Centos7.9系统安装OpenVPN-超详细

admin

at > /etc/openvpn/checkpsw.sh <<"EOF"
#!/bin/sh
0 D4 R# f" X* s( q( o- _###########################################################
# checkpsw.sh (C) 2004 Mathias Sundman <mathias@openvpn.se>
#
7 Y  J7 F& k* r& p6 h# H( `# This script will authenticate OpenVPN users against
# a plain text file. The passfile should simply contain
9 A/ X! k! k# t: r, `+ X# one row per user with the username first followed by
# one or more space(s) or tab(s) and then the password.
PASSFILE="/etc/openvpn/psw-file"
LOG_FILE="/var/log/openvpn-password.log"
TIME_STAMP=`date "+%Y-%m-%d %T"`
###########################################################
if [ ! -r "${PASSFILE}" ]; then
echo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >> ${LOG_FILE}
& ^3 l) D: f) e1 aexit 1
fi
CORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}' ${PASSFILE}`
if [ "${CORRECT_PASSWORD}" = "" ]; then
echo "${TIME_STAMP}: User does not exist: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
exit 1
+ |* ?: a; U; _$ N1 E) H- d) u" ufi
if [ "${password}" = "${CORRECT_PASSWORD}" ]; then
echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}
exit 0
! A: `  r' o8 ?, _" l1 F# D7 m* s! Nfi
+ _: i( d; p6 H' Y* P# lecho "${TIME_STAMP}: Incorrect password: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
exit 1
EOF
! n9 b$ ^' p) b/ m8 w. v2 v  ?+ i
chmod +x /etc/openvpn/checkpsw.sh
systemctl stop firewalld
: d4 i$ ^7 A5 g! M7 ]systemctl disable firewalld
sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/sysconfig/selinux
setenforce 0
. v7 U3 z0 n  H2 k8 F& \systemctl start iptables
systemctl enable iptables
0 _6 R  u6 D; B( P0 [+ ziptables -F
  R  H; X# [' m4 H. Iiptables -t nat -A POSTROUTING -s 10.9.0.0/24 -o eth0 -j MASQUERADE
" q, b" h5 J! @/ @% Q) t% Sservice iptables save
systemctl restart iptables
! p& P1 \/ ?" u( G$ m5 L8 B$ z# }echo net.ipv4.ip_forward = 1 >>/etc/sysctl.conf
0 B9 }: j! v/ E! t  Nsysctl -p
) o+ F  v, _+ O5 u# `' y9 d9 n5 Y% lsystemctl start openvpn@server
9 D2 N5 ?  ^4 S2 j% Nsystemctl enable openvpn@server
" [8 [3 m" V# h6 b: `systemctl status openvpn@server
/ l- Q( \8 H4 t" G5 r7 [
echo ''>/etc/openvpn/openvpn.sh
1 s: h* {& v  @touch /etc/openvpn/openvpn.sh
cat > /etc/openvpn/openvpn.sh <<"EOF"
#!/bin/bash
: m8 g7 U, z& Y) X#by openvpn useradd
% ]5 j- k; y6 b* @+ O#name LLL 2022年02月23日13:48:55
# L* s( r9 b+ m4 @3 y: `###########################################
8 Q1 ]5 p- Z% q#user="$1"
#pass="$2"
9 f- c- y: Z. J4 b, F1 t0 w5 F#ip="$3"
easyrsa="/etc/openvpn/easy-rsa/3.0.8"
' Z5 \* s  o' Y' {- x1 `function useradd(){
1 A" C( W  R+ o5 m9 Kread -p "请输入用户名：" user
1 ?" i6 X8 E) y* h- Fif [ ! $user ];then
% f( M5 e  p. \& c- E6 U' Yecho "user is NULL"
read -p "请输入用户名：" user
0 S7 l8 k0 ?9 D* k3 i  I' _fi
) c# t( N$ z3 P3 c( S! Uread -p "请输入密码：" pass
if [ ! $pass ];then
echo "password is NULL"
- N, w5 U9 _3 }exit
. L7 x* \% N- r3 Z+ p5 `4 s7 rfi
read -p "请输入IP地址(如：10.9.0.6 10.9.0.5,IP地址以4个为单位增加)：" ip
if [ ! $ip ];then
echo "ip is NULL"
exit
" z% K7 V6 e; C" D0 z8 X) Lfi
& E" _2 B+ `9 c  x1 O. l" |sh /etc/openvpn/client/ovpn_user.sh $user
8 v3 @  D5 q* N, Rcat>>/etc/openvpn/ccd/$user<<eof
: \; x: A# N. [6 uifconfig-push $ip
eof
cat>>/etc/openvpn/psw-file<<eof
$user $pass
) O3 x5 _; I: T6 [  veof
6 Q& g% h  X' h' b  z' ^7 ~/ X}
function userdel(){
read -p "请输入您需要删除的用户名：" user
if [ ! $user ];then
: d0 M' w! g- e/ i! ?0 x6 Necho "user is NULL"
fi
cd $easyrsa
6 a5 A) N/ O* ?" vecho "-----------------------------------------------------------------"
echo "出现continue with revocation请输入yes"
echo "------------------------------------------------------------------"
+ T7 b3 M1 J5 I8 l1 v$ {! P" {3 J./easyrsa revoke $user
./easyrsa gen-crl
/ ^. g. c) W. x7 `) {2 ~rm -f /etc/openvpn/ccd/$user
6 g) o# e* X( E) A3 }- w}
( W1 @( I( n' c& H/ [; [+ afunction alter_user(){
read -p "请输入您需要修改的用户名：" user
read -p "请输入此用户名的新密码：" pass
, E' P9 B6 S/ N3 B- esed -i '/'"$user"'/d' /etc/openvpn/psw-file
echo "$user $pass" >>/etc/openvpn/psw-file
}
function alter_ip(){
read -p "请输入您需要修改的用户名：" user
* G) u; h) I' N( q% E9 M& Q0 k9 pif [ ! $user ];then
echo "user is NULL"
exit
fi
! t# ^3 H' }  N0 g2 l) y0 L! [0 rread -p "请输入您的新IP地址(如：10.9.0.6 10.9.0.5)：" ip
if [ ! $ip ];then
$ J: Q3 B) c. z: ?- m3 V- u, g9 Fecho "ip is NULL"
+ X; |! N0 ?/ N. H  S' }exit
fi
" f3 T2 o& a' |. ^; C4 O6 uecho ifconfig-push $ip >>/etc/openvpn/ccd/$user
}
echo "请选择您需要做的操作选项"
echo "----------------------------------------------------------------"
2 g' |' M3 P5 O! }( @select VPN in "创建用户" "删除用户" "修改账号密码" "修改IP地址"
do
case $VPN in
6 J' U) F; a" k+ c创建用户)
useradd
;;
删除用户)
4 @& d" D* [2 @0 N% [, X, muserdel
3 A- O0 T' Y+ `. q;;
3 A) v9 R3 Y3 P- ?% l# _. r% F! @修改账号密码)
+ L7 I5 w+ Z9 I! D$ W/ nalter_user
) d: v5 @2 Q5 R9 I& s/ z;;
修改IP地址)
alter_ip
;;
esac
$ I2 _! }" R9 E& K7 u0 O3 gdone
EOF
! c2 Z) V6 m$ a. u
echo ''>/etc/openvpn/client/ovpn_user.sh
3 X3 ~) h" t$ I5 j/ ]! [6 v, Rtouch /etc/openvpn/client/ovpn_user.sh
cat > /etc/openvpn/client/ovpn_user.sh <<"EOF"
% Z7 i+ t9 `6 G* l( G# ! /bin/bash
set -e
OVPN_USER_KEYS_DIR=/etc/openvpn/client/keys
EASY_RSA_VERSION=3
+ D) U9 c  _; n+ u" YEASY_RSA_DIR=/etc/openvpn/easy-rsa/
PKI_DIR=$EASY_RSA_DIR/$EASY_RSA_VERSION/pki

