Virtual Private Network(虚拟专用网络隧道)详解

最新推荐文章于 2024-05-26 12:43:54 发布
最新推荐文章于 2024-05-26 12:43:54 发布
阅读量8.5w 收藏 2.2k
点赞数 250
分类专栏： Nginx服务企业级架构 文章标签： linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Yosigo_/article/details/117736283
版权

VPN概述

VPN简介

VPN(全称：Virtual Private Network)虚拟专用网络，是依靠ISP和其他的NSP，在公共网络中建立专用的数据通信的网络技术，可以为企业之间或者个人与企业之间提供安全的数据传输隧道服务。在VPN中任意两点之间的链接并没有传统专网所需的端到端的物理链路，而是利用公共网络资源动态组成的，可以理解为通过私有的隧道技术在公共数据网络上模拟出来的和专网有同样功能的点到点的专线技术，所谓虚拟是指不需要去拉实际的长途物理线路，而是借用了公共Internet网络实现的。

在这里插入图片描述

VPN应用场景

  1. 只能企业员工登录公司服务器
  2. 要求在任何网络下都能够登录
  3. 离职员工删除登录权限
  4. 权限管理

VPN的作用

VPN的功能是帮助公司的远程用户(出差，在家)、公司的分支机构、商业合作伙伴及供应商等公司和自己的公司内部网络之间建立可信的安全连接或者是局域网连接，确保数据的加密安全传输和业务访问，对于运维工程师来说，还可以连接不同的机房为局域网来处理相关事宜。

VPN的分类

根据不同的划分标准，VPN可以按几个标准进行分类划分：

  1. 按VPN的协议分类
    VPN的隧道协议主要有三种， PPTP，L2TP和IPSec。其中PPTP和L2TP协议工作在OSI模型的第二层，又称为二层隧道协议； IPSec是第三层隧道协议，也是最常见的协议。L2TP和IPSec配合使用是目前性能最好，应用最广泛的一种。
  2. 按VPN的应用分类
    1. Access VPN (远程接入VPN)：客户端到网关,使用公网作为骨干网在设备之间传输VPN的数据流量
    2. Intranet VPN (内联网VPN)：网关到网关,通过公司的网络架构连接来自同公司的资源
    3. Extranet VPN (外联网VPN)：与合作伙伴企业网构成Extranet,将一个公司与另一个公司的资源进行连接
  3. 按所用的设备类型进行分类：
    1. 路由器式VPN：路由器式VPN部署较容易，只要在路由器上添加VPN服务即可；
    2. 交换机式VPN：主要应用于连接用户较少的VPN网络；
    3. 防火墙式VPN：防火墙式VPN是最常见的一种VPN的实现方式，许多厂商都提供这种配置类型

常见的隧道协议
在这里插入图片描述
PPTP(点对点协议)

  • PPTP属于点对点应用，比较适合远程的企业用户拨号到企业进行办公等应用，工作在OSI模型的第二层，只适合windows系统。

L2TP(第2等隧道协议)

  • 第2等隧道协议(L2TP)是IETF基于L2F开发的PPTP的后续版本，工作在OSI模型的第二层。

IPSec(三层隧道协议)

  • 第三层隧道协议，也是最常见的协议。当隧道模式使用IPSEC时，其只为通讯提供封装。使用IPSec隧道模式主要是为了与其他不支持IPSec上的L2TP或者PPTP VPN隧道技术的路由器、网关或终端系统之间的互相操作。

SSL VPN

  • SSL协议提供了数据私密性、端点验证、信息完整性等特性。SSL协议由许多子协议组成，其中两个主要的子协议是握手协议和记录协议（对称加密和非对称加密向结合的方式进行数据的交换）。
  • 典型的SSL VPN应用：Open VPN，这是一个比较好的开源软件。Open VPN允许参与建立VPN的单点使用预设的私钥，第三方证书，或者用户名/密码来进行身份验证。它大量使用了OpenSSL加密库，以及SSLv3/TLSv1协议。OpenVPN能在Linux、xBSD、MacOS上运行。它并不是一个基于Web的VPN软件，也不能与IPSec及其他VPN软件包兼容。

Open VPN

Open VPN介绍

专用网: 专用网就是在两个网络(例如，北京和上海)之间假设一条专用线路，但是它并不需要真正的去铺设光缆之类的物理线路。虽然没有亲自去铺设，但是需要向电信运营商申请租用专线，在这条专用的线路上只传输自己的信息，所以安全稳定，同时费用也高昂。

