通过openVPN，实现安全内网穿透

最新推荐文章于 2024-08-09 16:42:10 发布

程序员小强_

最新推荐文章于 2024-08-09 16:42:10 发布

阅读量1k

点赞数 11

文章标签：安全

本文链接：https://blog.csdn.net/dzqxwzoe/article/details/137513488

版权

本文详细介绍了如何在Ubuntu环境下安装和配置OpenVPN服务，包括安装步骤、EasyRSA密钥和证书生成、服务器端配置、客户端配置以及安全设置，包括密码认证和IP分配。同时提到了网络安全入门的学习路径和资源推荐。

摘要由CSDN通过智能技术生成

openVPN
为开源服务，虚拟专用通道，是提供给企业之间或者个人与公司之间安全数据传输的隧道，跨平台，支持linux\window\macos[Android](https://baike.baidu.com/item/Android/60243?fromModule=lemma_inlink
“Android”)和iOS,值得学习使用。

1、安装openVPN

ubuntu环境下

apt install openvpn

安装完成后生成了目录

二、安装Easy RSA套件

用于生成openVPN所需的密钥，服务端和客户端所需的证书和密钥

1、下载Easy RSA源码包：

Easy RSA下载官网：https://github.com/OpenVPN/easy-rsa/releases

[root@localhost ~]wget https://github.com/OpenVPN/easy-rsa/releases/download/v3.1.2/EasyRSA-3.1.2.tgz

下载完后解压，在/etc/openvpn目录下创建目录easy-rsa，将刚才解压缩的所有文件复制到这个目录下

[root@localhost ~]#tar -zxvf EasyRSA-3.1.2.tgz
[root@localhost ~]#mkdir /etc/openvpn/easy-rsa
[root@localhost ~]#cp -r EasyRSA-3.1.2/* /etc/openvpn/easy-rsa

2、Easy RSA在服务端生成私钥和证书

- 进入Easy RSA的安装目录，并配置参数；

[root@localhost ~]# cd /etc/openvpn/easy-rsa/
[root@localhost easy-rsa]# cp vars.example vars
[root@localhost easy-rsa]# vim vars

- 清理原有证书和私钥并初始化；

[root@localhost easy-rsa]# ./easyrsa clean-all

- 生成CA根证书；

[root@localhost easy-rsa]# ./easyrsa build-ca

CA根证书生成位置：/etc/openvpn/easy-rsa/pki/ca.crt

3、为OpenVPN服务端生成server证书和私钥；

备注：这里使用nopass参数设置不需要密码，那么在启动OpenVPN服务的时候就不提示输入密码

[root@localhost easy-rsa]# ./easyrsa build-server-full server nopass

服务端证书路径：/etc/openvpn/easy-rsa/pki/issued/server.crt
服务端私钥路径：/etc/openvpn/easy-rsa/pki/private/server.key

- 生成Diffie-Hellman算法需要的密钥文件；

[root@localhost easy-rsa]# ./easyrsa gen-dh

等待一段时间即可生成成功

生成tls-auth Key用于防止DDOS和TLS攻击；

[root@localhost easy-rsa]# openvpn --genkey --secret ta.key

ta.key路径：/etc/openvpn/easy-rsa/ta.key

三、OpenVPN服务端配置

创建/修改OpenVPN服务端配置文件vim /etc/openvpn/server/server.conf

port 1194                               #端口
dev tun                                 #采用路由隧道模式tun
ca ca.crt                               #ca证书文件位置
cert server.crt                         #服务端公钥名称
key server.key                          #服务端私钥名称
dh dh.pem                               #交换证书
auth SHA1 
proto tcp
server 10.8.0.0 255.255.255.0           #给客户端分配地址池，注意：不能和VPN服务器内网网段有相同
push "route 10.0.8.2 255.255.252.0"   #允许客户端访问内网10.0.8.2网段，我这里填了服务器内网IP和子网掩码
client-to-client
verb 3                                  #openvpn版本
persist-key     #通过keepalive检测超时后，重新启动VPN，不重新读取keys，保留第一次使用的keys。
persist-tun     #检测超时后，重新启动VPN，一直保持tun是linkup的。否则网络会先linkdown然后再linkup
keepalive 10 120                        #存活时间，10秒ping一次,120 如未收到响应则视为断线
max-clients 200                         #最多允许200个客户端连接
ifconfig-pool-persist ipp.txt           #地址池记录文件位置 维持客户端和virtual ip的对应表，以便客户端重连接连接也是相同IP
duplicate-cn    #和keys连接VPN，一定要打开这个选项，否则只允许一 个人连接VPN
script-security 3                                   #支持密码认证-允许使用自定义脚本
auth-user-pass-verify /etc/openvpn/check.sh via-env #支持密码认证-指定认证脚本
username-as-common-name                             #支持密码认证-用户密码登陆方式验证

