Centos7.9系统安装OpenVPN-超详细

admin

at > /etc/openvpn/checkpsw.sh <<"EOF"
) {# T7 m6 b  k. [" |#!/bin/sh
###########################################################
# checkpsw.sh (C) 2004 Mathias Sundman <mathias@openvpn.se>
( F3 `- i& C4 i" F2 P#
+ }  y! g7 ^( D; W" w, |, _# This script will authenticate OpenVPN users against
9 s2 c: x( @/ q  u# a plain text file. The passfile should simply contain
. ]; G8 e6 f+ X2 C  Y& {4 [# one row per user with the username first followed by
/ a: p: }  C" f, l# one or more space(s) or tab(s) and then the password.
% U4 h4 M* b$ Y' e, [5 FPASSFILE="/etc/openvpn/psw-file"
LOG_FILE="/var/log/openvpn-password.log"
TIME_STAMP=`date "+%Y-%m-%d %T"`
###########################################################
if [ ! -r "${PASSFILE}" ]; then
& H9 S: ~) }' }+ N* w# @3 Z9 techo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >> ${LOG_FILE}
exit 1
2 A$ S9 g) Q' t/ Zfi
CORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}' ${PASSFILE}`
+ F2 N: ?, o8 zif [ "${CORRECT_PASSWORD}" = "" ]; then
1 _0 M4 L; B! ?. S9 Pecho "${TIME_STAMP}: User does not exist: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
exit 1
fi
) q4 E9 U- l$ Zif [ "${password}" = "${CORRECT_PASSWORD}" ]; then
echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}
4 P" h, F) k( B' o$ sexit 0
+ w* |4 s7 R0 Zfi
& Q1 y. B. D( ?* m  D6 `9 _' h8 P5 hecho "${TIME_STAMP}: Incorrect password: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
1 j( M3 o1 m0 d) J2 `exit 1
EOF

/ z) l8 r: e5 S9 _7 o: b  Fchmod +x /etc/openvpn/checkpsw.sh
5 j5 g$ S0 ~' U6 J- `( W% V. Usystemctl stop firewalld
7 R0 ]+ B5 j: f$ H4 psystemctl disable firewalld
* F; j( P' H& S' X2 wsed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/sysconfig/selinux
4 T' d/ `1 r- g3 ~setenforce 0
9 {" Y1 G. ]9 u- ]! B" ]+ u6 r$ o& Rsystemctl start iptables
systemctl enable iptables
iptables -F
  Q) S, i+ H! O0 ^: v. kiptables -t nat -A POSTROUTING -s 10.9.0.0/24 -o eth0 -j MASQUERADE
service iptables save
# T" s7 b  f1 u5 g7 d, {5 ~1 I( ^0 ?systemctl restart iptables
; t6 F$ Y0 x! j6 o- Zecho net.ipv4.ip_forward = 1 >>/etc/sysctl.conf
; Z( u2 w+ e2 f# p. P: y- usysctl -p
1 A. T  _6 e% |. k' A- o! zsystemctl start openvpn@server
/ I4 F: [" N$ E' I! msystemctl enable openvpn@server
systemctl status openvpn@server
% b" f! m, x1 q
echo ''>/etc/openvpn/openvpn.sh
6 m9 V7 T( W4 o6 Y- b5 L' ttouch /etc/openvpn/openvpn.sh
cat > /etc/openvpn/openvpn.sh <<"EOF"
#!/bin/bash
#by openvpn useradd
#name LLL 2022年02月23日13:48:55
$ M4 k. y/ s: e7 |8 d###########################################
#user="$1"
/ w, e# @* x6 ^0 N# v- b* r#pass="$2"
1 j4 m) b  k( o* I" k#ip="$3"
1 m. _% a0 D, d/ ?& Oeasyrsa="/etc/openvpn/easy-rsa/3.0.8"
' Q* t" g. f7 n6 x0 Nfunction useradd(){
# K( \4 {8 H' h  `read -p "请输入用户名：" user
if [ ! $user ];then
8 q1 u5 ^: d, B( B) techo "user is NULL"
read -p "请输入用户名：" user
1 E$ G7 K! t6 [  _fi
1 J* p. o  r) P6 x- i! _read -p "请输入密码：" pass
if [ ! $pass ];then
1 K2 f3 y/ `. ?% J; H$ }: e& Becho "password is NULL"
exit
9 L: a+ r5 k, T; w% C1 Lfi
! V* h* G2 E7 a; H9 |2 Xread -p "请输入IP地址(如：10.9.0.6 10.9.0.5,IP地址以4个为单位增加)：" ip
if [ ! $ip ];then
5 a3 A7 {1 M5 K6 z- Uecho "ip is NULL"
) B: P' O; C! S6 nexit
fi
sh /etc/openvpn/client/ovpn_user.sh $user
cat>>/etc/openvpn/ccd/$user<<eof
: `! T) m& l! E) A& Qifconfig-push $ip
eof
7 T- M0 M+ O& b: [. f; Jcat>>/etc/openvpn/psw-file<<eof
$ m6 }; E8 N4 R! d$user $pass
eof
% ~3 f6 f1 N7 x2 k" W}
function userdel(){
read -p "请输入您需要删除的用户名：" user
( k$ S% {# c( N, j* Q" V  wif [ ! $user ];then
echo "user is NULL"
) H: e( b0 R( _  d; e: Yfi
cd $easyrsa
3 J* C+ V& @. A6 N' \echo "-----------------------------------------------------------------"
- d7 P/ b7 {/ N& c0 oecho "出现continue with revocation请输入yes"
echo "------------------------------------------------------------------"
./easyrsa revoke $user
./easyrsa gen-crl
3 H" B! T3 _! q% }/ A: L. krm -f /etc/openvpn/ccd/$user
5 Z' g- P" n3 t1 v6 ?/ r}
% S5 j+ x2 \* T' W6 @" R2 J( l) rfunction alter_user(){
read -p "请输入您需要修改的用户名：" user
read -p "请输入此用户名的新密码：" pass
sed -i '/'"$user"'/d' /etc/openvpn/psw-file
echo "$user $pass" >>/etc/openvpn/psw-file
}
function alter_ip(){
read -p "请输入您需要修改的用户名：" user
1 U6 n2 a; A6 \if [ ! $user ];then
- x5 E* }6 K1 a0 W0 w* x$ w% necho "user is NULL"
exit
0 |$ X3 u" n0 D# Kfi
0 _! F# c6 \) m% Z2 `' q) gread -p "请输入您的新IP地址(如：10.9.0.6 10.9.0.5)：" ip
if [ ! $ip ];then
echo "ip is NULL"
% G0 E% d6 `/ N. S0 Uexit
; u: A9 N$ `. H0 afi
echo ifconfig-push $ip >>/etc/openvpn/ccd/$user
}
& l4 [" F1 ^; C1 G  G2 \& z* X9 mecho "请选择您需要做的操作选项"
4 `, j" a- y0 d' A, T1 @, xecho "----------------------------------------------------------------"
select VPN in "创建用户" "删除用户" "修改账号密码" "修改IP地址"
9 o2 V% |' t5 Zdo
case $VPN in
# a) }; P/ ?. S  G4 N4 W7 k/ o创建用户)
5 M* H; b, l/ P" h( ?: |4 kuseradd
1 n9 o: D3 o4 D% M2 [;;
删除用户)
userdel
0 W0 k& X6 q6 s* Q" X;;
修改账号密码)
7 u. E" a) m, d% j' o5 ]6 h3 a+ Aalter_user
1 M* b6 ~/ U% [, y( N/ Y# J;;
7 v0 n6 U  L  M+ U- C7 B. u4 @% c修改IP地址)
alter_ip
4 G1 z9 Q5 k! {$ }& M# y6 @;;
8 e9 Z8 V. `+ m- Jesac
done
# a* O' I; B! |8 wEOF
8 E2 g& J$ K" Y7 C
2 h1 e0 U6 y, B6 H0 v- g- }echo ''>/etc/openvpn/client/ovpn_user.sh
touch /etc/openvpn/client/ovpn_user.sh
3 G: g! s8 Q  b- xcat > /etc/openvpn/client/ovpn_user.sh <<"EOF"
" r/ b$ F- D. F2 D4 C# ! /bin/bash
set -e
' C* u* Z' \/ X; F* `0 F" uOVPN_USER_KEYS_DIR=/etc/openvpn/client/keys
EASY_RSA_VERSION=3
EASY_RSA_DIR=/etc/openvpn/easy-rsa/
3 T% W# a# G5 l& `; E' B0 v7 S: b( b% rPKI_DIR=$EASY_RSA_DIR/$EASY_RSA_VERSION/pki