for user in "$@"
do
" H, M6 w, p0 Rif [ -d "$OVPN_USER_KEYS_DIR/$user" ]; then
! z% O$ C7 z0 z( t  m1 k4 irm -rf $OVPN_USER_KEYS_DIR/$user
rm -rf $PKI_DIR/reqs/$user.req
$ _+ {1 ]+ {2 ?+ S- N& Xsed -i '/'"$user"'/d' $PKI_DIR/index.txt
fi
cd $EASY_RSA_DIR/$EASY_RSA_VERSION
# 生成客户端 ssl 证书文件
7 U) |/ Y5 y* v) O! @./easyrsa build-client-full $user nopass
# 整理下生成的文件
7 R  P8 R5 [8 V9 k# C1 vmkdir -p $OVPN_USER_KEYS_DIR/$user
cp $PKI_DIR/ca.crt $OVPN_USER_KEYS_DIR/$user/ # CA 根证书
cp $PKI_DIR/issued/$user.crt $OVPN_USER_KEYS_DIR/$user/ # 客户端证书
9 B  u1 g4 m. ~5 Icp $PKI_DIR/private/$user.key $OVPN_USER_KEYS_DIR/$user/ # 客户端证书密钥
cp /etc/openvpn/client/sample.ovpn $OVPN_USER_KEYS_DIR/$user/$user.ovpn # 客户端配置文件
- r4 v5 a) S, G( k% l3 q: A# msed -i 's/admin/'"$user"'/g' $OVPN_USER_KEYS_DIR/$user/$user.ovpn
cp /etc/openvpn/server/certs/ta.key $OVPN_USER_KEYS_DIR/$user/ta.key # auth-tls 文件
cd $OVPN_USER_KEYS_DIR
zip -r $user.zip $user
done
0 x& |2 v, z$ W  c3 Lexit 0
EOF
8 Z; [+ {3 [- r5 \
echo ''>/etc/openvpn/client/sample.ovpn
touch /etc/openvpn/client/sample.ovpn
# t) y. D- f, {: Jcat > /etc/openvpn/client/sample.ovpn<<"EOF"

admin

# 监听地址
5 S7 a) N* Z2 ^* `6 ^" n% Nlocal 0.0.0.0  

5 x% l/ g; Q, O% i, i6 h) ]# 监听端口
port 1194  
0 b3 R6 h' m' Q) k
0 ?* {7 R& \" g5 l* B' ]# 监听协议
proto tcp  
" s: u; G! ], m+ p/ i) _
$ f2 \2 U  r0 J) o& R# 采用路由隧道模式
: N  a" i3 S1 T% c& vdev tun  
9 y2 J' {9 J; `0 B
' \: E; r) A" x5 U( R$ A( c# ca证书路径
: L% s7 j0 z7 C' k. bca /etc/openvpn/ca.crt  

" q% Z) h3 ?9 A3 M  [5 J: Y! ]# 服务器证书
) Q9 _0 T2 ?8 O  ?cert /etc/openvpn/server.crt  
! V+ P) u( w' J# [
$ c& ~# d/ C. I0 ?2 }5 d4 v4 C+ @) E# This file should be kept secret 服务器秘钥
key /etc/openvpn/server.key  

