【干货】ECS服务器OPENVPN搭建,方便管理所有内网服务器
【干货】ECS服务器OPENVPN搭建,方便管理所有内网服务器
使用场景 一台有外网的ECS服务器+N台无外网的ECS服务器,使用OPENVPN管理全部的ECS服务器(包括无外网的ECS服务器).
鉴于ECS服务器的带宽成本比较高的问题,撸主采用的是SLB(外网,据说最近计费方式变多了)+N台ECS服务器集群(包括一台2M外网ECS)+内网RDS服务来提供线上服务,但是客服沟通过得到的答案是只能在控制台用VNC来管理(客服MM确认可以自行搭建VPN来管理),对于熟悉习惯使用SSH的人来说使用管理控制台的那个VNC非常蛋疼,BUT关于内网服务器集群管理的方面的教程阿里没提供完整的配置文档,论坛也只是零星的帖子,这个教程是撸主花了2天时间汇总整理出来的教程,确保能正常使用,旨在方便有这方面需求的兄弟少走弯路.
最后吐槽一下云监控竟然不支持内网ECS服务器.....
引用#1.安装基础包
引用yum install openssl-devel pam-devel gcc -y
引用wget http://www.openssl.org/source/openssl-1.0.1g.tar.gz
tar xvfz openssl-1.0.1g.tar.gz
cd openssl-1.0.1g
./config --prefix=/usr/local
make && make installs
引用#2.安装lzo 软件包
引用wget http://www.oberhumer.com/opensource/lzo/download/lzo-2.06.tar.gz
tar zxvf lzo-2.06.tar.gz
cd lzo-2.06
./configure --prefix=/usr/local
make && make install
引用#3.安装openvpn服务端
引用openvpn的下载地址已被墙,安装包自行解决下载(本文采用的是openvpn-2.3.4.tar.gz)
tar xvfz openvpn-2.3.4.tar.gz
cd openvpn-2.3.4
./configure --prefix=/usr/local/openvpn
make && make install
引用#4.openvpn服务端配置
引用下载easy-rsa 附上gihub(https://github.com/OpenVPN/easy-rsa)
解压zip到 /usr/loacal下
cd /usr/local/easy-rsa-master/easyrsa3
mv vars.example vars
vim vars
修改如下内容(请填写自己的信息):
set_var EASYRSA_REQ_COUNTRY "CN"
set_var EASYRSA_REQ_PROVINCE "Shanghai"
set_var EASYRSA_REQ_CITY "Shanghai"
set_var EASYRSA_REQ_ORG "Chogic Co"
set_var EASYRSA_REQ_EMAIL "xxxxx@xxxx.cn"
set_var EASYRSA_REQ_OU "System Admin"
引用#5.初始化配置
引用./easyrsa init-pki
如果成功的话,会在当前目录下创建pki/{reqs,private}目录,用于保存证书文件。
引用6.7.8.9步会让频繁输入密码,请自行记录
引用#6.创建根证书
引用./easyrsa build-ca
创建过程中需要输入根证书的密码以及`Common Name`。如果创建成功,则会在`pki/private/`目录下创建`ca.key`私钥文件以及`pki/`目录下创建`ca.crt`证书文件。
引用#7.创建服务器证书
引用./easyrsa build-server-full server
创建过程和根证书创建类似,需要输入证书的密码以及上一个步骤创建根证书的密码。
如果创建成功,则会在`pki/private`目录创建`server.key`私钥文件。在`pki/issued`目录创建`server.crt`证书文件。
引用#8.创建dh证书
引用./easyrsa gen-dh
DH parameters of size 2048 created at /usr/local/easy-rsa-master/easyrsa3/pki/dh.pem
引用#9.创建客户端证书
引用./easyrsa build-client-full yourclientname (你的用户名)
引用前面两次是输入你的用户密码,第三次是输入ca证书的密码(第#6步的密码)
引用#10.配置服务端
引用cd /usr/local/openvpn/
mkdir keys
cd keys
#把上述步骤创建的ca.crt,server.crt,server.key,dh.pem拷贝到keys目录
cp /usr/local/easy-rsa-master/easyrsa3/pki/ca.crt .
cp /usr/local/easy-rsa-master/easyrsa3/pki/issued/server.crt .
cp /usr/local/easy-rsa-master/easyrsa3/pki/private/server.key .
cp /usr/local/easy-rsa-master/easyrsa3/pki/dh.pem .