4 D4 L' b7 w+ C5 s; @; Qfor user in "$@"
do
- n7 q  |: H& P5 r# xif [ -d "$OVPN_USER_KEYS_DIR/$user" ]; then
rm -rf $OVPN_USER_KEYS_DIR/$user
9 S6 ~4 v3 @) [0 erm -rf $PKI_DIR/reqs/$user.req
. ^- p5 F8 g6 o. ], Osed -i '/'"$user"'/d' $PKI_DIR/index.txt
+ r& I+ d' p+ y  Efi
cd $EASY_RSA_DIR/$EASY_RSA_VERSION
# 生成客户端 ssl 证书文件
- S1 D9 X8 H3 g! [6 K( i/ [" ]4 z./easyrsa build-client-full $user nopass
" k3 X1 ^9 z5 k# 整理下生成的文件
mkdir -p $OVPN_USER_KEYS_DIR/$user
5 k4 A) Y) M( g  K6 Z8 Scp $PKI_DIR/ca.crt $OVPN_USER_KEYS_DIR/$user/ # CA 根证书
cp $PKI_DIR/issued/$user.crt $OVPN_USER_KEYS_DIR/$user/ # 客户端证书
cp $PKI_DIR/private/$user.key $OVPN_USER_KEYS_DIR/$user/ # 客户端证书密钥
. g3 I6 ~( h, B& p/ fcp /etc/openvpn/client/sample.ovpn $OVPN_USER_KEYS_DIR/$user/$user.ovpn # 客户端配置文件
sed -i 's/admin/'"$user"'/g' $OVPN_USER_KEYS_DIR/$user/$user.ovpn
cp /etc/openvpn/server/certs/ta.key $OVPN_USER_KEYS_DIR/$user/ta.key # auth-tls 文件
cd $OVPN_USER_KEYS_DIR
8 f# j6 l% a, |$ p% Bzip -r $user.zip $user
done
exit 0
( ?: C0 k# t3 E" Z; u4 pEOF

echo ''>/etc/openvpn/client/sample.ovpn
  S( c) o9 U" e" Ptouch /etc/openvpn/client/sample.ovpn
cat > /etc/openvpn/client/sample.ovpn<<"EOF"

admin

# 监听地址
5 Y, X4 |1 t4 M; Q: ~; r( Blocal 0.0.0.0  
7 P  C6 V# Q. K3 p. [! V
1 n0 y' Q: f6 k0 T6 ~# 监听端口
port 1194  
' a3 ]: v. _: Y
# 监听协议
( ^1 B! o* [% V5 k- c% V( {proto tcp  
) S: [, a8 W6 d
9 t: P8 X) a+ F9 p8 Y# 采用路由隧道模式
dev tun  
3 {. o. P2 ?: ~+ Z3 B/ O
# ca证书路径
- C, }& k# r8 S. e& Gca /etc/openvpn/ca.crt  