# 密钥交换协议文件
dh /etc/openvpn/dh.pem  
6 C: Q, t) Y, X/ Q% F0 ?2 P
: `) A/ n4 C) C: `) Q5 ~, |# VPN服务端为自己和客户端分配IP的地址池，服务端自己获取网段的第一个地址（这里为10.8.0.1），后为客户端分配其他的可用地址。以后客户端就可以和10.8.0.1进行通信。注意：该网段地址池不要和已有网段冲突或重复
0 T& g2 T& G8 c- Y4 k; X' `server 10.8.0.0 255.255.255.0  
% u$ a9 r; f1 o4 ]
4 }$ J, {' r0 g#使用一个文件记录已分配虚拟IP的客户端和虚拟IP的对应关系，以后openvpn重启时，将可以按照此文件继续为对应的客户端分配此前相同的IP。也就是自动续借IP的意思
ifconfig-pool-persist ipp.txt
* J: _3 t4 f* j6 `0 `. @$ Z
4 u8 X! P+ ~1 W. j% o* g! M# 客户端所有流量都通过 openvpn 转发，类似于代理
. A6 M7 c7 Y5 k; }  opush "redirect-gateway def1 bypass-dhcp"

# 注意：客户端配置，当服务端开启上面一条流量转发后，客户端需要配置如下2条，客户端只有访问192.168.0.0/24的地址才会走vpn隧道，也就是会使用vpn服务端的IP地址，访问其他地址还是会走本地网络
route-nopull
route 192.168.0.0 255.255.255.0 vpn_gateway

# 将服务器端的内网地址推给客户端，添加到客户端的路由表中，可以添加多条
push "route 192.168.0.0 255.255.255.0"

4 _: ~1 C( Z  F, ~( P# 服务端推送客户端dhcp分配dns
0 y" e# ]9 y8 Q6 _4 d& Rpush "dhcp-option DNS 8.8.8.8"  
9 W4 L) V9 P- g) C: g' a' I0 Z6 n8 X
# 客户端之间互相通信
. X' u9 M. G& i" [6 Y& F. [client-to-client

0 B- U: G; w6 R9 [- p8 c1 }# {# 存活时间，10秒ping一次,120 如未收到响应则视为断线
; N: i; t0 O9 o' T( Nkeepalive 10 120

& U+ L& }: L- ^1 A# Q; M# openvpn 2.4版本的vpn才能设置此选项。表示服务端启用lz4的压缩功能，传输数据给客户端时会压缩数据包。Push后在客户端也配置启用lz4的压缩功能，向服务端发数据时也会压缩。如果是2.4版本以下的老版本，则使用用comp-lzo指令
2 K# @7 s9 J+ {. M: |compress lz4-v2
push "compress lz4-v2"

# 启用lzo数据压缩格式。此指令用于低于2.4版本的老版本。且如果服务端配置了该指令，客户端也必须要配置
% M( I4 ^2 F0 Ccomp-lzo

# 最多允许 100 客户端连接
% K6 N* Q7 W0 Q5 G+ l3 nmax-clients 100  

# 用户
user openvpn  

# 用户组  
group openvpn  

( n0 U; |0 J$ j( R. h* h8 q/ v# 参数 0 可以省略，如果不省略，那么客户端配置相应的参数该配成 1；如果省略，那么客户端不需要 tls-auth 配置
; [! [% i2 Q- utls-auth /etc/openvpn/server/ta.key 0  

# 设置一个证书多人同时登陆，如果不允许则注释掉
duplicate-cn
! d! c4 h* {2 o& m2 _0 O$ l

admin

最好的办法是禁止OpenVPN设置自定义缓冲区大小。在服务器和客户端的配置文件加入：

" z! Z  \7 i& u5 L$ W! |3 y& Vsndbuf 0
# I3 y, ]$ Q7 T$ I4 [" F  h! _rcvbuf 0

$ T& D1 [6 o; J, n3 c' b, H! G
这样缓冲区大小就由操作系统控制了。对于Linux，这个固定值对于TCP是net.ipv4.tcp_rmem 和net.ipv4.tcp_wmem， UDP是net.core.rmem_default 和 net.core.wmem_default 两个值除2.

如果客户端配置文件不能修改，那么你需要从服务器推送更大的缓存大小：

sndbuf 0
rcvbuf 0
$ I7 Y" \9 S6 n9 G- i# L9 U: kpush "sndbuf 393216"
) ~/ K$ b' K$ W5 J; m# \5 M5 Upush "rcvbuf 393216”


6 t4 ]9 k3 X" k+ M3 F4 X$ eUDP和TCP不同，没有窗口大小这一说，虽然不是整个系统都需要。但是缓冲区过小也有可能降低速度。如果你把缓冲区调成0后还是慢，你应该要么在系统层面增加缓冲区大小（net.core.rmem_default 和 net.core.wmem_default），或者在服务器推送更大的缓冲区配置：

sndbuf 393216
! b! h. X1 L+ k2 H0 krcvbuf 393216
1 j3 I  u2 g% n* y; mpush "sndbuf 393216"
push "rcvbuf 393216”

admin

# {" S! |9 f" r" m" R, Z4 L这部要做：
% F" g& l& q7 e2 c; N# \- Yfirewall-cmd --permanent --add-service openvpn
/ [! ]; `4 v# ]- B% [; p+ C9 T, ofirewall-cmd --permanent --add-masquerade
firewall-cmd --reload


优化后的配置：


3 ~3 {6 }& S. L3 _' u; ]服务端配置 (server.conf)
# 基本设置
% x+ D4 k. ?& z( t, Dlocal 0.0.0.0
" L8 v$ W2 L5 Y0 i4 \port 2197
proto tcp
: J1 ~0 E( b. t0 ?9 pdev tun
topology subnet
6 \: u! R, E0 S- s! Y
* {: w, G7 l, Q% K% l
# MTU/MSSfix 优化，避免 TCP-over-TCP 卡顿和重连
tun-mtu 1450
mssfix 1410
push "tun-mtu 1450"
push "mssfix 1410"