Open VPN是Linux开源VPN的经典产品，他提供了良好的访问性能和友好的用户GUI(用户界面)。Open VPN是一个用于创建虚拟专用网络加密通道的软件包。一个实现VPN的开源软件，Opne VPN是一个高度灵活的VPN守护进程。它支持SSL/TLS安全、Ethernet bridging、经由代理的TCP或者UDP隧道和NAT。另外，它也支持动态IP地址以及DHCP，可伸缩性足以支持数百或者数千用户的使用场景，同时可移植至大多数主流操作系统平台上。

OpenVPN依赖的SSL与TLS协议介绍

  • 真正的通信是两台主机之间的进程在进行数据交换的，而传输层作为整个网络最关键的从层次之一，扮演着向上层（应用层）提供通信服务的角色。传输层的数据安全传输策略一定无法绕开着三个至关重要的重要协议，它们分别是HTTPS协议、SSL协议、TSL协议。SSL(Secure Socket Layer)协议 即安全套接字层协议，TLS(Transport Layer Security)协议 即安全传输层协议。

Open VPN 部署

在内网中部署Open VPN

环境规划

公网ip						内网ip						主机名
192.168.15.61				172.16.1.61					m01

生成客户端和服务端证书文件

1. 安装Open VPN和证书生成工具

1. 添加Open VPN的epel源
vim /etc/yum.repos.d/epel.repo
[epel]
name=Extra Packages for Enterprise Linux 7 - $basearch
baseurl=http://mirrors.aliyun.com/epel/7/$basearch
failovermethod=priority
enabled=1
gpgcheck=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7

[epel-debuginfo]
name=Extra Packages for Enterprise Linux 7 - $basearch - Debug
baseurl=http://mirrors.aliyun.com/epel/7/$basearch/debug
failovermethod=priority
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7
gpgcheck=0

[epel-source]
name=Extra Packages for Enterprise Linux 7 - $basearch - Source
baseurl=http://mirrors.aliyun.com/epel/7/SRPMS
failovermethod=priority
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7
gpgcheck=0

2. 重载yum缓存
yum clean all
yum makecache

3. 安装openvpn
yum -y install openvpn

4. 安装证书生成工具
yum -y install easy-rsa

2. 准备服务端相关的配置文件

1. 生成服务器配置文件
cp /usr/share/doc/openvpn-2.4.11/sample/sample-config-files/server.conf /etc/openvpn/

2. 准备证书签发相关文件(服务端)
cp -r /usr/share/easy-rsa/ /etc/openvpn/easy-rsa-server

3. 准备签发证书相关变量的配置文件(服务端)
cp /usr/share/doc/easy-rsa-3.0.8/vars.example /etc/openvpn/easy-rsa-server/3/vars

4. 建议修改给CA和OpenVPN服务器颁发的证书的有效期,可适当加长
vim /etc/openvpn/easy-rsa-server/3/vars
...
# CA的证书有效期默为为10年,可以适当延长,比如:36500天
set_var EASYRSA_CA_EXPIRE      36500
# 服务器证书默为为825天,可适当加长,比如:3650天
set_var EASYRSA_CERT_EXPIRE    3650
...

3. 创建服务端证书

1. 初始化PKI生成PKI相关目录和文件
cd /etc/openvpn/easy-rsa-server/3
# 执行该命令,会在当前目录下生成一个pki目录
./easyrsa init-pki

2. 生成CA证书
# 执行该命令,会在当前pki目录下生成ca证书文件ca.crt
./easyrsa build-ca nopass

3. 通过CA证书申请服务端证书
./easyrsa gen-req server nopass
# Keypair and certificate request completed. Your files are:
# req: /etc/openvpn/easy-rsa-server/3/pki/reqs/server.req				生成请求文件
# key: /etc/openvpn/easy-rsa-server/3/pki/private/server.key			生成私钥文件

4. 签发服务端证书
./easyrsa sign server server
#   Confirm request details: yes

5. 查看证书相关的文件
cat pki/serial
# 3E304DE51FF8CAA28FB9395C314DA59E
cat pki/index.txt					需要pki/serial文件一样
# V	310607080001Z		3E304DE51FF8CAA28FB9395C314DA59D	unknown	/CN=server