5 i0 y0 M6 O3 H# T# 服务器证书
cert /etc/openvpn/server.crt  

9 v3 H+ b. P( Y) Y2 i# This file should be kept secret 服务器秘钥
8 N9 w/ l& g; s" y% Jkey /etc/openvpn/server.key  
/ \' T9 ?! x% {3 l) L
# 密钥交换协议文件
dh /etc/openvpn/dh.pem  

5 w* J; v" c, p  [# VPN服务端为自己和客户端分配IP的地址池，服务端自己获取网段的第一个地址（这里为10.8.0.1），后为客户端分配其他的可用地址。以后客户端就可以和10.8.0.1进行通信。注意：该网段地址池不要和已有网段冲突或重复
server 10.8.0.0 255.255.255.0  
" V$ X- e) X( o4 o% B
#使用一个文件记录已分配虚拟IP的客户端和虚拟IP的对应关系，以后openvpn重启时，将可以按照此文件继续为对应的客户端分配此前相同的IP。也就是自动续借IP的意思
8 u$ S+ q# C6 W2 Zifconfig-pool-persist ipp.txt
3 Y$ b4 V, L* e/ b6 K. k+ ]
# 客户端所有流量都通过 openvpn 转发，类似于代理
9 W' B9 Q: L5 H2 t5 B5 }) ^' B9 m% ipush "redirect-gateway def1 bypass-dhcp"

# 注意：客户端配置，当服务端开启上面一条流量转发后，客户端需要配置如下2条，客户端只有访问192.168.0.0/24的地址才会走vpn隧道，也就是会使用vpn服务端的IP地址，访问其他地址还是会走本地网络
route-nopull
route 192.168.0.0 255.255.255.0 vpn_gateway
6 |/ Q9 Q% I  ?, \
" ~" J, l( D( K1 s7 h# 将服务器端的内网地址推给客户端，添加到客户端的路由表中，可以添加多条
, n8 j; `  N. J% ]1 d2 u# o+ E: rpush "route 192.168.0.0 255.255.255.0"
0 n( r' s$ M  ]+ _1 K2 Q7 [, }
# 服务端推送客户端dhcp分配dns
push "dhcp-option DNS 8.8.8.8"  
: C, E& M( j4 L# s  ]- k- C& O
# 客户端之间互相通信
client-to-client

8 M7 M7 j/ r; H$ k! V, P# 存活时间，10秒ping一次,120 如未收到响应则视为断线
keepalive 10 120
! v) q" p) d. h* ~
9 W- s' I2 y: [& t# openvpn 2.4版本的vpn才能设置此选项。表示服务端启用lz4的压缩功能，传输数据给客户端时会压缩数据包。Push后在客户端也配置启用lz4的压缩功能，向服务端发数据时也会压缩。如果是2.4版本以下的老版本，则使用用comp-lzo指令
. o3 D% i' A: U8 }) }compress lz4-v2
6 A$ k% ?2 {+ n$ J3 U# h' ?  K. H) zpush "compress lz4-v2"

( |' t+ P' q# ^7 Q7 s  k1 }# 启用lzo数据压缩格式。此指令用于低于2.4版本的老版本。且如果服务端配置了该指令，客户端也必须要配置
comp-lzo

# 最多允许 100 客户端连接
. D& S+ T: K5 U, F: jmax-clients 100  
. v0 j# G# R. h' P$ r: K
# 用户
user openvpn  

# 用户组  
9 M8 z2 E. d8 j) |" P& R7 ?group openvpn  

2 k0 k  n4 p3 U) E4 m) J! x/ g2 M' [# 参数 0 可以省略，如果不省略，那么客户端配置相应的参数该配成 1；如果省略，那么客户端不需要 tls-auth 配置
+ m4 `6 O9 Q5 F7 g5 ~9 X+ H4 Ctls-auth /etc/openvpn/server/ta.key 0  
" x4 ~- X8 s/ [
# 设置一个证书多人同时登陆，如果不允许则注释掉
duplicate-cn

admin

最好的办法是禁止OpenVPN设置自定义缓冲区大小。在服务器和客户端的配置文件加入：

sndbuf 0
4 E" [2 X' H' trcvbuf 0


这样缓冲区大小就由操作系统控制了。对于Linux，这个固定值对于TCP是net.ipv4.tcp_rmem 和net.ipv4.tcp_wmem， UDP是net.core.rmem_default 和 net.core.wmem_default 两个值除2.

如果客户端配置文件不能修改，那么你需要从服务器推送更大的缓存大小：
. c) [9 Q4 E6 q
sndbuf 0
rcvbuf 0
7 b* D# s0 b$ ?2 f+ x; t* f; X# d" Spush "sndbuf 393216"
' d- b5 o9 J; S& M( |6 \1 Mpush "rcvbuf 393216”
6 ]4 w6 a0 y4 f6 f5 \! F4 y

UDP和TCP不同，没有窗口大小这一说，虽然不是整个系统都需要。但是缓冲区过小也有可能降低速度。如果你把缓冲区调成0后还是慢，你应该要么在系统层面增加缓冲区大小（net.core.rmem_default 和 net.core.wmem_default），或者在服务器推送更大的缓冲区配置：
; U; U2 w/ \& F+ ]' r
sndbuf 393216
rcvbuf 393216
push "sndbuf 393216"
, P6 }9 ]7 ?; x8 i9 @) Fpush "rcvbuf 393216”
! \' G  G8 |- `6 U  v5 M, o! l* ~

admin

" ~/ B3 f7 U- t: g) o! u" }0 t# x6 y这部要做：
firewall-cmd --permanent --add-service openvpn
9 N" v/ l2 y; o/ x* @5 q$ Afirewall-cmd --permanent --add-masquerade
; q2 r* p. ]* f2 u3 Cfirewall-cmd --reload