9 C/ M2 r( V4 t" @1 N
+ [- @8 e  t* X$ p1 j' G# 证书路径
$ X1 J" U3 P1 j3 m7 T! F. n" gca /etc/openvpn/certificate/ca.crt
cert /etc/openvpn/certificate/openvpnserver.crt
key /etc/openvpn/certificate/openvpnserver.key
dh /etc/openvpn/certificate/dh.pem
" v) J$ Y& A# h0 qtls-auth /etc/openvpn/certificate/ta.key 0
tls-server


# VPN 内网网段
server 10.10.10.0 255.255.255.0
ifconfig-pool-persist /var/log/openvpn/ipp.txt

: ?/ t% L) N! H$ K
) N5 {- [( ?- _2 F# 内网路由推送
/ S/ h% D& \) s' |push "route 192.168.16.0 255.255.252.0"
push "route 172.30.1.0 255.255.252.0"

6 H. H9 a* w9 E5 C8 h3 f' B
: R3 q5 t* C- e8 u# DNS 推送
; i8 u. H4 a4 H) L7 M( c% [! epush "dhcp-option DNS 119.6.6.6"
7 l  t/ ^0 X6 hpush "dhcp-option DNS 119.7.7.7"

$ f6 c: B5 U0 q4 l
# 客户端互通
client-to-client

' H* |7 `  L% e2 f
' n5 P. D1 i$ C" e- b# 保持连接，优化 TCP
keepalive 10 60
tcp-nodelay


# 加密和压缩
- P) }- c0 V1 r8 h4 n- h, xcipher AES-256-GCM
auth SHA256
( [# \" J4 f" s3 ^8 q! Zcompress lz4-v2
push "compress lz4-v2"

: q0 u2 N$ X  G7 f+ A8 U- [" E& Z
6 X! @' v7 G* i) F1 ]# 客户端数量
, |# E8 K+ O1 a; [, umax-clients 250
( k& J3 B6 Y( g5 q6 b9 ]6 h: ~4 D7 cduplicate-cn   # 如果允许同证书多端连接
" I! }+ L/ U8 }% _1 E
( z6 f* Y2 Z9 f1 S; @: D2 q; f8 \# w
" ~1 ]" J. p/ q( q# 用户权限
user openvpn
0 L4 {1 |# u# I4 l8 _. B8 _! i% ygroup openvpn
persist-key
; U. V  t1 E, t2 y( W2 [persist-tun


# 日志
status /var/log/openvpn/openvpn-status.log
log-append /var/log/openvpn/openvpn.log
verb 3
/ B& ^: ?- n& H. n3 W. [6 c, j$ W
1 d" ]& @5 J/ c2 n
! J4 P1 t: Q& a4 y" M0 ]客户端配置 (client.ovpn)
client
dev tun
proto tcp
remote 119.99.99.9 2197
2 T6 M+ |( E( V/ Dresolv-retry infinite
nobind
; i; D. N, k2 F3 Xremote-cert-tls server
, Q  D2 X# i  D3 q5 I+ B0 f

# 证书
ca ca.crt
cert rui.crt
key rui.key
7 [: ]# S5 x; U4 `8 o& O/ ?tls-auth ta.key 1


# MTU/MSSfix 同服务端
# H+ Z, i% k; V$ w1 x# Ltun-mtu 1450
mssfix 1410


4 k/ {/ V9 M: W0 h8 K& p% Y# 加密/压缩一致
+ D) E) i5 o; @4 E. V5 scipher AES-256-GCM
auth SHA256
compress lz4-v2

& _" |" w* C, D$ ^' T) p
1 h! q  ], |6 x, e5 j- q2 P# DNS
& C2 h6 [6 z+ L2 ~dhcp-option DNS 119.6.6.6
dhcp-option DNS 119.7.7.7


# 自动重连优化
keepalive 10 60
- D% {2 D1 _; G6 |; Upersist-key
# ?8 k8 a- B. y4 r( Qpersist-tun
1 V, L% O% o' L$ y/ ]( rremote-random
5 C' x4 Y0 @' u2 |. l* U; u) |tcp-nodelay
8 @* E. H* l% ?, K# S1 uresolv-retry infinite
( n6 i% ?7 l  a6 B& i- j

' \4 T& c% z9 P1 S& z; F: j5 \7 R# 日志和调试
verb 3

admin

Centos7安装与配置OpenVPN服务器,更新 CentOS 软件包
3 C+ c# [. P  @' d
代码语言：javascript代码运行次数：0
6 c1 r8 d" D4 c* Q5 |运行
AI代码解释
yum -y update
" x9 y2 c4 \* c- I9 J9 X8 M虽然也是可以不进行更新直接安装。
  d% X3 {5 \( h- {/ f
安装 OpenVPN 和 EasyRSA
8 K7 F0 U1 {6 p+ z# J
1 c& {2 Y* i0 e' G- U4 M安装 OpenVPN、Firewalld 软件包以及用于生成各种证书的 EasyRSA

代码语言：javascript代码运行次数：0
7 u) C6 d3 s( E  F- }) H运行
AI代码解释
yum -y install openvpn easy-rsa firewalld
6 }/ k, \  x) y5 }9 U0 q如果未能成功安装 OpenVPN，则可能需要先安装一下 Epel 库。
% e; A1 u/ n# ]. O
7 p. s% f( G& n& l3 E, G代码语言：javascript代码运行次数：0
运行
$ y" B2 v8 p/ a& OAI代码解释
: ^/ X* E6 I# X4 `. Fyum install epel-release -y
生成 CA 证书、服务端密钥与共享密钥