6. 对服务端证书进行加密
./easyrsa gen-dh
# DH parameters of size 2048 created at /etc/openvpn/easy-rsa-server/3/pki/dh.pem

4. 准备客户端相关的配置文件

1. 准备证书签发相关文件(客户端)
cp -r /usr/share/easy-rsa/ /etc/openvpn/easy-rsa-client

2. 准备签发证书相关变量的配置文件(客户端)
cp /usr/share/doc/easy-rsa-3.0.8/vars.example /etc/openvpn/easy-rsa-client/3/varsa

3. 建议修改给CA和OpenVPN服务器颁发的证书的有效期,可适当加长
vim /etc/openvpn/easy-rsa-client/3/varsa 
...
# CA的证书有效期默为为10年,可以适当延长,比如:36500天
set_var EASYRSA_CA_EXPIRE      36500
# 服务器证书默为为825天,可适当加长,比如:3650天
set_var EASYRSA_CERT_EXPIRE    3650
...

5. 创建客户端证书

1. 初始化PKI生成PKI相关目录和文件
cd /etc/openvpn/easy-rsa-client/3
# 执行该命令,会在当前目录下生成一个pki目录
./easyrsa init-pki

2. 通过CA证书申请客户端证书
./easyrsa gen-req nana nopass
# Keypair and certificate request completed. Your files are:
# req: /etc/openvpn/easy-rsa-client/3/pki/reqs/nana.req					生成请求文件
# key: /etc/openvpn/easy-rsa-client/3/pki/private/nana.key				生成私钥文件

3. 将客户端证书请求文件复制到CA的工作目录
cd /etc/openvpn/easy-rsa-server/3
./easyrsa import-req /etc/openvpn/easy-rsa-client/3/pki/reqs/nana.req lala

4. 签发客户端证书
./easyrsa sign client lala
#   Confirm request details: yes

5. 查看证书相关的文件
cat pki/index.txt
# V	310607080001Z		3E304DE51FF8CAA28FB9395C314DA59D	unknown	/CN=server
# V	310607091522Z		670BF79D5806DF4CCE973EFA77D7AA3A	unknown	/CN=nana
ll pki/certs_by_serial/
# total 16
# -rw------- 1 root root 4547 Jun  9 16:00 3E304DE51FF8CAA28FB9395C314DA59D.pem
# -rw------- 1 root root 4426 Jun  9 17:15 670BF79D5806DF4CCE973EFA77D7AA3A.pem

ll pki/issued/
# total 16
# -rw------- 1 root root 4426 Jun  9 17:15 lala.crt			客户端证书
# -rw------- 1 root root 4547 Jun  9 16:00 server.crt		服务端证书

