使用 OpenVPN, Easy RSA 配置虚拟专用网络

已于 2024-07-12 23:07:45 修改
阅读量861 收藏 11
点赞数 7
分类专栏： 网络空间安全 文章标签： 网络 安全
于 2024-07-12 23:07:44 首次发布
CC-BY-SA-ND 4.0
本文链接：https://blog.csdn.net/qq_19338977/article/details/140388642
版权

使用 OpenVPN, Easy RSA 配置虚拟专用网络


警告

请勿将本文提到的任何技术用于非法用途.

请遵守《中华人民共和国刑法》《中华人民共和国网络安全法》《中华人民共和国治安管理处罚法》和/或当地其他相关法律法规.


重要: 免责声明

重要: 本博客的所有内容仅供教育和参考之用, 不构成法律, 财务或任何专业领域的建议. 使用虚拟专用网络 (VPN) 可能违反相关法律法规. 读者在使用本博客提供的信息或服务时, 应自行承担风险, 并在遵守所在国家或地区的法律法规的前提下行事. 本博客的作者和运营者对读者因使用本博客的信息或服务而可能产生的任何直接或间接后果, 概不负责.

请充分考虑再决定是否阅读本文.

具体而言, 本博客的目的是向读者介绍关于网络安全和隐私保护的基础知识, 强调合法合规的使用方式. 本博客内容不旨在介绍或鼓励任何违反法律的行为, 包括但不限于未经授权的VPN使用. 本博客的信息可能随时更改或更新, 且作者无法保证信息的准确性, 完整性和时效性. 因此, 读者在采取行动前应自行核实相关信息, 并在需要时寻求专业的法律建议. 对于因使用本博客信息或服务而可能导致的任何损失或损害, 包括但不限于数据丢失, 法律责任, 或网络攻击, 本博客的作者和运营者概不负责. 本免责声明适用于所有访问本博客或使用本博客提供的信息或服务的个人和组织.


重要: 法律适用声明

重要: 请注意, 使用虚拟私人网络服务可能违反特定国家或地区的法律法规. 读者在决定使用 VPN 服务时, 应自行承担责任, 并遵守适用法律法规. 我们建议读者在采取任何与网络安全相关的行动之前, 咨询具有相关资质的法律专业人士的意见, 以确保其行为的合法性和合规性.


重要: 关于加密技术的声明

重要: 许多国家都限制使用或出口加密技术. 如果您可能受到此类限制, 您应该在尝试开发或分发加密代码之前寻求专业的法律建议.

OpenVPN 和/或 Easy RSA (可能) 使用加密技术.


重要: 责任范围声明

重要: 本文中的任何声明并不排除或限制适用法律规定的责任范围, 若法律规定与本声明有冲突, 则以适用法律规定为准.


协议

特别说明: 本文按“原样”提供, 不做任何明示或暗示的担保, 包括但不限于对适用性, 正确性, 使用情景合法性的担保. 在和任何情况下, 作者均不对读者使用本文提及的内容造成的结果进行赔偿或承担任何责任.

本作品采用 知识共享署名-禁止演绎 4.0 国际许可协议 进行许可. (CC-BY-ND 4.0)

当 CSDN 平台提供的版权协议与本协议 (CC-BY-ND 4.0) 不一致时, 以本协议为准.

Copyright © 2024, 还没想好昵称的新建p.

特别说明: 在转载时, 禁止对本文的任何内容进行修改.

特别说明: “警告”, “重要”和“协议”的全部内容应该按原样包含在本文的所有转载副本内容中.

如果您不同意协议中的任何一项, 请勿继续阅读或转载, 并关闭此页面.

日期内容变更
2024-07-12 16:04 UTC+0100发布

假设

在阅读本文前, 您应该对以下内容有所了解.

此外, 您应该拥有一台服务器的 root 权限, 例如 Ubuntu 24.04 LTS, 和一台客户端机器.

方法 1: 使用脚本

使用如下脚本可以安装 OpenVPN, 不是本文重点, 在此不在赘述.

curl -O https://raw.githubusercontent.com/angristan/openvpn-install/master/openvpn-install.sh
chmod +x openvpn-install.sh
./openvpn-install.sh

方法 2: 使用软件包管理区

1. 更新, 安装 OpenVPN 和 Easy RSA

更新软件包管理器, 并安装 openvpn, easy-rsa (以 apt 为例).

sudo apt update
sudo apt install openvpn easy-rsa

2. 生成证书, 公钥和密钥

首先, 使用如下命令生成证书, 公钥和密钥.

make-cadir ~/openvpn-ca
cd openvpn-ca

然后, 编辑 vars, 设置 CA (证书颁发机构) 变量.

vim vars

如果您使用了软件包管理器 和 make-cadir 命令, 则请 忽略 该文件的提示 (如下).