- u- j# @; R: I4 r3 U+ u7 x这里步骤比较多。
, a; n, D! P+ @: ~% _( ?% y
% g8 x; P. d0 q2 @1 X7 l. z首先需要初始化 PKI
, J9 [( l$ B( @8 f5 w& |- |
! m5 \9 `  N( \" o代码语言：javascript代码运行次数：0
/ g% h! q4 I5 Z' e运行
AI代码解释
cd ~
/usr/share/easy-rsa/3/easyrsa init-pki
9 s$ P% }8 A* n3 E接下来是生成 CA 证书
* ?# F/ P3 S5 P; u6 ~
代码语言：javascript代码运行次数：0
运行
1 h) c# ~7 R, i: qAI代码解释
/usr/share/easy-rsa/3/easyrsa build-ca nopass
其中 nopass 表示不加密私钥，主要是方便后面导出公钥与颁发服务器证书。

+ }- T' L8 ^, f- G' e再来是生成交互密钥
3 _/ @- M3 Y& C1 b( n0 Y
, i) |7 @& U3 P1 l* f1 _代码语言：javascript代码运行次数：0
( B" O5 ~) \: ^6 T运行
$ @: J) n& ^$ s) WAI代码解释
/usr/share/easy-rsa/3/easyrsa gen-dh
开始生成服务端密钥

5 X/ @6 t7 _* q3 m2 u代码语言：javascript代码运行次数：0
运行
AI代码解释
/usr/share/easy-rsa/3/easyrsa build-server-full vpn-server nopass
" u2 _# K/ |3 N8 g2 P+ S" Z接下来生成客户端密钥，如果未开启同证书允许多人登陆，则需要多次执行生成对应的客户端密钥

代码语言：javascript代码运行次数：0
运行
AI代码解释
; x1 f# K1 |1 L2 y/usr/share/easy-rsa/3/easyrsa build-client-full vpn-client-01 nopass
# s0 i% I: [# }% T' w% p6 s最后是生成证书交互列表，如果不需要 crl-verify 则可以跳过

; V0 H3 s6 H1 [  A) F代码语言：javascript代码运行次数：0
运行
9 h# `  v6 @  i/ _& y/ PAI代码解释
/usr/share/easy-rsa/3/easyrsa gen-crl
其实到这一步需要的证书都以及生成好了，如果你开启了 tls-auth 则还需要生成共享密钥

! a8 v0 W+ M7 V5 p代码语言：javascript代码运行次数：0
8 N0 s# W1 O" d( A  X运行
AI代码解释
openvpn --genkey --secret pki/ta.key
在上面所有证书都生成完毕之后，我们需要将相关证书拷贝到 OpenVPN 的配置文件夹中（似乎也可以在 conf 文件中使用绝对路径）

代码语言：javascript代码运行次数：0
运行
8 u" L/ {) `; Y2 \/ nAI代码解释
cp pki/ca.crt /etc/openvpn/ca.crt
( Z. J) ^2 C+ g" ~/ o4 K6 Pcp pki/dh.pem /etc/openvpn/dh.pem
cp pki/issued/vpn-server.crt /etc/openvpn/server.crt
0 \2 ~, y" f# U  G% h% m- Ycp pki/private/vpn-server.key /etc/openvpn/server.key
. o, B8 x, c& ~2 U3 }4 Q; K/ ]- mcp pki/ta.key /etc/openvpn/ta.key
7 O+ e3 z( ?! g/ f6 t6 Ucp pki/crl.pem /etc/openvpn/crl.pem
配置服务端
. U7 Z7 B$ _) P8 b* M( H2 i
OpenVPN 配置文件有许多可定制化，具体请查阅官方文档。
: ~( \8 R- P) o! s) t9 Y
代码语言：javascript代码运行次数：0
! ^) ^& R/ Y1 [5 Z运行
1 t- t0 g5 a+ A3 S# ~6 ^4 n) LAI代码解释
cd /etc/openvpn
& w; v1 W! w4 p+ B* rvim server.conf
将以下内容粘贴进去
) b) M. Y+ D" z) |7 H2 f8 n
, E6 z( t1 L0 K- ]$ ]0 o代码语言：javascript代码运行次数：0
4 j% U& J% B' c9 S1 i0 {运行
* `2 S8 a$ Z6 c. `2 i3 l+ L1 c7 K/ N3 xAI代码解释
1 D' C9 F$ q0 S$ U# Secure OpenVPN Server Config
# Basic Connection Config
2 K! K% y+ f6 Pdev tun
* {4 P% A6 y7 c) W; f) Dproto udp
3 _, {* ?, X7 T2 tport 1194
keepalive 10 120
max-clients 5
( ]9 V4 l* ?; r# P9 J3 @# Certs
ca ca.crt
cert server.crt
: J$ a6 l8 ]' o4 ]key server.key
0 i) }0 y' }" `; udh dh.pem
tls-auth ta.key 0
# G6 n5 S( r/ m: y# Ciphers and Hardening
, w$ n4 A; b1 x$ x& ireneg-sec 0
remote-cert-tls client
; Z5 S0 D, A) X- P# g( Ccrl-verify crl.pem
tls-version-min 1.2
cipher AES-256-CBC
/ ~* \$ u0 h8 b' O  Tauth SHA512
2 l) R% [& R# [( Q: J7 S8 Ftls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
# Drop Privs
user nobody
* I2 c' Y2 J6 Y0 P9 P* ?* o# B* C  Tgroup nobody
# IP pool
( d, v3 D3 Q6 lserver 172.31.100.0 255.255.255.0
topology subnet
8 K- B! ]5 B1 M: M: I" D7 oifconfig-pool-persist ipp.txt
# D% [4 _# r# C. ?) E. o) fclient-config-dir client
) L+ L  y; A9 |- [# Misc
% z3 x& r. Z, h* [persist-key
* `* t4 y4 m4 m) w9 [7 z( Cpersist-tun
comp-lzo
# DHCP Push options force all traffic through VPN and sets DNS servers
push "redirect-gateway def1 bypass-dhcp"
. {' ?- M' @  f$ a6 t  lpush "dhcp-option DNS 8.8.8.8"
# V. g& y. u6 o6 T  fpush "dhcp-option DNS 8.8.4.4"
# Logging
* e. x% j* y; v5 o# ~7 v3 [0 M* }% glog-append /var/log/openvpn.log
verb 3
启动服务端并让其开机自动启动
' A3 \& K% C/ N, Q5 X* N) T
) \% @& @  N" [5 J; _/ G代码语言：javascript代码运行次数：0
运行
" m* X4 O0 O6 C& O" XAI代码解释
systemctl start openvpn@server
systemctl enable openvpn@server
配置防火墙与流量转发
/ \6 m- O0 b6 }
放行 OpenVPN 入网流量与开启 IP 伪装
  B+ b3 {: I+ I/ O/ z/ N1 m- ?/ W
代码语言：javascript代码运行次数：0
运行
AI代码解释
* g! J; {/ G$ s3 {& g7 Z7 Ufirewall-cmd --permanent --add-service openvpn
0 m6 a+ E3 K8 p) z+ A; }1 Vfirewall-cmd --permanent --add-masquerade
3 Y! r9 |! _; _* n$ [firewall-cmd --reload
1 m8 m5 w) i! }0 T# ~检查是否开启流量转发