8 b6 |* E$ Z6 I" Q) T优化后的配置：


服务端配置 (server.conf)
: q7 p3 `6 p" Z- j9 C8 t* G0 T# 基本设置
1 \3 l! q, {6 h4 k8 o  p. T# }, ulocal 0.0.0.0
port 2197
4 v3 Q/ ]% ^' [6 o( C& @, I( zproto tcp
dev tun
topology subnet

2 ^4 o/ y' E$ F! D3 U# @3 V
% G7 V1 A" L# ?# ~8 A# MTU/MSSfix 优化，避免 TCP-over-TCP 卡顿和重连
tun-mtu 1450
mssfix 1410
push "tun-mtu 1450"
push "mssfix 1410"

) N: k. t4 g9 Y. ]0 w/ Q
$ _8 D- Y' g6 W* S2 E# 证书路径
ca /etc/openvpn/certificate/ca.crt
cert /etc/openvpn/certificate/openvpnserver.crt
9 F4 v% D$ [) P3 Y# [key /etc/openvpn/certificate/openvpnserver.key
dh /etc/openvpn/certificate/dh.pem
tls-auth /etc/openvpn/certificate/ta.key 0
tls-server
; s3 }5 m- z) [0 i# @: u( t
0 Q) |- t8 b8 r% T
# VPN 内网网段
server 10.10.10.0 255.255.255.0
+ n( f8 G. ^: Difconfig-pool-persist /var/log/openvpn/ipp.txt

2 C0 c3 Y' C4 b5 p& T* ]  E. L
# 内网路由推送
push "route 192.168.16.0 255.255.252.0"
push "route 172.30.1.0 255.255.252.0"
" r4 N5 F( M, P: h) V6 s, X

# DNS 推送
push "dhcp-option DNS 119.6.6.6"
push "dhcp-option DNS 119.7.7.7"
# x: B8 ?& [( _8 Y: W9 N0 X

7 Y1 m7 X9 i9 S6 H& `# 客户端互通
6 x# z' @) Y) k: L/ Jclient-to-client
/ ]% p2 G9 Z  i8 k" C

# 保持连接，优化 TCP
keepalive 10 60
tcp-nodelay
1 G0 T2 m4 [$ ~8 B' A# B# ]
: N- _2 N6 R2 R( N* c; f! K
# 加密和压缩
. t- N" e# g1 I& e7 G* U: R; rcipher AES-256-GCM
) o8 ?, s! E2 H2 T- }( }! rauth SHA256
: k7 r, d& H2 p" D; E4 ]5 ^+ ucompress lz4-v2
, m% s9 S( }" C, Spush "compress lz4-v2"


# 客户端数量
! w  m% z& E# H+ Tmax-clients 250
* H) Y5 H  |4 |, a. X9 N* f1 `. iduplicate-cn   # 如果允许同证书多端连接
+ E% p1 C+ ~6 U* y3 Z! p/ |

# 用户权限
0 X  B4 _5 K) ~. e7 s8 ?user openvpn
group openvpn
& Q1 M9 j' E& H8 A' m  Mpersist-key
persist-tun
% h2 K( x3 V& O  K/ L  `# A( O
; A. ~7 m2 S, m% P$ L: y# }" a, ^2 A
. g+ [# X. {2 ^" o- @: j8 K# 日志
  Q, K8 T2 M8 J; A, {' J; b2 Estatus /var/log/openvpn/openvpn-status.log
. ?. |2 ]2 Y; k( U" Olog-append /var/log/openvpn/openvpn.log
# L% g/ s. J9 H$ Y% }# u# Q7 ]verb 3

; p/ ?, G) [5 u& J- k8 |
& v; P- _4 z8 q2 t. _' w# y客户端配置 (client.ovpn)
client
/ s- o+ l6 K/ s) S4 h  qdev tun
proto tcp
9 P* f2 T1 [2 Hremote 119.99.99.9 2197
6 _% n: q. }# f9 q9 dresolv-retry infinite
# F8 c" m- U! h: u- _nobind
$ Q2 T/ V/ ~3 s: c. p% \8 J9 Q9 ]- Y, u4 Kremote-cert-tls server
1 U5 I( s  _. T4 a
4 j$ M8 k" E, y% {3 V* j# R
# 证书
ca ca.crt
8 B5 e) o+ s9 }+ M! l+ Ucert rui.crt
key rui.key
; B4 n( W8 a# Z  Y# P  I0 _tls-auth ta.key 1


# MTU/MSSfix 同服务端
tun-mtu 1450
mssfix 1410

$ `, C4 l2 Y4 J* |( F5 o! a
# 加密/压缩一致
cipher AES-256-GCM
auth SHA256
compress lz4-v2

0 x: w0 c: k9 q+ r; {
$ ]$ z% a8 W. \! i4 o# F% g# DNS
/ V) r8 O. @2 c; E* [2 f4 w7 gdhcp-option DNS 119.6.6.6
7 _" ^3 @$ `6 y5 idhcp-option DNS 119.7.7.7
  Z- R# ^- H7 ^- P4 U* e2 c
) k8 S1 a7 L; m' E6 I3 c9 w
# 自动重连优化
$ {' d. L! `7 r9 Skeepalive 10 60
2 a/ S6 C: |4 E/ g" Ppersist-key
3 X& F: V; x0 M: Y: Spersist-tun
1 S' O. ^  ?. b1 T6 E5 ?remote-random
1 f/ Q5 }+ I! P5 Otcp-nodelay
3 ?& ]* o$ {/ S( Y: A; Q- b: T! |: H8 I/ hresolv-retry infinite
% @( ]1 K2 g1 {9 q1 Q
1 Z0 o; s4 v- y8 T
9 |0 U% D  j8 w+ R) f+ {+ k6 k# 日志和调试
9 l8 e% L) ^* X7 b/ hverb 3
/ U8 I6 n' K4 t% \) Z9 x$ ?. K% H, W