Open VPN服务

OpenVPN 配置文件说明

grep -Ev "^#|^$" /etc/openvpn/server.conf
;local a.b.c.d  #本机监听IP,默认为本机所有IP
port 1194       #端口
;proto tcp      #协议,生产推荐使用TCP
proto udp 		#默认协议
;dev tap   		#创建一个以太网隧道，以太网使用tap,一个tap设备允许完整的以太网帧通过Openvpn隧道，可提供非ip协议的支持，比如IPX协议和AppleTalk协议,tap等同于一个以太网设备，它操作第二层数据包如以太网数据帧。
dev tun    		#创建一个路由IP隧道，生产推存使用tun.互联网使用tun,一个tun设备大多时候，被用于基于IP协议的通讯。tun模拟了网络层设备，操作第三层数据包比如IP数据封包。
;dev-node MyTap  #TAP-Win32适配器。非windows不需要配置
ca ca.crt      	 #ca证书文件
cert server.crt  #服务器证书文件
key server.key   #服务器私钥文件
dh dh2048.pem    #dh参数文件
;topology subnet
server 10.8.0.0 255.255.255.0  #客户端连接后分配IP的地址池，服务器默认会占用第一个IP 10.8.0.1将做为客户端的网关
ifconfig-pool-persist ipp.txt  #为客户端分配固定IP，不需要配置,建议注释
;server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100  #配置网桥模式，不需要配置,建议注释
;server-bridge
;push "route 192.168.10.0 255.255.255.0" 	 #给客户端生成的到达服务器后面网段的静态路由，下一跳为openvpn服务器的10.8.0.1
;push "route 192.168.20.0 255.255.255.0" 	 #推送路由信息到客户端，以允许客户端能够连接到服务器背后的其它私有子网
;client-config-dir ccd		 #为指定的客户端添加路由，此路由通常是客户端后面的内网网段而不是服务端的，也不需要设置
;route 192.168.40.128 255.255.255.248 
;client-config-dir ccd    
;route 10.9.0.0 255.255.255.252
;learn-address ./script                #运行外部脚本，创建不同组的iptables规则，无需配置
;push "redirect-gateway def1 bypass-dhcp"	 #启用后，客户端所有流量都将通过VPN服务器，因此生产一般无需配置此项
;push "dhcp-option DNS 208.67.222.222" 		  #推送DNS服务器，不需要配置
;push "dhcp-option DNS 208.67.220.220"
;client-to-client                      	 #允许不同的client直接通信,不安全,生产环境一般无需要配置
;duplicate-cn                         	  #多个用户共用一个证书，一般用于测试环境，生产环境都是一个用户一个证书,无需开启
keepalive 10 120         #设置服务端检测的间隔和超时时间，默认为每10秒ping一次，如果 120 秒没有回应则认为对方已经down
tls-auth ta.key 0 		#访止DoS等攻击的安全增强配置,可以使用以下命令来生成：openvpn --
genkey --secret ta.key 		#服务器和每个客户端都需要拥有该密钥的一个拷贝。第二个参数在服务器端应该为’0’，在客户端应该为’1’
cipher AES-256-CBC 	 #加密算法
;compress lz4-v2   		 #启用Openvpn2.4.X新版压缩算法
;push "compress lz4-v2"  	 #推送客户端使用新版压缩算法,和下面的comp-lzo不要同时使用
;comp-lzo         	 #旧户端兼容的压缩配置，需要客户端配置开启压缩,openvpn2.4.X等新版可以不用开启
;max-clients 100   	#最大客户端数
;user nobody         #运行openvpn服务的用户和组
;group nobody
persist-key          #重启VPN服务时默认会重新读取key文件，开启此配置后保留使用第一次的key文件,生产环境无需开启
persist-tun          #启用此配置后,当重启vpn服务时，一直保持tun或者tap设备是up的，否则会先down然后再up,生产环境无需开启
status openvpn-status.log 		#openVPN状态记录文件，每分钟会记录一次
;log         openvpn.log  	 #第一种日志记录方式,并指定日志路径，log会在openvpn启动的时候清空日志文件,不建议使用
;log-append openvpn.log   	#第二种日志记录方式,并指定日志路径，重启openvpn后在之前的日志后面追加新的日志,生产环境建议使用
verb 3                   	#设置日志级别，0-9，级别越高记录的内容越详细,0 表示静默运行，只记录致命错误,4 表示合理的常规用法,5 和 6 可以帮助调试连接错误。9 表示极度冗余，输出非常详细的日志信息
;mute 20                 #相同类别的信息只有前20条会输出到日志文件中
explicit-exit-notify 1   	#通知客户端，在服务端重启后自动重新连接，仅能用于udp模式，tcp模式不需要配置即可实现断开重新连接,且开启此项后tcp配置后将导致openvpn服务无法启动,所以tcp时必须不能开启此项

启动open vpn服务

1. 修改服务端配置文件
> /etc/openvpn/server.conf 
vim /etc/openvpn/server.conf
port 1194
proto tcp
dev tun
ca  /etc/openvpn/certs/ca.crt
cert  /etc/openvpn/certs/server.crt
key  /etc/openvpn/certs/server.key
dh  /etc/openvpn/certs/dh.pem
server 10.8.0.0 255.255.255.0
push "route 172.16.1.0 255.255.255.0"   # 内网网段
keepalive 10 120
cipher AES-256-CBC
compress lz4-v2
push "compress lz4-v2"
max-clients 2048
user openvpn
group openvpn
status  /var/log/openvpn/openvpn-status.log
log-append   /var/log/openvpn/openvpn.log
verb 3
mute 20

2. 创建openvpn用户
getent passwd openvpn
# openvpn:x:998:996:OpenVPN:/etc/openvpn:/sbin/nologin

3. 创建openvpn日志文件,并修改属主属组
mkdir /var/log/openvpn
chown openvpn.openvpn /var/log/openvpn
ll -d /var/log/openvpn
# drwxr-xr-x 2 openvpn openvpn 6 Jun  9 18:45 /var/log/openvpn