# NOTE: If you installed Easy-RSA from your distro's package manager, don't edit
# this file in place -- instead, you should copy the entire easy-rsa directory
# to another location so future upgrades don't wipe out your changes.

编辑 95 行附近, 设置您的组织的信息.

set_var EASYRSA_REQ_COUNTRY     "GB"
set_var EASYRSA_REQ_PROVINCE    "Hampshire"
set_var EASYRSA_REQ_CITY        "Southampton"
set_var EASYRSA_REQ_ORG         "."
set_var EASYRSA_REQ_EMAIL       "example@ieee.org"
set_var EASYRSA_REQ_OU          "."

设置 RSA 大小, CA 过期时间和证书过期时间.

set_var EASYRSA_KEY_SIZE        2048
# 省略若干行
set_var EASYRSA_CA_EXPIRE       3650
# 省略若干行
set_var EASYRSA_CERT_EXPIRE     825

接下来, 执行以下命令, 设置 PKI.

  1. 初始化 PKI:

    ./easyrsa init-pki

  2. 生成 CA:

    ./easyrsa build-ca

  3. 生成 CSR (证书签名请求):

    ./easyrsa gen-req server nopass

    其中, server 是 CN (common name), nopass 表明请求无需密码加密.

  4. 使用 CA 的私钥签名服务器的 CSR:

    ./easyrsa sign-req server server

    其中, 第一个 server 是请求类型 (服务器证书), 第二个 server 是 CSR 的 CN.

  5. 生成 Diffie-Hellman (DH) 变量:

    ./easyrsa gen-dh

  6. 生成 OpenVPN TLS 验证静态钥匙用于进一步防止数据包注入攻击:

    openvpn --genkey --secret pki/ta.key

完成 PKI 设置后, 证书和钥匙将存于 ~/openvpn-ca/pki 目录.

提示: 请注意文件权限. 使用 chown 和 chmod 妥善配置文件的所有者和模式.

提示: 请妥善保管私钥.

3. 配置 OpenVPN

  1. 首先, 将 PKI 复制到 OpenVPN 目录:

    sudo cp pki/dh.pem pki/ca.crt pki/issued/server.crt pki/private/server.key /etc/openvpn/

  2. 然后, 复制一份服务器配置样例:

    sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/server.conf

  3. 编辑 server.conf:

    注释以 # 或 ; 开始.

    # 使用 UDP (亦可使用 TCP)
proto udp

# 省略若干行

dev tun

# 省略若干行

# 设置 SSL/TLS CA, cert, key 等
ca ca.crt
cert server.crt
key server.key  # This file should be kept secret

# 省略若干行

# 设置 Diffie-Hellman
dh dh2048.pem

# 省略若干行

# 设置服务器 VPN 子网
server 10.8.0.0 255.255.255.0

# 省略若干行

# 将所有 IP 和 DNS 流量路由至 VPN
push "redirect-gateway def1 bypass-dhcp"

# 省略若干行

# 配置 DNS
push "dhcp-option DNS 8.8.4.4"
push "dhcp-option DNS 8.8.8.8"

# 省略若干行

# 注释此行, 改为tls-crypt
;tls-auth ta.key 0 # This file is secret
tls-crypt ta.key

# 省略若干行

# 降低权限
user nobody
group nobody

# 省略若干行

persist-key
persist-tun

    此外, 如果您希望每个用户使用同一个客户端证书, 则取消注释此行, 但请注意其潜在安全问题 (在生产环境不应取消注释这一行):

    duplicate-cn

    此外, 您应该妥善配置日志.

  4. 启动操作系统 IP 转发:

    假设您的操作系统使用 systemd.

    sudo vim /etc/sysctl.conf

    # 取消注释此行
net.ipv4.ip_forward=1

    然后, 应用设置.

    sudo sysctl -p

4. 启动 OpenVPN 服务

运行如下命令.

sudo systemctl start openvpn@server 
sudo systemctl enable openvpn@server

其中, @server 是您在配置文件中使用的名称 (参见上文).

5. 配置防火墙

  • 如果您使用 UFW, 则:

    sudo ufw allow 1194/udp
sudo ufw route allow in on eth0 out on tun0
sudo ufw route allow in on tun0 out on eth0

    其中, 1194/udp 是您配置的端口和协议, eth0 是服务器的网络接口, tun0 是 VPN 的虚拟网络接口 (使用 ifconfig 查询).

  • 如果您使用 iptables, 则:

    sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT

如果您使用云服务 (如 AWS, Azure 等), 则应开放相应的端口/服务.

提示: 请根据需求和您的用例正确配置防火墙.