创建或者编辑/usr/local/openvpn/server.conf文件,内容如下:
vim /usr/local/openvpn/server.conf
##openvpn的server.config
#local 是阿里ECS的外网IP
local 你的外网ECS服务器地址(ifconfig eth1对应的IP地址)
port 1194
proto udp
dev tun
#修下下面的4个文件路径
ca /usr/local/openvpn/keys/ca.crt
cert /usr/local/openvpn/keys/server.crt
key /usr/local/openvpn/keys/server.key
dh /usr/local/openvpn/keys/dh.pem
#openvpn的地址
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
client-to-client
keepalive 10 120
comp-lzo
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
#这个日志目录需要手创建
log /data/logs/openvpn/openvpn.log
verb 3
#重要,保证客户端的连接能正常的访问10.162.*.*网段 ,下面的网段请自行根据自己的内网服务器所在的网段添加
push "route 10.162.59.0 255.255.255.0"
push "route 10.162.91.0 255.255.255.0"
引用#11.Centos系统配置修改
引用#打开服务器的路由功能
vim /etc/sysctl.conf
修改以下内容:
net.ipv4.ip_forward = 1
# 然后使内核参数生效:
sysctl -p
引用#添加NAT 10.8.0.0/24是OPENVPN的地址 10.162.xxx.xxx是阿里ECS的内网地址(ifconfig eth0)
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source 10.162.xxx.xxx
#保存iptables
service iptables save
引用#启动openvpn
引用/usr/local/openvpn/sbin/openvpn --daemon --config /usr/local/openvpn/server.conf
###################附加客户端配置文件#####################
请自行根据各自的操作系统及对应的OPENVPN客户端来处理,但是无论什么客户端配置文件应该是一致的。
客户端需要使用easyrsa生成的 ca.crt,gair.key以及gair.crt文件。
###################客户端配置###################
配置文件config.ovpn
client
dev tun
proto udp
remote 218.244.147.198 1194
remote-cert-tls server
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert yourclientname.crt 这里修改为上面输入的名字
key yourclientname.key 这里修改为上面输入的名字
;ns-cert-type server # 该行需注释,不然服务端有报错 TLS: Initial packet from
comp-lzo
verb 3
【干货】ECS服务器OPENVPN搭建,方便管理所有内网服务器的更多相关文章
- ECS上nginx搭建反向代理通过内网访问阿里云OSS服务
对于付不起钱的小伙计,为了给公司省钱,想尽一切招数.今天就来分享一个使用阿里云OSS存储搭配CDN使用的网站服务器部署方法. 简介 阿里云OSS 阿里云提供的一种文件存储方案,和我们以前接触的百度云B ...
- 烂泥:openvpn双网卡客户端与内网机器通信
本文由ilanniweb提供友情赞助,首发于烂泥行天下 想要获得更多的文章,可以关注我的微信ilanniweb. 前段时间写了一篇有关openvpn搭建与内网机器通信的文章,那篇文章是基于服务器单网卡 ...
- phpMyAdmin搭建及管理多台数据库服务器
phpMyAdmin搭建及管理多台数据库服务器 环境说明: 系统版本 CentOS 6.9 x86_64 软件版本 nginx-1.12.2 php-5.5. ...
- centos7下安装openvpn,访问内网服务器 (二) windows访问
一.简介 在上一章中已经安装好了openvpn,并且已经启动成功,现在就可以通过openvpn的客户端进行连接访问内网服务器了. 二.安装openvpn客户端 下载地址: https://www.te ...