4. 将服务端证书密钥文件移动到openvpn配置文件指定的目录下
mkdir /etc/openvpn/certs
cp /etc/openvpn/easy-rsa-server/3/pki/ca.crt /etc/openvpn/certs
cp /etc/openvpn/easy-rsa-server/3/pki/dh.pem /etc/openvpn/certs
cp /etc/openvpn/easy-rsa-server/3/pki/issued/server.crt /etc/openvpn/certs
cp /etc/openvpn/easy-rsa-server/3/pki/private/server.key /etc/openvpn/certs

5. 服务端开启防火墙转发功能
echo net.ipv4.ip_forward = 1 >> /etc/sysctl.conf			# 开启网卡转发功能,写入内核配置文件
sysctl -p						# 重载网卡内核配置文件
yum install iptables-services -y			# 下载iptables命令
systemctl disable --now firewalld			# 关闭防火墙
systemctl start iptables			# 启动iptables防火墙,需要通过iptables防火墙进行转发
iptables -F				# 清除防火墙配置,允许所有的IP地址进行访问
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j MASQUERADE			# 将10.8.0.0/24网段添加到NAT链路列表中	
iptables -vnL -t nat 	# 查看NAT链路列表

6. 启动openvpn服务
systemctl daemon-reload
systemctl enable --now openvpn@server

7. 查看端口号和ip地址
netstat -lntp
# tcp        0      0 0.0.0.0:1194            0.0.0.0:*               LISTEN      18589/openvpn       
ip a
# tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 100
#    link/none 
#    inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0
#       valid_lft forever preferred_lft forever

创建open vpn客户端配置文件

1. 修改vpn客户端配置文件
mkdir -p /etc/openvpn/client/nana/
vim /etc/openvpn/client/nana/client.ovpn 
client
dev tun
proto tcp
remote 192.168.15.61 1194    #生产中为OpenVPN公网IP
resolv-retry infinite
nobind
ca ca.crt
cert lala.crt
key nana.key
remote-cert-tls server
cipher AES-256-CBC
verb 3            #此值不能随意指定,否则无法通信
compress lz4-v2			#此项在OpenVPN2.4.X版本使用,需要和服务器端保持一致,如不指定,默认使用comp-lz压缩

2. 将客户端证书密钥文件移动到openvpn配置文件指定的目录下
cp /etc/openvpn/easy-rsa-client/3/pki/private/nana.key /etc/openvpn/client/nana/
cp /etc/openvpn/easy-rsa-server/3/pki/issued/lala.crt /etc/openvpn/client/nana/
cp /etc/openvpn/easy-rsa-server/3/pki/ca.crt /etc/openvpn/client/nana/

3. 查看openvpn客户端目录
ll /etc/openvpn/client/nana/
# -rw------- 1 root root 1176 Jun  9 20:37 ca.crt
# -rw-r--r-- 1 root root  206 Jun  9 20:24 client.ovpn
# -rw------- 1 root root 4426 Jun  9 20:33 lala.crt
# -rw------- 1 root root 1704 Jun  9 20:31 nana.key

在windows电脑安装openvpn软件

链接：openvpn软件网盘链接
提取码：1234

测试Open vpn

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

VPN服务搭建写成脚本文件

服务端脚本

执行脚本需要先安装好openvpn服务和证书生成工具easy-rsa，并且需要先安装expect(免交互)命令。

#!/bin/bash
#********************************************************************
#                          server                                   *
#********************************************************************

# 准备相关配置文件
echo "生成服务器配置文件"
cp /usr/share/doc/openvpn-2.4.11/sample/sample-config-files/server.conf /etc/openvpn/

echo "准备证书签发相关文件"
cp -r /usr/share/easy-rsa/ /etc/openvpn/easy-rsa-server

echo "准备签发证书相关变量的配置文件"
cp /usr/share/doc/easy-rsa-3.0.8/vars.example /etc/openvpn/easy-rsa-server/3/vars

echo "建议修改给CA和OpenVPN服务器颁发的证书的有效期,可适当加长"

echo "初始化服务端PKI生成PKI相关目录和文件"
cd /etc/openvpn/easy-rsa-server/3
./easyrsa init-pki

