openVPN服务端搭建

依人飘雪

已于 2023-06-01 14:39:59 修改

阅读量7.3k

点赞数 10

文章标签： linux ubuntu 运维

于 2023-06-01 10:25:48 首次发布

本文链接：https://blog.csdn.net/liufangaliya/article/details/130982574

版权

# 搭建步骤

云服务器（Ubuntu 20.04.1 LTS）搭建服务端公网IP：47.*.215.*
测试客户端：
部门内部成员的windows10 或者windows11 及mac电脑还有现场linux环境
最后目标是实现所有客户端之间能够互联，并且已经成功应用

## 安装OpenVPN服务端

RedHat系

yum install -y openvpn

Debian系

apt install openvpn

## 安装Easy RSA套件(用于生成服务端和客户端所需的证书和密钥)

下载Easy RSA源码包；

Easy RSA下载官网：https://github.com/OpenVPN/easy-rsa/releases

[root@localhost ~]wget https://github.com/OpenVPN/easy-rsa/releases/download/v3.1.2/EasyRSA-3.1.2.tgz

下载完后解压，在/etc/openvpn目录下创建目录easy-rsa，将刚才解压缩的所有文件复制到这个目录下

[root@localhost ~]#tar -zxvf EasyRSA-3.1.2.tgz
[root@localhost ~]#mkdir /etc/openvpn/easy-rsa
[root@localhost ~]#cp -r EasyRSA-3.1.2/* /etc/openvpn/easy-rsa

## 在服务端生成私钥和证书

进入Easy RSA的安装目录，并配置参数

[root@localhost ~]# cd /etc/openvpn/easy-rsa/
[root@localhost easy-rsa]# cp vars.example vars
[root@localhost easy-rsa]# vim vars

清理原有证书和私钥并初始化

[root@localhost easy-rsa]# ./easyrsa clean-all

生成CA根证书

[root@localhost easy-rsa]# ./easyrsa build-ca

CA根证书生成位置：

/etc/openvpn/easy-rsa/pki/ca.crt

为OpenVPN服务端生成server证书和私钥

备注：这里使用nopass参数设置不需要密码，那么在启动OpenVPN服务的时候就不提示输入密码。

[root@localhost easy-rsa]# ./easyrsa build-server-full server nopass

服务端证书路径：/etc/openvpn/easy-rsa/pki/issued/server.crt
服务端私钥路径：/etc/openvpn/easy-rsa/pki/private/server.key

生成Diffie-Hellman算法需要的密钥文件

[root@localhost easy-rsa]# ./easyrsa gen-dh

等待一段时间即可生成成功

生成tls-auth Key用于防止DDOS和TLS攻击

[root@localhost easy-rsa]# openvpn --genkey --secret ta.key

ta.key路径：`/etc/openvpn/easy-rsa/ta.key

# OpenVPN服务端配置

修改OpenVPN服务端配置文件
```
vim /etc/openvpn/server/server.conf
```
目录下如果没有服务端配置文件的话，可以先从其他地方下载

拷贝私钥、公钥和证书等文件到server.conf同级目录下

备注：需要拷贝的文件包括ca.crt、ca.key、server.crt、server.key、dh.pem、ta.key。
[root@localhost server]# cp /etc/openvpn/easy-rsa/pki/ca.crt
[root@localhost server]# cp /etc/openvpn/easy-rsa/pki/private/ca.key
[root@localhost server]# cp /etc/openvpn/easy-rsa/pki/issued/server.crt
[root@localhost server]# cp /etc/openvpn/easy-rsa/pki/private/server.key
[root@localhost server]# cp /etc/openvpn/easy-rsa/pki/dh.pem
[root@localhost server]# cp /etc/openvpn/easy-rsa/ta.key

## 启动服务端服务

[root@uos server]#openvpn --config server.conf

## OpenVPN Server服务自动开启

创建systemd服务文件用于管理OpenVPN Server服务自动开启

cp   /usr/lib/systemd/system/openvpn-server@.service /etc/systemd/system/openvpn-server@server.service

-设置OpenVPN Server服务开机自启并立即启动

systemctl enable --now openvpn-server@server.service

-使用命令查看启动状态

systemctl status openvpn-server@server.service

## 在云服务器上配置安全组

之前启动客户端怎么也没法连上服务器，折腾半天最后发现是服务器上的端口没有放行，这条非常重要！！！

## 在服务端下配置CCD功能，指定客户端固定IP

配置步骤

首先，在服务端开启CCD功能，在 OpenVPN 服务器的配置文件中，添加以下行：

#修改配置
vim /etc/openvpn/server/server.conf 
#打开这个配置, ccd文件夹,相对路径,和配置server.conf同一路径
#client-config-dir ccd

#绝对路径 /etc/openvpn/ccd
client-config-dir /etc/openvpn/ccd

其中，ccd 是一个文件夹路径，用于存放客户端 CCD 配置文件，我这里CCD文件夹创建的路径在`/etc/openvpn/`下。