service provider）过滤某些特定VPN协议的情况下。
4）安全
OpenVPN与生俱来便具备了许多安全特性：它在用户空间运行，无须对内核及网络协议栈作修改；初始完毕后以chroot方式运行，放弃root权限；使用mlockall以防止敏感数据交换到磁盘;OpenVPN通过PKCS#11支持硬件加密标识，如智能卡。

下面记录下在centos系统安装OpenVPN环境过程：

一、基础环境
服务器端：CentOS6.8/Centos7
客 户 端：Windows7/Liunx
服务器端软件：epel-release-latest-6.noarch.rpm/epel-release-latest-7.noarch.rpm，openvpn，easy-rsa
客户端软件： openvpn-install-2.3.4

二、安装过程
1）关闭SELINUX
[root@ops-server3 ~]# setenforce 0            //临时生效
[root@ops-server3 ~]# sed -i 's#SELINUX=enforcing#SELINUX=disabled#g' /etc/sysconfig/selinux           //永久生效

2）安装"EPEL"源
[root@ops-server3 ~]# wget http://dl.fedoraproject.org/pub/epel/epel-release-latest-6.noarch.rpm
--------------------------------------------------------------------------------------------------------------
这里是在Centos6下安装的，如果是Centos7下，就下载：
wget http://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm
--------------------------------------------------------------------------------------------------------------
[root@ops-server3 ~]# rpm -ivh epel-release-latest-6.noarch.rpm
[root@ops-server3 ~]# yum makecache            //更新本地源

3）安装openvpn
[root@ops-server3 ~]# yum -y install openvpn easy-rsa

4）easy-rsa配置
[root@ops-server3 ~]# mkdir -p /etc/openvpn/easy-rsa/keys
[root@ops-server3 ~]# cp -a /usr/share/easy-rsa/2.0/* /etc/openvpn/easy-rsa/
[root@ops-server3 ~]# vim /etc/openvpn/easy-rsa/vars

......
export KEY_COUNTRY="CN"
export KEY_PROVINCE="CA"
export KEY_CITY="Bei Jing"
export KEY_ORG="huanqiu"           //定义所在的组织
export KEY_EMAIL="wangshibo@huanqiu.cn"
export KEY_OU="huanqiu"     //定义所在的单位
export KEY_NAME="vpnserver"    //定义openvpn服务器的名称
export KEY_CN="huanqiu"      //这行配置，前边默认的“#”号注释去掉

5）创建CA证书和密钥
[root@ops-server3 ~]# cp /etc/openvpn/easy-rsa/openssl-1.0.0.cnf /etc/openvpn/easy-rsa/openssl.cnf
[root@ops-server3 ~]# cd /etc/openvpn/easy-rsa          //切换工作目录
[root@ops-server3 ~]# source ./vars        //让配置文件生效
[root@ops-server3 ~]# ./clean-all
[root@ops-server3 ~]# ./build-ca         //之前已经在vars文件中配置好相关参数，所以此步执行后直接按回车键，一直到结束

创建服务端证书
[root@ops-server3 ~]# ./build-key-server server
按回车键进行，在提示输入密码的地方设置一个密码如huanqiu，在An optional company name处输入公司名如huanqiu，最后输入两次“y”回车

创建客户端证书
[root@ops-server3 ~]# ./build-dh           //创建秘钥文件，需要执行一段时间（或者会提示再次执行source ./vars生效操作）
[root@ops-server3 ~]# ls /etc/openvpn/easy-rsa/keys/              //可以看到，目录中已经创建好了证书文件
[root@ops-server3 ~]# cd /etc/openvpn/easy-rsa/keys
[root@ops-server3 keys]# cp dh2048.pem ca.crt server.crt server.key /etc/openvpn
[root@ops-server3 keys]# cd /etc/openvpn/easy-rsa
[root@ops-server3 easy-rsa]# ./build-key client
创建客户端证书文件，按回车进行，在提示输入密码的地方输入之前服务端证书创建过程中设置的证书密码，An optional company name处输入先前设置的公司名字（huanqiu）。
注意：一定要和之前输入的一样.，其他参数如果前面设置了，也要保持一致！
另外注意：有多少个客户端就需要./build-key client 多少次，当然client名字需要不同！

[root@ops-server3 easy-rsa]# ls /etc/openvpn/easy-rsa/keys/           //可以看到，生成了客户端的证书文件

6）拷贝服务端证书、秘钥等
[root@ops-server3 ~]# cp /etc/openvpn/easy-rsa/keys/{server.crt,server.key,dh2048.pem,ca.crt} /etc/openvpn

7）配置VPN服务端
[root@ops-server3 ~]# cp /usr/share/doc/openvpn-*/sample/sample-config-files/server.conf /etc/openvpn/
[root@ops-server3 ~]# vim /etc/openvpn/server.conf            //下面的配置，要去掉前面的默认注释符";"