+ G6 l0 |$ D7 G

admin

Centos7安装与配置OpenVPN服务器,更新 CentOS 软件包

代码语言：javascript代码运行次数：0
* N1 N  B6 {2 d! t* H2 u运行
AI代码解释
yum -y update
8 [$ u5 X7 `1 v# Z虽然也是可以不进行更新直接安装。

安装 OpenVPN 和 EasyRSA
( d$ i* \  l# d0 G
安装 OpenVPN、Firewalld 软件包以及用于生成各种证书的 EasyRSA
( h5 L9 E; f( n8 D
代码语言：javascript代码运行次数：0
运行
3 V" P6 e3 z% b  l: C% UAI代码解释
yum -y install openvpn easy-rsa firewalld
6 n6 Q, P, m2 c" q  M如果未能成功安装 OpenVPN，则可能需要先安装一下 Epel 库。

5 y8 |$ Z: F1 s1 f& A2 G代码语言：javascript代码运行次数：0
运行
AI代码解释
9 e' \) C  J0 Z3 ]9 [5 Yyum install epel-release -y
0 `' e6 `: V  b$ o& e7 L7 `生成 CA 证书、服务端密钥与共享密钥
1 f/ a& [! T! `* w9 p( q( A- N
这里步骤比较多。

首先需要初始化 PKI
7 H& ]1 }# a6 C: G3 W1 k8 y' G# O
3 }2 p8 A. r0 @代码语言：javascript代码运行次数：0
' |3 `4 V# b+ m9 {1 o6 D4 ^: z6 y运行
AI代码解释
cd ~
/usr/share/easy-rsa/3/easyrsa init-pki
接下来是生成 CA 证书

; }% v& }4 ]8 p/ a/ C4 P代码语言：javascript代码运行次数：0
4 Q, n0 ]" r4 K% J, _+ T/ b8 N运行
AI代码解释
+ W8 g; ?3 m2 o5 Q, i5 c8 j/usr/share/easy-rsa/3/easyrsa build-ca nopass
其中 nopass 表示不加密私钥，主要是方便后面导出公钥与颁发服务器证书。

' y, {8 p( [  C再来是生成交互密钥

代码语言：javascript代码运行次数：0
" J- X+ `3 Q* H5 b5 N& T/ e运行
0 h9 K: n- d8 K2 K$ dAI代码解释
/usr/share/easy-rsa/3/easyrsa gen-dh
开始生成服务端密钥

代码语言：javascript代码运行次数：0
运行
AI代码解释
3 w& S9 p1 k' ]( F4 ]2 o/usr/share/easy-rsa/3/easyrsa build-server-full vpn-server nopass
接下来生成客户端密钥，如果未开启同证书允许多人登陆，则需要多次执行生成对应的客户端密钥

代码语言：javascript代码运行次数：0
运行
/ L% u  h# y% R% b# v( B" F0 ^AI代码解释
) c/ S1 J. F' g4 d! i/usr/share/easy-rsa/3/easyrsa build-client-full vpn-client-01 nopass
最后是生成证书交互列表，如果不需要 crl-verify 则可以跳过

, T; e) A  o) \6 U5 |# Q代码语言：javascript代码运行次数：0
/ G; E9 W& {, L* y$ x+ |5 G: P7 V运行
AI代码解释
1 g; O. _  N" h8 i5 V" U3 L/usr/share/easy-rsa/3/easyrsa gen-crl
( \! A& d9 |( n' f其实到这一步需要的证书都以及生成好了，如果你开启了 tls-auth 则还需要生成共享密钥
4 n7 j" }7 e$ Z- j8 F
代码语言：javascript代码运行次数：0
$ y# o! Q  P9 S# V! ~' W运行
5 e# y1 Y) o- T8 M" k/ d) ?$ k" }AI代码解释
6 j% y. I3 k( R/ g& s! \, @" X; R4 N# mopenvpn --genkey --secret pki/ta.key
# H* e- N' G1 ^9 b! b% Z在上面所有证书都生成完毕之后，我们需要将相关证书拷贝到 OpenVPN 的配置文件夹中（似乎也可以在 conf 文件中使用绝对路径）
9 y3 `8 @5 ?- k& F6 k2 _
' l2 t5 Z: D% l- d代码语言：javascript代码运行次数：0
运行
9 c3 t3 u7 }' m9 NAI代码解释
cp pki/ca.crt /etc/openvpn/ca.crt
# S' D7 a; n, \8 {3 g, {cp pki/dh.pem /etc/openvpn/dh.pem
& J4 x3 A) w  j/ w/ Ocp pki/issued/vpn-server.crt /etc/openvpn/server.crt
cp pki/private/vpn-server.key /etc/openvpn/server.key
cp pki/ta.key /etc/openvpn/ta.key
: F4 s- L0 J; H: _! c: scp pki/crl.pem /etc/openvpn/crl.pem
7 p. g  h$ K5 o8 @# i8 H配置服务端