echo "创建CA证书"
# ./easyrsa build-ca nopass

expect <<EOF

spawn ./easyrsa build-ca nopass

expect {
    "Easy-RSA" {send "\n"}
}

expect eof

EOF

cat pki/serial 

echo "生成服务端证书"
# ./easyrsa gen-req server nopass

expect <<EOF
spawn ./easyrsa gen-req server nopass 

expect {
    "server" {send "\n"}
}
expect eof
EOF


echo "签发服务端证书"
# ./easyrsa sign server server

expect <<EOF
spawn ./easyrsa sign server server 

expect {
    "*details:" {send "yes\n"}
}
expect eof
EOF

echo "创建 Diffie-Hellman 密钥"
./easyrsa gen-dh

cat > /etc/openvpn/server.conf <<EOF
port 1194
proto tcp
dev tun
ca  /etc/openvpn/certs/ca.crt
cert  /etc/openvpn/certs/server.crt
key  /etc/openvpn/certs/server.key  # This file should be kept secret
dh  /etc/openvpn/certs/dh.pem
server 10.8.0.0 255.255.255.0
push "route 172.16.1.0 255.255.255.0"
keepalive 10 120
cipher AES-256-CBC
compress lz4-v2
push "compress lz4-v2"
max-clients 2048
user openvpn
group openvpn
status  /var/log/openvpn/openvpn-status.log
log-append   /var/log/openvpn/openvpn.log
verb 3
mute 20
EOF

echo "添加防火墙"
echo net.ipv4.ip_forward = 1 >> /etc/sysctl.conf
sysctl -p
yum install iptables-services -y
systemctl disable --now firewalld
systemctl start iptables
iptables -F
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j MASQUERADE
iptables -vnL -t nat

mkdir -p /var/log/openvpn

mkdir -p /etc/openvpn/certs
cp /etc/openvpn/easy-rsa-server/3/pki/issued/server.crt /etc/openvpn/certs/
cp /etc/openvpn/easy-rsa-server/3/pki/private/server.key /etc/openvpn/certs/
cp /etc/openvpn/easy-rsa-server/3/pki/ca.crt /etc/openvpn/certs/
cp /etc/openvpn/easy-rsa-server/3/pki/dh.pem /etc/openvpn/certs/

echo "重启OpenVpn"
systemctl daemon-reload
systemctl enable --now openvpn@server
systemctl restart openvpn@server

客户端脚本

#!/bin/bash
#********************************************************************
#                             client                                *
#********************************************************************
read -p "请输入用户的姓名拼音(如:${NAME}): " NAME
read -p "请输入VPN服务端的公网IP(如:${IP}): " IP

echo "客户端证书环境"
cp -r /usr/share/easy-rsa/ /etc/openvpn/easy-rsa-client
cp /usr/share/doc/easy-rsa-3.0.8/vars.example /etc/openvpn/easy-rsa-client/3/varsa
cd /etc/openvpn/easy-rsa-client/3

echo "初始化pki证书目录"
# ./easyrsa init-pki

expect << EOF
spawn ./easyrsa init-pki 
expect {
    "removal" {send "yes\n"}
}
expect eof
EOF

echo "生成客户端证书"
# ./easyrsa gen-req ${NAME} nopass

expect << EOF
spawn ./easyrsa gen-req ${NAME} nopass 

expect {
    "${NAME}" {send "\n"}
}

expect eof
EOF

echo "将客户端证书同步到服务端"
cd /etc/openvpn/easy-rsa-server/3
./easyrsa import-req /etc/openvpn/easy-rsa-client/3/pki/reqs/${NAME}.req ${NAME}

echo "查看客户端证书"
ll pki/reqs/${NAME}.req /etc/openvpn/easy-rsa-client/3/pki/reqs/${NAME}.req 

echo "签发客户端证书,请输入：yes"
# ./easyrsa sign client ${NAME}

expect << EOF
spawn ./easyrsa sign client ${NAME} 

expect {    
	"*details" {send "yes\n"}
}

expect eof
EOF

echo "查看证书"
cat pki/index.txt
ll pki/certs_by_serial/
cat pki/issued/${NAME}.crt 

echo "创建客户端配置文件"
mkdir -p /etc/openvpn/client/${NAME}
cd /etc/openvpn/client/${NAME}
cat > /etc/openvpn/client/${NAME}/${NAME}.ovpn <<EOF
client
dev tun
proto tcp
remote ${IP} 1194
resolv-retry infinite
nobind
ca ca.crt
cert ${NAME}.crt
key ${NAME}.key
remote-cert-tls server
cipher AES-256-CBC
verb 3
EOF

cp /etc/openvpn/easy-rsa-client/3/pki/private/${NAME}.key .
cp /etc/openvpn/easy-rsa-server/3/pki/issued/${NAME}.crt .
cp /etc/openvpn/easy-rsa-server/3/pki/ca.crt .