4 s% e& U. [7 h- ?代码语言：javascript代码运行次数：0
运行
& l/ o* U1 q: @0 O& c5 _AI代码解释
sysctl -a | grep net.ipv4.ip_forward
  W' L6 A" ~1 u( K. F9 m- F确保net.ipv4.ip_forward 等于 1，如果不是，则需要修改一下

代码语言：javascript代码运行次数：0
运行
AI代码解释
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p
配置客户端
5 g& S/ N: f( V3 l  E  @6 L* [/ v
0 e% D' M+ M& l% |客户端需要拷贝以下文件

  ?& K$ s2 O% p* C8 t) t$ c代码语言：javascript代码运行次数：0
运行
. C+ T+ Z* k+ lAI代码解释
3 C2 b' G8 S* h6 b& Z; q+ Qcd ~
2 D* ^  R4 z1 T1 y1 F% J; b4 Zmkdir vpn-client-01-config
cp pki/ca.crt vpn-client-01-config/ca.crt
' H& a- S# A  `' {cp pki/issued/vpn-client-01.crt vpn-client-01-config/client.crt
: K! C9 B6 v0 u& Rcp pki/private/vpn-client-01.key vpn-client-01-config/client.key
cp pki/ta.key vpn-client-01-config/ta.key
; l+ W' }! d" |5 `* Z最后vim vpn-client-01-config/client.ovpn并粘贴下面内容

代码语言：javascript代码运行次数：0
5 D+ `% k# k/ K; |运行
1 P% F1 t7 G6 W( E4 |- SAI代码解释
# Secure OpenVPN Client Config
#viscosity dns full
0 Q! G- d  f& [# l# P#viscosity usepeerdns true
#viscosity dhcp true
+ F1 }$ m7 G$ O# M' w  K+ U( k! L, ctls-client
5 w9 g; |# s  {pull
3 U; L+ v& D# [7 ?) _' dclient
0 Y6 G& R( ^3 `$ |8 [% L7 idev tun
proto udp
remote 123.123.123.123 1194
redirect-gateway def1
3 h3 ?5 q: v* A, B# fnobind
2 K9 ~; A! V3 m/ L$ K% _persist-key
persist-tun
! T8 g! a. e* j4 [7 w6 zcomp-lzo
verb 3
! ^' s* z) e% z  O: xca ca.crt
3 V9 ?! w5 g& y# b7 W" Ocert client.crt
key client.key
tls-auth ta.key 1
, P0 [. J7 m/ W3 O* n" q0 |  j: [remote-cert-tls server
7 G( [/ y. z7 F+ t4 j9 M9 fns-cert-type server
key-direction 1
# D6 `/ F  z; ^; Pcipher AES-256-CBC
2 t% O2 n9 o& n5 W" n+ H) q6 ctls-version-min 1.2
auth SHA512
$ C$ \3 L. V# Z+ i; z1 s; v2 R. utls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
2 ^' ~" D2 Q# q/ }8 W4 j
remote后面填写服务端IP地址和使用的端口号，然后将 vpn-client-01-config 的所有文件拷贝到需要链接的电脑上，即可开始使用。
. S; {4 z+ _; x

admin

调整压缩设置：启用压缩可以减少数据量，但可能会增加 CPU 的使用率。在配置文件中，你可以启用 LZO 压缩：
+ m! R% @8 j/ z% ?  L
comp-lzo

admin

Centos7安装与配置OpenVPN服务器,更新 CentOS 软件包

代码语言：javascript代码运行次数：0
1 V( |. v9 O3 p  T# y, ~9 n运行
7 y5 K4 f3 S+ J( H* j- \, x" h3 _8 KAI代码解释
2 H  r- K; @1 ]3 I  a* k' M5 [yum -y update
虽然也是可以不进行更新直接安装。
" z& C( p. i% v) m7 k% q- N
8 w6 f; x- n, D安装 OpenVPN 和 EasyRSA