编写用户认证脚本文件

[root@Web01 ~]# vim /etc/openvpn/check.sh

写入下面内容

#!/bin/bash
PASSFILE="/etc/openvpn/openvpnfile"   #密码文件 用户名 密码明文
LOG_FILE="/var/log/openvpn-password.log"  #用户登录情况的日志
TIME_STAMP=`date "+%Y-%m-%d %T"`
if [ ! -r "${PASSFILE}" ]; then
    echo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >> ${LOG_FILE}
    exit 1
fi
CORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}'    ${PASSFILE}`
if [ "${CORRECT_PASSWORD}" = "" ]; then
    echo "${TIME_STAMP}: User does not exist: username=\"${username}\",password=\"${password}\"." >> ${LOG_FILE}
    exit 1
fi
if [ "${password}" = "${CORRECT_PASSWORD}" ]; then
    echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}
    exit 0
fi
echo "${TIME_STAMP}: Incorrect password: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
exit 1

给脚本执行权限

[root@Web01 ~]# chmod +x /etc/openvpn/check.sh

创建用户密码，空格为分割符

[root@Web01 ~]# vim /etc/openvpn/openvpnfile
koten 1

- 拷贝私钥、公钥和证书等文件到server.conf同级目录/etc/openvpn/server/下；

备注：需要拷贝的文件包括ca.crt、ca.key、server.crt、server.key、dh.pem、ta.key
[root@localhost server]# cp /etc/openvpn/easy-rsa/pki/ca.crt 
[root@localhost server]# cp /etc/openvpn/easy-rsa/pki/private/ca.key 
[root@localhost server]# cp /etc/openvpn/easy-rsa/pki/issued/server.crt 
[root@localhost server]# cp /etc/openvpn/easy-rsa/pki/private/server.key 
[root@localhost server]# cp /etc/openvpn/easy-rsa/pki/dh.pem 
[root@localhost server]# cp /etc/openvpn/easy-rsa/ta.key

修改服务端配置文件为支持密码认证

启动服务端服务

/etc/openvpn/server/目录下执行

[root@uos server]# openvpn --config server.conf

四、OpenVPN客户端配置

在服务端生成客户端的证书和私钥，每多一个客户端就要多生成一份，为好区分，命名client_xxx为不一样

/etc/openvpn/easy-rsa/ 目录下执行

[root@localhost easy-rsa]# ./easyrsa build-client-full client nopass

客户端证书路径：/etc/openvpn/easy-rsa/pki/issued/client.crt
客户端私钥路径：/etc/openvpn/easy-rsa/pki/private/client.key
将生成的客户端证书（client.crt)、私钥(client.key)，服务端根证书(ca.crt)、ta.key打包下载回来

上传到客户端的 /etc/openvpn/client

前提是客户端需要先安装vpn：apt install openvpn

linux

进入客户端 /etc/openvpn/client

创建OpenVPN客户端配置文件

vim /etc/openvpn/client/client.conf

写入内容

client
dev tun
proto tcp
remote 41.19.18.17 1194
ca ca.crt               #指定CA证书的文件路径
cert client.crt         #指定当前客户端的证书文件路径
key client.key          #指定当前客户端的私钥文件路径
nobind                  #不绑定本地特定的端口号
auth SHA1 
resolv-retry infinite   #断线自动重新连接，在网络不稳定的情况下非常有用
verb 3                  #指定日志文件的记录详细级别，可选0-9，等级越高日志内容越详细
persist-key     #通过keepalive检测超时后，重新启动VPN，不重新读取keys，保留第一次使用的keys
persist-tun     #检测超时后，重新启动VPN，一直保持tun是linkup的。否则网络会先linkdown然后再linkup
auth-user-pass pass.txt  #用户密码验证

/etc/openvpn/client下创建用户密码文件pass.txt

写入用户，换行写密码

目录文件如下

启动客户端服务

/etc/openvpn/client/目录下执行

root@localhost: openvpn --config client.conf

成功！！

五、window下客户端配置

安装好客户端 OpenVPN

进入安装目录C:\Program Files\OpenVPN\config\

建了一个目录 config.4

将上面说到的Easy
RSA生成服务器根证ca.crt，和客户端私钥clientpc.key和证书clientpc.crt，和ta.key复制到config.4目录下面