6. 配置客户端

  1. 类似于配置服务器 PKI, 使用如下命令配置客户端 client1 :

    ./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1
sudo cp pki/private/client1.key /etc/openvpn/client/
sudo cp pki/issued/client1.crt /etc/openvpn/client/
sudo cp pki/{ca.crt,ta.key} /etc/openvpn/client/

  2. 复制客户端配置文件样例:

    sudo cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf ~/openvpn-ca/

  3. 编辑客户端配置文件:

    vim client.conf

    # 降低权限
user nobody
group nobody

# 省略若干行

# 注释以下内容, 稍后会将这些信息写入配置文件
;ca ca.crt
;cert client.crt
;key client.key

# 省略若干行

remote-cert-tls server

# 省略若干行

# 注释以下内容, 稍后会将这些信息写入配置文件
;tls-auth ta.key 1

  4. 编辑写入相关证书, 钥匙等的脚本:

    vim config_gen.sh

    写入如下内容.

    #!/bin/bash
# 此脚本第1个参数是客户端标识符
KEY_DIR=/etc/openvpn/client
OUTPUT_DIR=/home/您的用户名/openvpn-ca/client-files # 改为输出目录
BASE_CONFIG=/home/您的用户名/openvpn-ca/client.conf # 改为client.conf所在位置
cat ${BASE_CONFIG} \
    <(echo -e '<ca>') \
    ${KEY_DIR}/ca.crt \
    <(echo -e '</ca>\n<cert>') \
    ${KEY_DIR}/${1}.crt \
    <(echo -e '</cert>\n<key>') \
    ${KEY_DIR}/${1}.key \
    <(echo -e '</key>\n<tls-crypt>') \
    ${KEY_DIR}/ta.key \
    <(echo -e '</tls-crypt>') \
    > ${OUTPUT_DIR}/${1}.ovpn

    更改脚本权限:

    sudo chmod 700 /root/openvpn-ca/config_gen.sh

    运行脚本, 生成 client1.ovpn:

    sudo ./config_gen.sh client1

7. 客户端操作

在客户端安装 OpenVPN, 并导入 client1.ovpn.

可以通过 ipinfo.io 验证客户端的 IP.

curl ipinfo.io

例如, 客户端在连接 OpenVPN 前, 使用英国 JISC 提供的高等教育网络 (AS786) :

{
  "ip": "(隐藏)",
  "hostname": "(隐藏)",
  "city": "Southampton",
  "region": "England",
  "country": "GB",
  "loc": "(隐藏)",
  "org": "AS786 Jisc Services Limited",
  "postal": "SO15",
  "timezone": "Europe/London",
  "readme": "https://ipinfo.io/missingauth"
}

在连接到 OpenVPN 后, 使用伦敦 Microsoft 的网络 (AS8051) :

{
  "ip": "(服务器的IP地址)",
  "city": "London",
  "region": "England",
  "country": "GB",
  "loc": "(隐藏)",
  "org": "AS8075 Microsoft Corporation",
  "postal": "E1W",
  "timezone": "Europe/London",
  "readme": "https://ipinfo.io/missingauth"
}

Enjoy!

请勿将本文提到的任何技术用于非法用途.