+ M) A7 O7 [- a* R7 MOpenVPN 配置文件有许多可定制化，具体请查阅官方文档。

代码语言：javascript代码运行次数：0
, m$ X/ x, R' [5 ~% ]) ^运行
AI代码解释
- E$ _7 v# |1 C1 Tcd /etc/openvpn
% ^* S4 ?) }& U7 P: rvim server.conf
! I% z" \& M9 n6 g; e* J2 K3 X将以下内容粘贴进去
1 Y- l/ h% q4 b, n  g
代码语言：javascript代码运行次数：0
9 X5 q- |% g! h8 D+ ]+ \运行
# O  ]+ B' @9 @% K- IAI代码解释
# Secure OpenVPN Server Config
& Y& y" _" g% M/ _! ]9 y2 T# Basic Connection Config
dev tun
/ m8 a: M2 w; L& \. cproto udp
port 1194
keepalive 10 120
max-clients 5
# Certs
8 k( P; g0 B$ b* `) Z8 B: Yca ca.crt
cert server.crt
: e, \7 F: ~9 \: S1 Y7 u" Akey server.key
dh dh.pem
+ \. M' W! h2 g: {; Jtls-auth ta.key 0
$ `3 {3 I5 I& E  Y# g3 T+ Y# Ciphers and Hardening
/ O2 `" a( m% T# T( {8 @reneg-sec 0
6 R# q/ u$ z# b: a- O) [$ x- Y  Wremote-cert-tls client
1 Z9 y( r' o& R$ {5 j9 h% rcrl-verify crl.pem
7 j+ o, i1 R- W6 Z/ ~9 u1 @2 Ftls-version-min 1.2
cipher AES-256-CBC
auth SHA512
( }3 ?. T# c: C) R3 ]8 D3 q( @5 Vtls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
# Drop Privs
user nobody
group nobody
# IP pool
" I- x: V& g, y# [' D! ]$ n# Aserver 172.31.100.0 255.255.255.0
topology subnet
0 M0 J$ T4 J. ^ifconfig-pool-persist ipp.txt
client-config-dir client
& s- J% I4 p5 `# Misc
% E- n& N+ N0 B7 wpersist-key
persist-tun
comp-lzo
% W9 h/ n  Z& a4 A) N1 H% ?# DHCP Push options force all traffic through VPN and sets DNS servers
, j' N$ o0 C% o( mpush "redirect-gateway def1 bypass-dhcp"
: D  b; Y8 R4 I7 {4 b% Qpush "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
; a# I8 \, L9 W6 O# R# Logging
% e  Q; p* w; m$ L, W9 Jlog-append /var/log/openvpn.log
verb 3
8 x  [/ p& E% I- X& q启动服务端并让其开机自动启动
( b9 X$ l' {! y- B" q
代码语言：javascript代码运行次数：0
( y2 w2 w! m7 W) ^3 b$ S" Q/ v运行
8 p- e5 ]7 {+ j0 w3 k5 `& GAI代码解释
9 ^& m* ?: a. \1 V, q. k9 hsystemctl start openvpn@server
systemctl enable openvpn@server
配置防火墙与流量转发
, i' @' c1 e9 {7 r2 d3 e  ~% j' X
; j) `* ^0 A9 y  e) i: k放行 OpenVPN 入网流量与开启 IP 伪装

代码语言：javascript代码运行次数：0
7 j( `0 e5 g9 O' p  B  e# {运行
AI代码解释
firewall-cmd --permanent --add-service openvpn
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload
0 D) L9 V% ?) c& K+ l! v检查是否开启流量转发
( F6 a3 |4 a$ j7 [, B& l* ]
代码语言：javascript代码运行次数：0
运行
AI代码解释
4 r! h- U2 n% isysctl -a | grep net.ipv4.ip_forward
2 n% M# s2 u2 v3 c. C8 _确保net.ipv4.ip_forward 等于 1，如果不是，则需要修改一下

- ^( M5 c1 ?$ Z# H5 ^/ v5 ?& E- [4 }9 B0 I代码语言：javascript代码运行次数：0
" j1 U  A/ `  U7 M; @$ ?运行
AI代码解释
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p
配置客户端

' N" ~/ e7 D) s  a, s客户端需要拷贝以下文件
; L  q+ [5 D6 ~
代码语言：javascript代码运行次数：0
运行
AI代码解释
cd ~
mkdir vpn-client-01-config
cp pki/ca.crt vpn-client-01-config/ca.crt
cp pki/issued/vpn-client-01.crt vpn-client-01-config/client.crt
cp pki/private/vpn-client-01.key vpn-client-01-config/client.key
cp pki/ta.key vpn-client-01-config/ta.key
最后vim vpn-client-01-config/client.ovpn并粘贴下面内容
/ x8 a3 J# q  l% K% \' v  y* J- r# t
4 w, E1 E) `5 K% F8 ?" Z代码语言：javascript代码运行次数：0
  }  m! y# R8 Q* ~( s& V4 p运行
9 w5 C% u# K- n! X5 ZAI代码解释
# Secure OpenVPN Client Config
+ g8 i# R( Y" d# B5 P! q/ v( {# A- v#viscosity dns full
#viscosity usepeerdns true
#viscosity dhcp true
tls-client
pull
client
dev tun
proto udp
9 k* }' A  F+ s- c+ tremote 123.123.123.123 1194
" m/ o, q" n( s* Eredirect-gateway def1
8 l" q2 e6 e) O1 s/ J- d1 I- `% Ynobind
( |+ Y% }) y( E9 Z4 h5 T/ Gpersist-key
persist-tun
comp-lzo
verb 3
, j' E6 {6 G- `% {5 hca ca.crt
2 y1 r/ j+ ?; Y: l1 F, [cert client.crt
key client.key
tls-auth ta.key 1
9 I! O# P) _* w8 B! e+ l  z! Kremote-cert-tls server
ns-cert-type server
key-direction 1
  b) ]* f; e: N: u4 N1 Acipher AES-256-CBC
% l* ]% U2 y4 Q; itls-version-min 1.2
auth SHA512
+ L9 o3 ~' G6 w! @- A: l5 z+ atls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
' ~( G0 e8 [! K- Y1 T9 j4 A
5 }  ?. I8 l* [8 Gremote后面填写服务端IP地址和使用的端口号，然后将 vpn-client-01-config 的所有文件拷贝到需要链接的电脑上，即可开始使用。

admin

调整压缩设置：启用压缩可以减少数据量，但可能会增加 CPU 的使用率。在配置文件中，你可以启用 LZO 压缩：
9 L: t$ t) t0 j( W# D9 [7 f
% l+ j6 c) s5 X6 f& h' J) Ycomp-lzo

admin

Centos7安装与配置OpenVPN服务器,更新 CentOS 软件包
! v" ^  a8 T" H" [1 N/ y7 Q! _
0 e- w. S+ w, u. ]( O代码语言：javascript代码运行次数：0
6 E+ e0 |' O* j3 j/ i$ C. P2 L运行
AI代码解释
9 X" y! s& K2 P% \1 a7 Wyum -y update
虽然也是可以不进行更新直接安装。
3 Q1 l: m7 @& F3 V
安装 OpenVPN 和 EasyRSA