, b" @5 L( ^  c! O/ a- C' l- M安装 OpenVPN、Firewalld 软件包以及用于生成各种证书的 EasyRSA
# \3 g  \# V7 |
' p( G* ~$ Y2 f" ^' s$ I% C代码语言：javascript代码运行次数：0
运行
AI代码解释
# k2 J6 ~) l/ u( y0 N2 r: |yum -y install openvpn easy-rsa firewalld
8 x  S: g3 K3 i5 V8 D% x# j如果未能成功安装 OpenVPN，则可能需要先安装一下 Epel 库。
! m: D1 ~- l6 a! G2 v) g+ R
代码语言：javascript代码运行次数：0
& |$ J( n! \$ n, }* x- u/ a$ [运行
1 O3 ]# E: a! hAI代码解释
yum install epel-release -y
生成 CA 证书、服务端密钥与共享密钥

! ~# F& i/ B8 O0 v9 D' e$ z这里步骤比较多。
% I. Q6 n+ }! V! }
首先需要初始化 PKI

代码语言：javascript代码运行次数：0
运行
+ c& |: J' H" NAI代码解释
cd ~
/usr/share/easy-rsa/3/easyrsa init-pki
1 G8 |) |% a; V; O" c1 r接下来是生成 CA 证书

/ t% a- C$ O! x( T4 m; v代码语言：javascript代码运行次数：0
运行
AI代码解释
  }7 B" G5 a6 _( S0 |% l/usr/share/easy-rsa/3/easyrsa build-ca nopass
其中 nopass 表示不加密私钥，主要是方便后面导出公钥与颁发服务器证书。

' ]$ A2 h' d+ t再来是生成交互密钥

" ]: `8 h% t9 {! C& u: c9 j5 c7 n代码语言：javascript代码运行次数：0
运行
; r" E6 T& c( a/ W% [$ f' A% kAI代码解释
. Q& r% s9 T9 |3 I3 _* [/ P/usr/share/easy-rsa/3/easyrsa gen-dh
2 G2 z/ @( b* X* b1 _9 J/ m% e开始生成服务端密钥

/ }; G+ Z; r. }% Q代码语言：javascript代码运行次数：0
8 w3 k9 o9 g" ?: ~6 P9 |$ ^6 ]5 n- `/ m$ T运行
2 d* Z" W7 a- _9 }; t+ W: _( Y2 |" l0 oAI代码解释
4 F$ K8 O& z  @+ E* t3 w% Q: k/usr/share/easy-rsa/3/easyrsa build-server-full vpn-server nopass
% s. W/ R+ L3 V2 I: e# m接下来生成客户端密钥，如果未开启同证书允许多人登陆，则需要多次执行生成对应的客户端密钥

代码语言：javascript代码运行次数：0
* q1 h7 x6 [1 u! x3 c运行
& y3 r3 z/ X6 T& xAI代码解释
/usr/share/easy-rsa/3/easyrsa build-client-full vpn-client-01 nopass
最后是生成证书交互列表，如果不需要 crl-verify 则可以跳过

代码语言：javascript代码运行次数：0
& p) a, S% x) U! d4 ]2 P- X运行
; e3 i3 ~) n- e; @/ oAI代码解释
/usr/share/easy-rsa/3/easyrsa gen-crl
6 P( D) a) P1 D! T/ f8 v其实到这一步需要的证书都以及生成好了，如果你开启了 tls-auth 则还需要生成共享密钥
" }$ L! J+ ?. ]  |, b
代码语言：javascript代码运行次数：0
- f8 I8 }/ `7 X" ?+ O/ B, G运行
0 [7 }! e2 y, Z; j8 E/ SAI代码解释
* q- k+ h- T4 c: Popenvpn --genkey --secret pki/ta.key
( i2 r( Z$ J8 i+ t+ h在上面所有证书都生成完毕之后，我们需要将相关证书拷贝到 OpenVPN 的配置文件夹中（似乎也可以在 conf 文件中使用绝对路径）

代码语言：javascript代码运行次数：0
% ]7 }' k# ?6 K: q7 N' }9 j" G运行
AI代码解释
$ m% h3 N, v+ B5 `cp pki/ca.crt /etc/openvpn/ca.crt
cp pki/dh.pem /etc/openvpn/dh.pem
+ U7 E) Z6 X: N6 \  ^! ]cp pki/issued/vpn-server.crt /etc/openvpn/server.crt
4 W& D' D- ~* j# Vcp pki/private/vpn-server.key /etc/openvpn/server.key
cp pki/ta.key /etc/openvpn/ta.key
: L9 H! M8 i3 |4 A9 \9 |cp pki/crl.pem /etc/openvpn/crl.pem
配置服务端
2 N$ X4 g: H$ v  ?1 L
# k7 x5 F+ A' z( y, y) Q% jOpenVPN 配置文件有许多可定制化，具体请查阅官方文档。
2 X. i3 y: E* o. r6 h; L2 i1 I
代码语言：javascript代码运行次数：0
运行
AI代码解释
cd /etc/openvpn
vim server.conf
将以下内容粘贴进去
4 R) A5 x8 t, Q/ z: W- _
代码语言：javascript代码运行次数：0
运行
. `5 Z; I% v- q+ m8 f; \8 b( rAI代码解释
3 D+ l6 a# m/ n2 G! |# Secure OpenVPN Server Config
# Basic Connection Config
dev tun
proto udp
port 1194
2 I5 R) @* e* h4 o7 k) nkeepalive 10 120
! F* W: T0 z# w: e! C2 T& Mmax-clients 5
# Certs
ca ca.crt
cert server.crt
key server.key
, D2 G; p' A" J& sdh dh.pem
9 p3 V1 Z4 f/ p0 V( t$ c6 ctls-auth ta.key 0
# Y" o4 g6 y. R# Ciphers and Hardening
reneg-sec 0
remote-cert-tls client
crl-verify crl.pem
tls-version-min 1.2
cipher AES-256-CBC
auth SHA512
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
# Drop Privs
5 d" i2 Z8 s9 s! T) E6 F! U3 Suser nobody
- g; l% Z& J# t2 |9 j9 `8 ngroup nobody
# IP pool
! p# N* I3 ?+ e. V( J" @server 172.31.100.0 255.255.255.0
) Z1 Y  o& g! U: }5 G' Ztopology subnet
ifconfig-pool-persist ipp.txt
client-config-dir client
7 ~  j! m, X/ O4 m$ |' g2 d# Misc
6 S% l1 d. K6 r" K" |persist-key
persist-tun
comp-lzo
; j6 t, r3 f4 W1 W# DHCP Push options force all traffic through VPN and sets DNS servers
/ N1 x  ^# k0 L+ M" J4 Ypush "redirect-gateway def1 bypass-dhcp"
4 K6 e( ]7 l) R: Q5 e$ U; Ipush "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
# Logging
" t( A  z, d- }- s8 S' ulog-append /var/log/openvpn.log
' a' O, {' t% C% Qverb 3
# t' O3 ~2 ^. b6 o0 o- I启动服务端并让其开机自动启动