新建pc.ovpn文件，填入内容

client
dev tun
proto tcp
remote 41.19.18.17 1194
ca ca.crt               #指定CA证书的文件路径
cert clientpc.crt         #指定当前客户端的证书文件路径
key clientpc.key          #指定当前客户端的私钥文件路径
nobind                  #不绑定本地特定的端口号
auth SHA1 
resolv-retry infinite   #断线自动重新连接，在网络不稳定的情况下非常有用
verb 3                  #指定日志文件的记录详细级别，可选0-9，等级越高日志内容越详细
persist-key     #通过keepalive检测超时后，重新启动VPN，不重新读取keys，保留第一次使用的keys
persist-tun     #检测超时后，重新启动VPN，一直保持tun是linkup的。否则网络会先linkdown然后再linkup
auth-user-pass pass.txt  #用户密码验证

新建pass.txt 文件

填入内容

到这里配置完成

测试连接成功

查看本机IP

正学的话和上面的linux客户端可以ping通

六、开始启动设置

服务端开机启动

修改openvpn-server服务文件

vim /usr/lib/systemd/system/openvpn-server@.service

修改内容：

ExecStart=/usr/sbin/openvpn --config server.conf
ExecStop=killall openvpn

修改ExecStart 和 ExecStop 启动和关闭命令即可，存盘退出后，再执行：

rm -rf /etc/systemd/system/openvpn-server@server.service.d

因为这个地方会 Override 加载一些没有用的内容而导致加载失败，而这些功能（add-
bridge等）都不是我们这个极简教程所需要的，因此将之删除，有兴趣的同学可以在备份好源文件的前提下继续深入研究。现在，重新加载OpenVPN服务：

systemctl daemon-reload
systemctl start openvpn-server@server.service

查看状态
systemctl status openvpn-server@server.service

一切无误后，输入:

systemctl enable openvpn-server@server.service

客户端服务开机启动

vim /usr/lib/systemd/system/openvpn-client@.service

修改内容：

ExecStart=/usr/sbin/openvpn --config client.conf
ExecStop=killall openvpn

重新加载OpenVPN服务：

systemctl daemon-reload
systemctl start openvpn-client@client.service

一切无误后，输入:

systemctl enable openvpn-client@client.service

为客户端设置静态IP

默认客户端IP，每次重启可能都不相同，为了维护方便，设置静态IP

1.打开server端配置文件 /etc/openvpn/server/server.conf

添加一行

client-config-dir /etc/openvpn/server/clientip

2、在/etc/openvpn/server/添加一个文件夹clientip

3、在/etc/openvpn/server/clientip 下添加一个文件，文件名为客户端登录的用户名

如：客户端登录的用户名为 abc/密码为888

那这里添加的文件名就是 abc

4.为用户设置固定IP

在上一步建的文件，中输入内容，并保存

ifconfig-push 10.8.0.11 255.255.255.252

IP 子网掩码

或

ifconfig-push 10.8.0.11 10.8.0.1

IP 网关

我试过两种都可以

5.重启server端

6.客户端重连后就可以看到服务端分配的IP就是10.8.0.11了

注意，openvpn默认的子网掩码是255.255.255.252 所以要注意你需要分配的IP的可用性

学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

第三种就是去找培训。

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

第二阶段：web渗透

学习基础时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。
③ 学会提问的艺术，如果遇到不懂得要善于提问。

配置渗透环境时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。
③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。
⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。
⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。
⑦ 了解一句话木马，并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

以上就是入门阶段

第三阶段：进阶

已经入门并且找到工作之后又该怎么进阶？详情看下图

给新手小白的入门建议：
新手入门学习最好还是从视频入手进行学习，视频的浅显易懂相比起晦涩的文字而言更容易吸收，这里我给大家准备了一套网络安全从入门到精通的视频学习资料包免费领取哦！

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

程序员小强_

关注

11
点赞
踩
17

收藏

觉得还不错? 一键收藏
0
评论
通过openVPN，实现安全内网穿透

openVPN为开源服务，虚拟，是提供给企业之间或者个人与公司之间的隧道，跨平台，支持linux\window\macos[Android](https://baike.baidu.com/item/Android/60243?“Android”)和,值得学习使用。ubuntu环境下安装完成后生成了目录。
复制链接

扫一扫