centos6.5或者7以上系统安装配置openvpn服务端

admin

使用环境：
  openvpn服务端安装在centos6.5或者centos7系统平台以上版本；
  openvpn客户端安装在windows10平台上；
* S9 O- u+ _6 x: ], O/ X其中的操作步骤有些很像此前写过的一篇文章CA服务器签署证书的步骤；
openvpn就是安全的vpn，通过openssl实现ssl加密解密；
$ Z9 J4 Y* I' `+ U* D( Jopenvpn实现的简单原理个人理解是：
* e7 z* b# y% [: z* g) F& z! _& \通过openvpn客户端和服务器端用虚拟网卡建立逻辑的安全的通信连接，然后再通过物理网卡传输数据；
' r. L. y% H; N) \3 W( _即首先openvpn服务端，安装程序并开启服务，然后服务器端会自动生成一个虚拟网卡tun0，用来建立安全通行用的，并监听一个端口，准备接收客户端的请求；
第二，客户端安装openvpn后，也自动生成一个虚拟网卡，openvpn客户端需要指定openvpn服务端的物理网卡上的ip地址和监听的端口进行连接；
; L% E' k4 U4 t第三，证书、密钥、密码都通过后，即实现了vpn（虚拟私有网络）功能；
具体配置步骤：
2 |! C9 ~9 C" V* N; A第一：安装软件
' U% ~/ w. u* _$ r& p# {" E ]# yum install openvpn easy-rsa
第二：准备相关目录和配置文件
]# cp /usr/share/doc/easy-rsa-3.0.3/vars.example /etc/openvpn/easy-rsa/vars
. R3 a1 @4 O! D, f7 g$ C ]# cp -r /usr/share/easy-rsa/3.0.3/* /etc/openvpn/easy-rsa/
复制的文件有：easyrsa、openssl-1.0.cnf、x509-types；
]# cp /usr/share/doc/openvpn-2.4.5/sample/sample-config-files/server.conf /etc/openvpn/
& D5 n& X& Y' a1 B5 `% X$ P3 a# _ 编辑vars文件：
set_var EASYRSA_REQ_COUNTRY "CN"
+ X8 ?. z5 I, B+ Y0 G2 k( _ set_var EASYRSA_REQ_PROVINCE "Beijing"
( D5 y! A$ @/ p" u1 @ set_var EASYRSA_REQ_CITY "Beijing"
set_var EASYRSA_REQ_ORG "OpenVPN CA"
; F' q- R% D  y3 B) o set_var EASYRSA_REQ_EMAIL "[url=mailto:4********4@.qq.com]4********4@.qq.com[/url]"
set_var EASYRSA_REQ_OU  "My VPN"
$ k1 V5 M0 Z+ f) U6 v1 p创建服务器端证书和key：
第一：目录初始化：
$ p; e+ f3 e& g   ]# cd /etc/openvpn/easy-rsa/
' F4 o( D3 X5 {1 E/ |$ I1 n8 q3 M   ]# ./easyrsa init-pki
第二：创建根证书：
+ ?% o. C1 _( u. u+ b1 i   ]# ./easyrsa build-ca
. K$ x& Z( N3 \0 X) H8 s6 j   Enter PEM pass phrase: 输入2次pem密码，并记住（输入的pem密码是openvpn，后面会用到）；
   ........
   Common Name (eg: your user, host, or server name) [Easy-RSA CA]: 输入名称；（输入的是opvpn-ca）
" G3 H" v- Z# B7 `1 i$ y   回车后显示：
* \& W6 K3 a1 H! `CA creation complete and you may now import and sign cert requests.