- 典型案例收集-使用OpenVPN连通多个机房内网(转)(静态路由)
说明: 1.这篇文章主要是使用静态路由表实现的多个机房通过VPN连接后的子网机房互通. 2.OpenVPN使用的是桥接模式(server-bridge和dev tap),这个是关键点,只有这样设置才可 ...
- CentOS 7 下用 firewall-cmd / iptables 实现 NAT 转发供内网服务器联网
自从用 HAProxy 对服务器做了负载均衡以后,感觉后端服务器真的没必要再配置并占用公网IP资源. 而且由于托管服务器的公网 IP 资源是固定的,想上 Keepalived 的话,需要挤出来 3 个 ...
- 内网服务器离线编译安装mysql5.7并调优
目录 内网服务器离线编译安装mysql5.7并调优 前言 关于MySQL 一.MySQL安装篇 部署环境 前期准备工具 挂载系统ISO镜像,配置yum源 二.MySQL调优篇 1.对MySQL进行安全 ...
- OpenWRT DNS无法解析WAN连接的内网服务器域名
系统版本OpenWrt Chaos Calmer 15.05.1,网络连接为:WAN口连接内网10.x.x.x网段,WAN口设置为静态IP.设置L2TP接口,通过L2TP访问外网.问题出现于,所有外网 ...
- H3C SecPath U200-S 如何在内网使用外网IP地址访问内网服务器
H3C SecPath U200-S 如何在内网使用外网IP地址访问内网服务器 ------------------------------------------------------------ ...
随机推荐
- hdu5009 Paint Pearls (DP+模拟链表)
http://acm.hdu.edu.cn/showproblem.php?pid=5009 2014网络赛 西安 比较难的题 Paint Pearls Time Limit: 4000/2000 M ...
- Python IDE: Eclipse + PyDev
依次下载 Python.Django(并安装好).JAVA.Eclipse.Eclipse 中文语言包(http://www.eclipse.org/babel/downloads.php).PyDe ...
- web.xml配置解释
web.xml中配置的加载优先级:首先可以肯定的是,加载顺序与它们在 web.xml 文件中的先后顺序无关.即不会因为 filter 写在 listener 的前面而会先加载 filter.最终得出的 ...
- COCOS2D 释放资源的最佳时机
有场景A跟场景B,场景A是当前场景,场景B是将要替换的新场景. 那么A场景的资源释放最佳时机是在什么时候呢? 这是释放资源的代码(注意要按这个顺序释放): 1 2 3 4 CCAnimationCac ...
- VTK初学一,b_PolyVertex多个图形点的绘制
#ifndef INITIAL_OPENGL #define INITIAL_OPENGL #include <vtkAutoInit.h> VTK_MODULE_INIT(vtkRend ...
- spring 缓存(spring自带Cache)(入门)源码解读
spring自带的缓存类有两个基础类:Cache(org.springframework.cache.Cache)类,CacheManager(org.springframework.cache.Ca ...
- Pro Mac 如何将英文文件夹汉化为中文
1.新建一个英文名的文件夹. 2.打开文本编辑,文本编辑 -> 预置 -> 新建文稿 -> 格式,选上纯文本,关闭预置. 3.新建了一个txt文件,在里面输入要汉化的英文名(刚才新建 ...
- git之远程标签下载(远程分支)
一般我们发布一个新版本到线上服务器时都会在版本库中打一个标签,这样我们可以随时查看这个打标签的版本,就是说标签其实是版本库中一个快照.git的标签与分支类似,区别是分支是可变的而标签是不可变.接下来我 ...
- maven引入jar包时,一个jar的引入错误,会导致后来的jar包的引入。
maven引入本jar包时,引入失败. 问题是另一个jar没有引入正确.
- ionic隐藏tabs方法
<ion-tabs ng-class="{'tabs-item-hide': $root.hideTabs}"> <!-- tabs --> </io ...