安装 OpenVPN、Firewalld 软件包以及用于生成各种证书的 EasyRSA

代码语言：javascript代码运行次数：0
运行
AI代码解释
0 M% C0 _3 @+ D! g* k' M9 oyum -y install openvpn easy-rsa firewalld
如果未能成功安装 OpenVPN，则可能需要先安装一下 Epel 库。
$ Q9 m0 N5 B3 {+ C6 I' M
5 _0 v4 B' }) W" j) Q4 G代码语言：javascript代码运行次数：0
运行
5 v+ ^; u, H  y# e& CAI代码解释
yum install epel-release -y
0 O5 H4 u0 a4 `: _; o生成 CA 证书、服务端密钥与共享密钥
* B  r" j; a0 |2 T! w% W; W
这里步骤比较多。

! r9 Z$ |( L' X( a; u6 U首先需要初始化 PKI
  [4 e! a6 I5 m- q
代码语言：javascript代码运行次数：0
7 g: P! ~7 X9 l* }# \% j9 h+ _运行
AI代码解释
$ k3 M. P3 P" \; W6 D# D1 u+ k* i; Ucd ~
* G) H5 A4 O- k8 X) ~) W/usr/share/easy-rsa/3/easyrsa init-pki
接下来是生成 CA 证书

  E; D8 c; F  y" l7 H) p代码语言：javascript代码运行次数：0
  Z# j3 D: X6 p1 @( B运行
/ m; X! g3 T$ D+ x3 H% {AI代码解释
2 ?1 ~$ {6 r7 O; _9 p. ]/usr/share/easy-rsa/3/easyrsa build-ca nopass
5 B3 b' D2 p, R$ ^5 `: m5 O- R其中 nopass 表示不加密私钥，主要是方便后面导出公钥与颁发服务器证书。
( y% m3 c3 X0 o; K$ `
! g# n6 j, f$ g! x6 a1 r' H) s再来是生成交互密钥

$ p) M. G: [: Z4 n8 [% t2 q. c代码语言：javascript代码运行次数：0
3 G4 ^' y6 @9 \+ ]$ V! p  n运行
AI代码解释
4 I! @+ X# b# {/usr/share/easy-rsa/3/easyrsa gen-dh
开始生成服务端密钥

代码语言：javascript代码运行次数：0
+ E8 J5 p* g7 x6 y& @. X, G运行
9 m. ]7 }0 R0 x% p( X8 U# VAI代码解释
2 B* y& u+ I( T$ H/usr/share/easy-rsa/3/easyrsa build-server-full vpn-server nopass
接下来生成客户端密钥，如果未开启同证书允许多人登陆，则需要多次执行生成对应的客户端密钥

1 m  }2 M( |9 @+ W0 M2 \代码语言：javascript代码运行次数：0
+ A+ X7 A: m4 C: \! T2 x运行
AI代码解释
3 Q5 d: o, J4 v1 Y+ P/usr/share/easy-rsa/3/easyrsa build-client-full vpn-client-01 nopass
* I, M) z. C( i% e$ M+ O最后是生成证书交互列表，如果不需要 crl-verify 则可以跳过
" q9 l' b( u& v/ `* W
代码语言：javascript代码运行次数：0
4 r# K6 R$ v1 R- X4 a运行
* M. Y9 u9 `5 R1 S9 P' D* sAI代码解释
/usr/share/easy-rsa/3/easyrsa gen-crl
$ z3 Z! r+ P/ m  C1 U& r! }: j5 h" A其实到这一步需要的证书都以及生成好了，如果你开启了 tls-auth 则还需要生成共享密钥

: V/ u- B) v2 Z5 Y! M- h# k代码语言：javascript代码运行次数：0
4 c. p# H7 `+ f5 t% ~运行
AI代码解释
: U8 p+ d4 r/ U6 J% F0 ?- ~openvpn --genkey --secret pki/ta.key
在上面所有证书都生成完毕之后，我们需要将相关证书拷贝到 OpenVPN 的配置文件夹中（似乎也可以在 conf 文件中使用绝对路径）

代码语言：javascript代码运行次数：0
# R4 R1 j5 C9 J$ s; I运行
+ `- I4 G0 k( B- A0 @AI代码解释
cp pki/ca.crt /etc/openvpn/ca.crt
cp pki/dh.pem /etc/openvpn/dh.pem
cp pki/issued/vpn-server.crt /etc/openvpn/server.crt
cp pki/private/vpn-server.key /etc/openvpn/server.key
- `+ v6 n* ~7 D, h& ?cp pki/ta.key /etc/openvpn/ta.key
cp pki/crl.pem /etc/openvpn/crl.pem
5 D0 J( f9 B* N# V' u5 _  y7 W. z配置服务端
! p: o% a! m: ?7 T' L4 P4 C
OpenVPN 配置文件有许多可定制化，具体请查阅官方文档。
2 \/ i9 ^" }; ^) x& w6 f
$ U0 F  B/ \" K2 I) q* h7 x) j代码语言：javascript代码运行次数：0
: r1 i) L+ o5 t运行
: H! j9 l# A+ w4 FAI代码解释
# V: g/ r2 d1 q1 Y8 bcd /etc/openvpn
9 S. B1 \8 S) W* l$ I$ Wvim server.conf
将以下内容粘贴进去