..........
..........
local 10.17.1.20      //监听地址
port 1194          //openvpn监听的服务端口
proto tcp         //监听协议
dev tun         //采用路由隧道模式
ca ca.crt       //ca证书路径
cert server.crt    //服务器证书
key server.key      //服务器密钥
dh dh2048.pem      //密钥交换协议文件
server 192.168.19.0 255.255.255.0         //给客户端分配地址池，注意：不能和VPN服务器内网网段有相同
ifconfig-pool-persist ipp.txt
push "route 192.168.20.0 255.255.255.0"     //允许客户端访问内网20.0的网段。
push"dhcp-option DNS 8.8.8.8"              //dhcp分配dns
client-to-client          //客户端之间互相通信
keepalive 10 120        //存活时间，10秒ping一次,120 如未收到响应则视为断线
comp-lzo              //传输数据压缩
max-clients 100        //最多允许 100 客户端连接
user nobody            //用户
group nobody          //用户组
persist-key
persist-tun
status        /var/log/openvpn/openvpn-status.log
log        /var/log/openvpn/openvpn.log
verb 3

8）iptables防火墙设置
清空iptables配置：
[root@ops-server3 ~]# iptables -F
[root@ops-server3 ~]# iptables -X

配置openvpn的nat功能，将192.168.19.0网段（不加-s 192.168.19.0/24就表示所有网段）的包转发到eth0口：
[root@ops-server3 ~]# iptables -t nat -A POSTROUTING -s 192.168.19.0/24 -o eth0 -j MASQUERADE

添加FORWARD白名单
[root@ops-server3 ~]# iptables -A FORWARD -i tun+ -j ACCEPT
[root@ops-server3 ~]# service iptables save             //保存iptables配置
[root@ops-server3 ~]# service iptables restart              //重启iptables

开启系统的路由功能
[root@ops-server3 ~]# echo 1 > /proc/sys/net/ipv4/ip_forward         //临时开启，重启服务器后失效
[root@ops-server3 ~]# vim /etc/sysctl.conf         //永久开启
.....
net.ipv4.ip_forward = 1
[root@ops-server3 ~]# sysctl -p

9）启动openvpn
[root@ops-server3 ~]# service openvpn start
[root@ops-server3 ~]# lsof -i:1194
---------------------------------------------------------------------------
centos7下启动openvpn的命令如下：
systemctl -f enable openvpn@server.service          //设置启动文件
systemctl start openvpn@server.service               //启动openvpn的命令
--------------------------------------------------------------------------

10）配置客户端
[root@ops-server3 ~]# cp /usr/share/doc/openvpn-*/sample/sample-config-files/client.conf /etc/openvpn/client.ovpn
[root@ops-server3 ~]# vim /etc/openvpn/client.ovpn

.......
client
dev tun
proto tcp           //改为tcp
remote 110.103.10.86 1194       //OpenVPN服务端的外网IP和端口
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt          //client1的证书
cert client.crt
key client.key        //client1的密钥
ns-cert-type server
comp-lzo
verb 3

11）客户端连接（连接之前，在客户端"telnet openvpn服务端ip 1194",检查下端口是否能连上）
a）windows客户端
下载工具：https://pan.baidu.com/s/1bp1jnfp （提取密码：3rre）
将openvpn服务端的/etc/openvpn/easy-rsa/keys/{ca.crt,client.crt,client,key}和/etc/openvpn/client.ovpn这四个文件下载到windows客户机本地，并放到openvpn客户端工具安装路径的config文件夹下面。
然后启动OpenVPN GUI，在电脑右下角的openvpn图标上右击，选择“Connect”。如果openvpn的图标显示绿色，就表示已经连接上vpn了。
连接成功后，可以查看客户机分配的ip地址是否正常，是否在openvpn服务端server.conf里配置的ip地址段内，以及客户机的外网ip是否是openvpn服务端外网ip。

有个问题：
如果连接OpenVPN的客户机比较多，那么就要把ca.crt、client.crt、client.key、client.ovpn四个文件都拷贝到客户机上，这势必会很麻烦。
为了方面连接，可以采用下面策略：
将ca.crt、client.crt、client.key这三个文件内容全部拷贝到client.ovpn文件里，这样只需将client.ovpn一个文件拷贝到客户机上就可以连接！
[root@ops-server3 ~]# vim /etc/openvpn/server.conf          //注释掉下面的三行，然后在文件底部添加

...........
...........

;ca ca.crt           //将这行注释掉
;cert client.crt     //将这行注释掉
;key client.key      //将这行注释掉

<ca>                                                             //粘贴ca.crt文件内容
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
</ca>

<cert>                                                             //粘贴client.crt文件内容
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
</cert>

<key>                                                              //粘贴client.key文件内容
-----BEGIN PRIVATE KEY-----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-----END PRIVATE KEY-----
</key>

b）Linux客户端
下载epel源
[root@IDC-server ~]# wget http://dl.fedoraproject.org/pub/epel/epel-release-latest-6.noarch.rpm 
[root@IDC-server ~]# rpm -ivh epel-release-latest-6.noarch.rpm

先安装openvpn
[root@IDC-server ~]# yum -y install openvpn

然后将openvpn服务端的/etc/openvpn/easy-rsa/keys/{ca.crt,client.crt,client,key}和/etc/openvpn/client.ovpn这四个文件拷贝到客户机的/etc/openvpn目录下
或者将服务端配置好的client.ovpn文件(其他三个文件内容已经写到它里面)拷贝到/etc/openvpn

连接VPN服务器
[root@IDC-server ~]# openvpn --config /etc/openvpn/client.ovpn
[root@IDC-server ~]# ps -ef|grep openvpn

最后检查下连接openvpn成功后的ip地址情况