echo "打包用户证书"
tar -czvf ${NAME}.tar.gz ./

echo "重启OpenVpn"
systemctl daemon-reload
systemctl enable --now openvpn@server
systemctl restart openvpn@server
我的紫霞辣辣
关注
  • 250
    点赞
  • 踩
  • 2273
    收藏
    觉得还不错? 一键收藏
  • 54
    评论
专栏目录
软考网络工程师MPLS
05-20
软考网络工程师MPLS
Amrita Virtual Private Network-开源
05-03
AmritaVPN（amvpn）是一种易于使用的虚拟专用网络工具，它允许两个专用IP网络通过公共网络（例如Internet）无缝连接在一起。 使用SSL进行强大的加密和身份验证。
VPN隧道技术实战
weixin_49816179的博客
09-21 2034
本次实验主要是学习了配置网桥、建立隧道以及使用RSA秘钥等知识。本次实验深入讲解了这些技术的实现原理和配置方法，掌握了如何在网络中应用它们解决实际问题。在配置网桥方面，展示了如何在不同网络设备间建立虚拟链路，实现数据的快速转发和控制；在建立隧道方面，我介绍了如何通过公网建立虚拟的专用网络，将两台远程的设备连接起来，实现安全、稳定的远程访问和数据传输。此外，通过使用RSA秘钥，本实验也实践了如何实现证书的加密和解密，确保通信的安全性和保密性。
2、OpenVPN搭建
最新发布
weixin_46371752的博客
05-26 3502
搭建OpenVPN，centos7搭建VPN，centos7部署OpenVPN，linux如何搭建VPN服务，cetnos7如何部署OpenVPN，centos7如何部署VPN服务
网络安全：堡垒机、跳板机、Virtual Private Network知识介绍
IT技术分享社区
04-06 5321
堡垒机是一种网络安全控制节点，主要用于隔离安全较高的内部网络（企业内网）和安全程度较低的外部网络之间的访问。
虚拟专用网络详解
polarday的博客
08-13 1万+
虚拟专用网络（Virtual Private Network，VPN）、隧道技术、GRE、IPSec
基于c#的窗体应用多视图点云系统开发Demo(C# + PCL)
05-10
本资源提供一种基于c#、PCL、c++框架开发的点云多视图显示系统demo，该系统属于一个基础开发框架。资源中提供了功能展示和配置说明。 本资源提供全套的开发源码（c#、c++）和一套可直接运行的多视角点云显示系统。 该系统当前提供的功能包括：1、对.pcd/.ply格式的点云进行可视化；2、提供多个视角的显示方法（当前系统中包括XYZ三个方向的显示视角，用户可根据项目需求自行调整）；3、可动态对显示点的大小进行修改；4、可自定义点云显示的视角，并设置有点云视角初始化功能；4、自定义了鼠标、键盘控制事件，可根据用户使用习惯对控制点云旋转、平移的鼠标按键进行修改；5、提供两种点云图像显示的方法（强度显示，彩色显示）；并提供颜色修改功能，用户可以自行修改点云的颜色； 基于该框架可拓展开发的系统有： 1、点云语义标注系统：点云语义/实例标注系统开发； 2、点云立体框标注系统开发：可根据三视图对点云立体框进行修改； 3、点云多视角显示系统开发：可根据自定义的视角对点云进行可视化 4、点云图像实时显示系统开发； 5、涉及点云显示的系统均可使用该基础系统。
Virtual Private Network（虚拟专用网络）详解
qq_52023825的博客
10-14 1万+
VPN即虚拟专用网，指通过VPN技术在公有网络中构建专用的虚拟网络；那么什么是VPN技术吗？VPN即虚拟专用网，指通过VPN技术在公有网络中构建专用的虚拟网络；用户在此虚拟网络中传输流量，从而在Internet网络中实现安全、可靠的连接。
VPN入门教程(非常详细)，从零基础入门到精通，看完这一篇就够了
热门推荐
Javachichi的博客
07-16 6万+
网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
VPN是什么、类型、使用场景、工作原理
jennycisp的博客
08-17 3万+