Your new CA certificate file for publishing is at:
/etc/openvpn/easy-rsa/pki/ca.crt
第三：创建服务器端证书：
    ]# ./easyrsa gen-req server nopass
* c9 V& Q0 `0 f' R2 ]( YCommon Name (eg: your user, host, or server name) [server]: （输入是node2）
  输入回车后显示：
  `& z: M6 c/ y* G) [  c8 S6 s* DKeypair and certificate request completed. Your files are:
req: /etc/openvpn/easy-rsa/pki/reqs/server.req
  \$ c+ Y1 U  h# T' Ekey: /etc/openvpn/easy-rsa/pki/private/server.key
( j( z* u6 G: Q' {+ d) l第四：签署服务器端证书：
  ]# ./easyrsa sign server server
回车后，Confirm request details: （输入yes）
& k1 r% Q& S1 N# w  \) ^Enter pass phrase for /etc/openvpn/easy-rsa/pki/private/ca.key: （输入之前CA根证书的pem密码是openvpn）
回车后显示：
Check that the request matches the signature
+ g8 y2 D* }; w  t; ASignature ok
The Subject's Distinguished Name is as follows
4 T' I- ^6 g6 h: B& W  j2 f  GcommonName :ASN.1 12:'node2'
4 g* X* D. p/ d9 ?$ TCertificate is to be certified until Apr 4 16:04:29 2028 GMT (3650 days)
Write out database with 1 new entries
Data Base Updated
1 l% j" R, t1 [" s6 p' GCertificate created at: /etc/openvpn/easy-rsa/pki/issued/server.crt
第五：创建Diffie-Hellman，确保key穿越不安全网络的命令：
9 w  `6 A" y; a  ]# ./easyrsa gen-dh
* X8 U2 U9 l. A. ]. D回车后，等的时间稍微长一点，最后显示：
DH parameters of size 2048 created at /etc/openvpn/easy-rsa/pki/dh.pem
  第六：生成ta密钥文件
  ]# openvpn --genkey --secret /etc/openvpn/easy-rsa/ta.key
  不执行此命令，会报错：
' i- L6 ?0 ?4 n/ bSat Apr 7 12:53:37 2018 WARNING: cannot stat file 'ta.key': No such file or directory (errno=2)
. i/ h3 G4 S1 E# P! gOptions error: --tls-auth fails with 'ta.key': No such file or directory (errno=2)
9 V5 n7 e0 F1 a" y, J7 l- }Options error: Please correct these errors.
% S  A: {9 B' Z+ L. v8 p* B3 PUse --help for more information.
创建客户端证书及key ：
第一：创建过程同服务端：
  ]# mkdir /root/client
  ]# cd /root/client
  ]# cp -r /usr/share/easy-rsa/3.0.3/* ./
# V) X% e. n0 i: Q' l0 h  ]# ./easyrsa init-pki
% H; q% P) Y# Z9 O! g  ]# ./easyrsa gen-req client
回车后显示Enter PEM pass phrase: 输入密码，密码是之后客户端连接服务器要用的（输入的是vpnclient）
Common Name (eg: your user, host, or server name) [client]: （输入的是client，后面会用到）
  回车后显示：
Keypair and certificate request completed. Your files are:
: q+ W9 w' Q2 J  X  nreq: /root/client/pki/reqs/client.req
key: /root/client/pki/private/client.key
第二：将得到的clientone.req导入然后签约证书：
  ]# ./easyrsa import-req /root/client/pki/reqs/client.req client
  回车后显示：
2 i0 h; f, u+ q* H' |! @  y# }Note: using Easy-RSA configuration from: ./vars
The request has been successfully imported with a short name of: clientone
! R) g3 ^( v9 {: pYou may now use this name to perform signing operations on this request.