参考文献

还没想好昵称的新建p
关注
  • 7
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
openvpn easy-rsa
cyuyan的专栏
08-14 856
有的VPS比较奇怪，我们需要再加点料iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT –to-source 114.138.164.131 –to-source后面跟你VPS的IP。映射内部web: iptables -t nat -A PREROUTING -d (外网地址) -p tcp --dport 80 -j DNAT --to 10.1.120.251。您的公共接口是在此命令的输出中找到的跟在单词“dev”之后的字符串。
openVPN服务端搭建
liufangaliya的专栏
06-01 7639
openVPN服务端搭建和客户端指定固定IP
通过openVPN，实现安全内网穿透
qq_16005627的博客
11-30 7352
openVPN 为开源服务，虚拟，是提供给企业之间或者个人与公司之间的隧道，跨平台，支持linux\window\macos\和,值得学习使用。ubuntu环境下安装完成后生成了目录。
VPN的搭建与使用--CentOS7.9（OpenVpn环境配置）
热门推荐
songjiawang
04-24 2万+
vpn测试环境搭建，可用于IT工作者学习使用
openvpn证书生成教程
完颜振江
02-14 1850
这些步骤可以帮助您生成OpenVPN所需的证书和密钥。请根据您的具体需求和环境进行相应调整。
探索VPN：实现安全通信的虚拟私人网络技术
最新发布
06-23
VPN，即虚拟私人网络（Virtual Private Network），作为一种提供安全通信的技术，受到了广泛关注。本文将深入探讨VPN的工作原理、优势、应用场景以及实施中的注意事项，揭示VPN如何在日益增长的网络安全威胁中保护...
通信与网络中的虚拟专用网应用平台解决方案
11-19
　利用公用网络构建虚拟专用网络会给ISP和VPN用户带来益处。对于ISP来说，通过向企业提供IP-VPN增值服务，可以免费利用现有网络资源，提高业务量。而对于VPN用户而言，利用Internet组建专用网，将大笔的专线费用缩减...
EasyConnect，访问高校VPN的软件，这是她的安装包，解压之后安装即可使用
03-15
EasyConnect，访问高校VPN的软件，这是她的安装包，解压之后安装即可使用。 EasyConnect， 是一款应用软件，可以在办公室之外使用公司内网的所有系统及应用，它可以帮助用户实现远程桌面、文件传输、远程会议、远程...
通信与网络中的虚拟专用网络简介及在Windows NT服务器上实现
12-08
虚拟专用网络VPN(Virtual Private Network)是Internet技术迅速发展的产物，他可以实现不同网络的组件和资源之间的相互连接。虚拟专用网络能够利用Internet或其他公共互联网络的基础设施为用户创建隧道，并提供与专用...
VPN系统使用说明pdf
06-16
我校目前使用的VPN系统已经和我校的门户系统实现了用户集成工作， 校内门户系统的用户均可以使用门户系统的用户名和密码来使用VPN 系统。如在门户系统中对密码进行了修改，则登录VPN系统的时候也 需使用新的密码登录...
openvpn （用户名密码模式）
疯飙的蜗牛
04-14 1万+
服务程序可以在应用层打开虚拟网卡，如果应用软件（如网络浏览器）向虚拟网卡发送数据，则服务程序可以读取到该数据。中，如果用户访问一个远程的虚拟地址（属于虚拟网卡配用的地址系列，区别于真实地址），则操作系统会通过路由机制将数据包（客户端的证书、秘钥&如果想用key模式登陆，将其复制进客户端，并需改登陆模式即可，本文使用用户名密码登陆。从外网上接收到数据，并进行相应的处理后，又会发送回给虚拟网卡，则该应用软件就可以接收到。模式）发送到虚拟网卡上，服务程序接收该数据并进行相应的处理后，会通过。
linux服务器安装openvpn
u012925692的博客
08-12 3786
1、定义OpenVPN是一个用于创建虚拟专用网络加密通道的软件包2、原理OpenVPN的技术核心是虚拟网卡，其次是SSL协议实现虚拟网卡是使用网络底层编程技术实现的一个驱动软件。安装此类程序后主机上会增加一个非真实的网卡，并可以像其它网卡一样进行配置。服务程序可以在应用层打开虚拟网卡，如果应用软件（如网络浏览器）向虚拟网卡发送数据，则服务程序可以读取到该数据。如果服务程序写合适的数据到虚拟网卡，应用软件也可以接收得到。
Debian 使用EasyRSA搭建OpenVN
wulala112233的博客
05-17 494
环境：一台Client，Debian桌面版一台Server，Debian最小安装软件：通过脚本，将客户端需要的证书粘贴进配置文件，简化客户端需要进行的操作操作步骤：*以下vn均指vpnserver1.CA证书make-cadir /ca #创建CA目录，建立文件链接并准备相关文件cd /ca./easyrsa init-pki #初始化，会在当前目录创建pki目录vim vars #编辑该配置文件来定义CA变量。
超详细open vn搭建之Linux亲测可用
时光之眼的博客
09-05 6765
centOS7下VPN部署过程详细教程，完美部署
服务器私网 yum + openvpn+mysql认证安装
weixin_48537020的博客
04-16 576
服务器 私网openvpn 大法
OpenV
weixin_48507359的博客
09-29 926
openV的搭建，整了2天多，终于成功了，可以借鉴
openvpn部署
这是一个将要崛起小达人
07-21 1万+
openvpn搭建大致步骤
如何使用OpenVPN
04-01
OpenVPN是一款开源的虚拟私人网络（VPN）软件，可以在多个操作系统上运行，包括Windows、Linux、macOS和Android等。下面是使用OpenVPN的步骤： 1. 下载和安装OpenVPN客户端。你可以从OpenVPN官网下载适合你操作系统的客户端，并按照安装向导进行安装。 2. 获得OpenVPN配置文件。OpenVPN需要一个配置文件来建立VPN连接，你可以从VPN服务提供商处获得配置文件。 3. 将配置文件导入OpenVPN客户端。在OpenVPN客户端中，选择“导入配置文件”，然后选择你下载的配置文件。 4. 连接VPN。在OpenVPN客户端中，选择你导入的配置文件，然后点击“连接”按钮，等待连接成功的提示。 5. 测试VPN连接。连接成功后，你可以打开浏览器并访问一些被屏蔽的网站或服务，以测试VPN连接是否正常工作。 注意：使用OpenVPN连接VPN需要VPN服务提供商提供VPN服务器和配置文件。同时，为保护你的隐私和安全，建议只使用可信赖的VPN服务提供商。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值