代码语言：javascript代码运行次数：0
运行
0 j$ V. H% i5 b! l. @AI代码解释
. t  M; ]; ]! Y& S& x! Zsystemctl start openvpn@server
3 b. ?2 o& s. e( \) B1 ?systemctl enable openvpn@server
$ u/ R8 K0 O: c8 j配置防火墙与流量转发

放行 OpenVPN 入网流量与开启 IP 伪装

. v3 o. l2 }" S) N3 |代码语言：javascript代码运行次数：0
2 T2 P+ I/ \% q& x$ M运行
AI代码解释
! E$ B3 j# g& m4 e. y5 m" @8 q) @$ xfirewall-cmd --permanent --add-service openvpn
firewall-cmd --permanent --add-masquerade
, n, ^4 s- |+ s! b& \% ]firewall-cmd --reload
2 [  Z; V" j! G" I4 \, T5 w检查是否开启流量转发

' x3 S; p, ^5 A, }: v0 {代码语言：javascript代码运行次数：0
& ~, m% }1 C# n( u运行
: n% Y- ?. M& U/ O& h( zAI代码解释
sysctl -a | grep net.ipv4.ip_forward
确保net.ipv4.ip_forward 等于 1，如果不是，则需要修改一下
; Y0 m4 U/ e+ U( F# a+ x
7 H' i) l+ |" `/ h+ w; Y& V代码语言：javascript代码运行次数：0
0 l% N( Z7 i( r+ l运行
AI代码解释
3 i; h3 s* x: j+ _# `9 xecho "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p
# J4 W+ t2 F0 A$ ]- S配置客户端
0 G- v0 {, x# a' O* Z/ n0 d+ l
: h- M- r. q  |9 `. ~2 k% d客户端需要拷贝以下文件

5 j! A" T! t% Q* L代码语言：javascript代码运行次数：0
+ \( |- @$ F& V: j3 O. h运行
AI代码解释
cd ~
mkdir vpn-client-01-config
cp pki/ca.crt vpn-client-01-config/ca.crt
cp pki/issued/vpn-client-01.crt vpn-client-01-config/client.crt
cp pki/private/vpn-client-01.key vpn-client-01-config/client.key
2 ]& k" @; {2 D8 F4 F( \cp pki/ta.key vpn-client-01-config/ta.key
最后vim vpn-client-01-config/client.ovpn并粘贴下面内容
; q, o: X' N2 \, c" A( D1 u
) b2 Y- }0 z7 J7 \代码语言：javascript代码运行次数：0
9 q2 D" S- L7 m7 t运行
/ n0 H# u! |5 Q# y7 ~9 |AI代码解释
5 _! @4 u; U' [# Secure OpenVPN Client Config
#viscosity dns full
#viscosity usepeerdns true
1 B5 y3 f# ?# l# P4 u. m7 w- Z#viscosity dhcp true
tls-client
+ i$ \; X* E  w' q0 bpull
" {# A% o/ G* {. @! |5 A! S- Rclient
dev tun
proto udp
& U8 H$ Q, x$ [- k* b: `& vremote 123.123.123.123 1194
( Q# j$ a% x( ]2 B4 sredirect-gateway def1
4 T: H. ]9 E; g" c9 @nobind
2 z0 f) p* q! S3 Q, {# T, X3 ]4 I) O3 Epersist-key
persist-tun
5 Y; k" T* j. d* |8 W- H8 o, Xcomp-lzo
verb 3
ca ca.crt
0 x' k6 B7 W4 `5 `; x$ ~cert client.crt
8 m! s! n: d+ U% {) y; t" s' bkey client.key
tls-auth ta.key 1
7 X) `' g, t' q+ dremote-cert-tls server
8 @: {' F- L/ e% s7 dns-cert-type server
8 @% M1 t* E( r, g. G3 t! e6 E3 c! Jkey-direction 1
, G) u2 o% \' E1 p2 H* I2 r) k: Ecipher AES-256-CBC
tls-version-min 1.2
auth SHA512
5 }) B! C% @: a) dtls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
remote后面填写服务端IP地址和使用的端口号，然后将 vpn-client-01-config 的所有文件拷贝到需要链接的电脑上，即可开始使用。

admin

https://www.bbs168x.cn/forum.php ... tid=3133&extra=