第三：签约证书
* `, A( |' R: D* [/ }; A% A  ]# ./easyrsa sign client client
, d: P1 |' C; X- ]& [, W* _回车后，输入yes；
Enter pass phrase for /etc/openvpn/easy-rsa/pki/private/ca.key: （输入的是openvpn）
  注意：
2 J8 M' n; E- {0 W0 U这里生成client所以第一个client位置必须为client，第二个参数client要与之前导入名字一致，导入的时候会要求输入密码，这个密码是第一次设置的根证书的密码，不要输错；因为openvpn是一个客户端对应一组证书密钥文件的；
  回车后显示：
( I3 H/ N! {1 z0 g. w1 S6 u$ n- iCheck that the request matches the signature
  M4 ~' @2 F! k- S3 rSignature ok
' V) L# n- n* L: p/ E+ Y2 c& BThe Subject's Distinguished Name is as follows
commonName :ASN.1 12:'client'
Certificate is to be certified until Apr 4 16:38:37 2028 GMT (3650 days)
; [6 ~  u: q8 T# x: jWrite out database with 1 new entries
$ `1 A- v9 m% G7 L4 ]  a) D2 VData Base Updated
Certificate created at: /etc/openvpn/easy-rsa/pki/issued/client.crt
拷贝相关文件
拷贝服务器端所需文件到各自位置：
]# cp pki/ca.crt /etc/openvpn/
]# cp pki/private/server.key /etc/openvpn/
]# cp pki/issued/server.crt /etc/openvpn/
]# cp pki/dh.pem /etc/openvpn/
: b( r* C* t6 D* M! {) {9 y) e]# cp /etc/openvpn/easy-rsa/ta.key /etc/openvpn/
. z% d9 I  X$ c拷贝客户端所需文件到各种位置：
3 [9 e, j/ y' @# cp pki/ca.crt /root/client/
# cp pki/issued/client.crt /root/client/
1 }4 l9 m6 o0 o8 D( F) R+ k9 d( w# cp /root/client/pki/private/client.key /root/client/
4 V' l  w, U3 O& z; X3 i$ j) ~. }1 S# cp /etc/openvpn/easy-rsa/ta.key /root/client/
/ E! M+ ]! G9 Z  {: L4 z修改vpn配置文件：
]# egrep -v "^$|^#|^;" /etc/openvpn/server.conf
port 1194
proto udp
0 B" L7 u& ]/ J# E- Adev tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key # This file should be kept secret
" |6 j) L) p9 l8 @. t+ I# ]( Ydh /etc/openvpn/dh.pem
' }; s' d$ B! q- x; c1 D  \2 Cserver 192.168.11.0 255.255.255.0
7 ~* E! _" j& C, c2 q6 s+ Mifconfig-pool-persist ipp.txt
0 {/ Z, Z! w/ Z$ S& Apush "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
8 L+ d, d" E# t: K' L# `, f5 x9 Fpush "dhcp-option DNS 8.8.8.8"
keepalive 10 120
tls-auth ta.key 0 # This file is secret
cipher AES-256-CBC
comp-lzo
max-clients 100
persist-key
/ Z5 m9 Y/ M% O+ n3 spersist-tun
8 p" e  H& O: n' w2 C# Q& I0 [status openvpn-status.log
verb 3
! h: F0 d5 M+ N! Sexplicit-exit-notify 1
启动openvpn服务端：
]# openvpn /etc/openvpn/server.conf &
- t  [; c7 p; B( ?  启动成功后显示：


) H! A8 R3 j# ?3 O或使用systemctl启动：
systemctl -f enable openvpn@server.service
#设置启动文件
systemctl start openvpn@server.service
#启动openvpn的命令
windows7上配置openvpn客户端：
第一：下载openvpn客户端
& g# E4 l* i% I& l) C" ?  链接地址：http://openvpn.ustc.edu.cn/
; R' f; [  G5 y, i. Q* ]
安装过程就不表了，具体配置说下：
  下载相关文件到本特指的目录：
9 J, o0 @  x( Z4 n: L6 s+ O2 z  从centos7上把client.crt、client.conf并改名为client.ovpn、client.key、ta.key四个文件，放在安装目录下的config目录里即可；
; H/ n$ n$ B3 M2 m( ^; mclient.ovpn配置文件内容：
client
2 |2 W! L* n" Q) W& S7 [' i7 `dev tun
proto udp
9 |# T) X6 T7 b5 \remote 192.168.255.198 1194
resolv-retry infinite
nobind
9 W- v3 G6 @; \  g, r  U) vpersist-key
6 W) ~* k5 _4 u8 L+ Gpersist-tun
8 \  A1 D2 C- d( P; Y# sca ca.crt
! Y: G& z8 x* M6 E4 s9 \cert client.crt
; t! P) w% b0 b: G% q8 |key client.key
4 O* f; }7 B; t1 {5 G7 z+ |remote-cert-tls server
tls-auth ta.key 1
3 B! e7 Q6 M* P' s' B& k5 |* A  p, }cipher AES-256-CBC
verb 3
" ]7 u5 f( w$ K- Lopenvpn客户端登录：
  双击图标后，弹出输入密码的窗口，此前设定的密码为vpnclient即可成功登录；

0 V7 a% d9 \  i& b: ~表示成功登录；
7 o5 Q% p" d0 o2 G! C- ^  {. Y
/ ]" ~* B6 P( n9 I0 Eopenvpn图标变为绿色即成功连接openvpn服务器；
- S" {9 O* j2 R; R. S1 |