VPN是Virtual Private Network（虚拟专用网络）的缩写，它是一种通过公共网络（例如互联网）创建私密连接的技术。根据使用的协议和实现方式，VPN可以分为多种类型，包括以下几种常见的：1. 远程访问VPN：用于连接远程用户与企业内部网络之间的安全通信。远程用户可以通过公共网络访问私有网络资源，同时数据传输通过加密和隧道技术保证安全性。2. 网站对网站VPN：也被称为站点对站点VPN，用于连接不同地点的局域网（LAN）或企业网络。
Virtual Private Network
s_sos0的博客
12-09 1176
v-p-n
Hyper-V网络配置详解
08-02
3. Private（专用虚拟网络）：专用网络仅限于同一服务器上的虚拟机之间通信，不允许与外部网络或主机的直接连接。这适用于需要完全隔离的应用场景，例如安全敏感的系统或开发测试环境。 在部署Hyper-V时，推荐至少...
浙江国税申报VPDN虚拟连接软件下载及安装步骤详
08-07
在进行浙江国税申报的过程中，有时需要通过VPDN（Virtual Private Dial-up Network，虚拟专用拨号网络）来建立安全的远程连接。VPDN技术允许用户通过公共网络，如互联网，建立到企业内部网络的私密连接，以实现数据...
350-501.pdf
02-27
例如，问题4中的EVPN实例（Ethernet Virtual Private Network）可以与VRF（虚拟路由和转发）相关联，用于在单个物理设备上创建多个逻辑隔离的路由域。 5. **自动化和保障** - 自动化涉及网络配置、监控和故障排查...
网络工程师必懂的VPN技术
XMWS-IT
04-10 887
虚拟专用网VPN（Virtual Private Network）是依靠Internet服务提供商ISP（Internet Service Provider）和网络服务提供商NSP（Network Service Provider）在公共网络中建立的虚拟专用通信网络，可以满足企业对网络的灵活性、安全性、经济性、扩展性等方面的要求。
Virtual Private Network虚拟专用网络－在Linux上搭建专用通道
ck784101777的博客
09-04 9630
一、VPN VPN属于远程访问技术，简单地说就是利用公用网络架设专用网络。例如某公司员工出差到外地，他想访问企业内网的服务器资源，这种访问就属于远程访问。 在传统的企业网络配置中，要进行远程访问，传统的方法是租用DDN（数字数据网）专线或帧中继，这样的通讯方案必然导致高昂的网络通讯和维护费用。对于移动用户（移动办公人员）与远端个人用户而言，一般会通过拨号线路（Internet）进入企业的局域...
虚拟专用网（Virtual Private Network）
LuckyStar的博客
03-11 2690
VPN虚拟专用网（Virtual Private Network）
深入认识VirtualPrivateNetwork
weixin_53434577的博客
04-20 678
答：数据认证是通过对数据的操作、处理以及应用进行验证，确认数据的有效性、完整性和可靠性的过程。数据认证的主要作用是保证数据的真实性、完整性、可靠性和准确性，从而为数据使用者提供了更好的数据质量保障，避免因为数据不准确、不完整等问题带来的风险和损失。数据认证可以通过以下技术手段来实现：（1）数据加密：通过对数据进行加密，保护数据机密性和完整性，防止数据被篡改，同时确保数据的可信度和可用性。（2）数字签名：数字签名是一种在数据中加入特定代码的方式，用于验证数据的真实性和完整性。
Virtual Private Network技术有哪些类型
05-26
Virtual Private Network（VPN）技术可以分为以下几个类型： 1. 远程访问VPN：远程用户可以通过公共互联网与企业内部网络连接，实现远程办公和资源共享。 2. 站点到站点VPN：多个地理位置分散的企业网络可以通过VPN连接起来，实现资源共享和数据传输。 3. 客户端到网关VPN：客户端通过VPN连接到企业内部网络，与远程办公VPN不同的是，客户端到网关VPN通常只允许客户端访问企业内部网络中的某些资源。 4. SSL VPN：基于Web的VPN技术，通过浏览器访问企业内部网络，可以实现远程办公和资源共享，不需要安装VPN客户端。 5. IPsec VPN：基于IP协议的VPN技术，提供安全的网络连接和数据传输，支持远程访问VPN和站点到站点VPN。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 54
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值