代码语言：javascript代码运行次数：0
运行
  N* O0 ^. F" Q" q6 f0 ?$ o4 t) o8 q. ?AI代码解释
# Secure OpenVPN Server Config
- F! o  m6 V& Q$ J8 C# Basic Connection Config
dev tun
proto udp
2 m+ ?) b& U3 B- Q# v( \port 1194
9 i9 t+ S- }7 U2 a. ]6 B0 B2 Hkeepalive 10 120
max-clients 5
& ^$ ^1 I7 o, V/ `# Certs
ca ca.crt
% V  q  p& R$ r; A0 i% o" ncert server.crt
% i  A4 H3 |% H1 R0 H  N" @+ x$ Mkey server.key
dh dh.pem
tls-auth ta.key 0
! D; |' k" y- G2 k# Ciphers and Hardening
reneg-sec 0
remote-cert-tls client
5 n/ w' _* V& V, l( L. vcrl-verify crl.pem
tls-version-min 1.2
3 u4 o: i6 }* }& Scipher AES-256-CBC
auth SHA512
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
# Drop Privs
0 W0 o; ?# f0 Kuser nobody
group nobody
# IP pool
/ Q7 V+ q+ Z5 f8 z% x" Qserver 172.31.100.0 255.255.255.0
topology subnet
& t$ d; J$ T. @# Zifconfig-pool-persist ipp.txt
. p* n7 J0 X. j# v" i& ]client-config-dir client
# Misc
persist-key
7 u0 S; b0 y/ w4 R8 ?8 }- @persist-tun
comp-lzo
# DHCP Push options force all traffic through VPN and sets DNS servers
( j+ S% ]  [: hpush "redirect-gateway def1 bypass-dhcp"
, v5 G& \  r( U4 U% v, rpush "dhcp-option DNS 8.8.8.8"
1 H3 `& k9 `( B4 X5 cpush "dhcp-option DNS 8.8.4.4"
# Logging
7 x- Y( B2 y8 |log-append /var/log/openvpn.log
verb 3
3 C% e8 S, d( d! f+ z# b$ Y) Q启动服务端并让其开机自动启动
1 w% q* l% S9 x
代码语言：javascript代码运行次数：0
( ~- h2 C7 h# b* ?0 g( ^5 K运行
AI代码解释
3 a- P7 G& X  X; usystemctl start openvpn@server
4 h! A. G: X# I, }9 Xsystemctl enable openvpn@server
7 @( V( h; T4 c8 c* A0 Z配置防火墙与流量转发
: @, ^0 z# ?7 J" t$ G2 r% V
放行 OpenVPN 入网流量与开启 IP 伪装
/ ?  \; W- X4 \. C7 k
代码语言：javascript代码运行次数：0
/ G9 H5 U( L" v* z7 \6 ~& M4 }运行
AI代码解释
firewall-cmd --permanent --add-service openvpn
% E4 D/ v7 p% X" rfirewall-cmd --permanent --add-masquerade
firewall-cmd --reload
3 H' t& i' p( e! S$ s检查是否开启流量转发
! N  i5 w4 i1 m- S0 o% D
代码语言：javascript代码运行次数：0
运行
AI代码解释
( t- L3 X5 [/ \" j+ V& j1 {' dsysctl -a | grep net.ipv4.ip_forward
确保net.ipv4.ip_forward 等于 1，如果不是，则需要修改一下
! I2 Z; V) \! p" n- j
+ K: Y. e4 I& G1 Y. B' e代码语言：javascript代码运行次数：0
运行
4 v& w" ?* k4 `# C9 M6 }$ DAI代码解释
# {7 [% H3 j1 p" E, Lecho "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p
配置客户端

客户端需要拷贝以下文件
  o& G8 b3 O( q0 B& Z+ C  [9 M) @
8 |0 N' a8 u& G# \3 T" T代码语言：javascript代码运行次数：0
运行
AI代码解释
cd ~
mkdir vpn-client-01-config
cp pki/ca.crt vpn-client-01-config/ca.crt
cp pki/issued/vpn-client-01.crt vpn-client-01-config/client.crt
! C0 E7 i& T% f" Dcp pki/private/vpn-client-01.key vpn-client-01-config/client.key
cp pki/ta.key vpn-client-01-config/ta.key
最后vim vpn-client-01-config/client.ovpn并粘贴下面内容

/ z. e7 h- `5 F% G3 D# {代码语言：javascript代码运行次数：0
5 i; o& T* K0 c5 y9 }运行
AI代码解释
4 C/ q. e; l: D6 v, x" o' |/ w8 G# Secure OpenVPN Client Config
#viscosity dns full
#viscosity usepeerdns true
2 u9 d1 k6 _' ~* ~$ t, v; k! I+ j#viscosity dhcp true
. x7 i' U3 P* R  A+ ?tls-client
pull
; B  e8 K7 M9 q7 s: c1 x9 W( T& _( Aclient
dev tun
" d" }6 C' _# n$ c/ c! d: pproto udp
% A9 d( t( ]3 zremote 123.123.123.123 1194
4 R4 M, Y# ]$ ]$ l, ]redirect-gateway def1
nobind
persist-key
+ T8 v1 r+ K7 jpersist-tun
comp-lzo
- t& W/ Z* x! \; q$ L4 ^verb 3
ca ca.crt
1 Z) d; r" _* F3 u0 R) bcert client.crt
key client.key
" M! L. q/ t* ~4 h. H4 Z2 P$ w/ otls-auth ta.key 1
0 L  p8 Y( D' y- J; w. a% J* yremote-cert-tls server
  n; l$ K1 l+ R# @& Q/ K9 a8 p% Z( Ens-cert-type server
key-direction 1
# P& g( @! A1 H+ V2 C, ~$ rcipher AES-256-CBC
tls-version-min 1.2
auth SHA512
6 C) O0 @9 C+ i, \, I, j+ \' D  Stls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
remote后面填写服务端IP地址和使用的端口号，然后将 vpn-client-01-config 的所有文件拷贝到需要链接的电脑上，即可开始使用。

admin

https://www.bbs168x.cn/forum.php ... tid=3133&extra=