openvpn搭建

最新推荐文章于 2024-08-14 01:22:53 发布
最新推荐文章于 2024-08-14 01:22:53 发布
阅读量7.2k 收藏 56
点赞数 5
文章标签： linux 服务器 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46615386/article/details/131173253
版权

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

openvpn搭建过程+证书+用户名密码登陆+固定IP

前言

该文档是本人在搭建过程中，多次踩坑，以及阅读无数文章总结出的最完整的openvpn搭建过程，根据该教程可避免搭建过程中各种奇奇怪怪的报错

一、在linux上面搭建openvpn

1.准备工作

#临时关闭selinux
[root@yq-server ~]# setenforce 0
#配置文件永久关闭，修改 /etc/selinux/config文件
[root@yq-server ~]# vi /etc/selinux/config
SELINUX=disabled
[root@yq-server ~]# getenforce
Permissive

2.安装openvpn和easy-rsa

（1）安装epel仓库源
sudo yum install https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm
在这里插入图片描述
（2）安装openvpn
在这里插入图片描述
（3）安装easy-rsa在这里插入图片描述
（4）查看easy-rsa所在路径
在这里插入图片描述

3.虚拟专用证书制作

（1）准备工作
#切换路径
[root@yq-server ~]# cd /usr/share/easy-rsa/3
#初始化pki文件，在下图中可以看到pki文件，用来存放证书
[root@yq-server 3]# ./easyrsa init-pki在这里插入图片描述
（2）生成ca.crt根证书文件
在生成过程中需要输入两次根证书密码（后续会用到密码，请记忆），和common name通用名，设置合理即可，如果直接点击回车选默认通用名，后期可能会出现报错，建议在符合通用名规则的情况下进行命名。
[root@yq-server 3]# ./easyrsa build-ca
在这里插入图片描述生成文件路径：
/usr/share/easy-rsa/3/pki/ca.crt
（3）创建服务器端证书
在生成过程中需要输入两次根证书密码，和common name通用名，通用名设置区别于根证书通用名，生成server.req和server.key。nopass参数，表明服务端不需要进入密码。如果不加nopass参数，则每次重启openvpn服务端都要输入密码，建议添加，方便操作。本次openvpn搭建在加了nopass的基础上进行。
[root@yq-server 3]# ./easyrsa gen-req server nopass
在这里插入图片描述
生成文件路径：
/usr/share/easy-rsa/3/pki/reqs/server.req
/usr/share/easy-rsa/3/pki/private/server.key
（4）签约服务端证书
这里我们要根据提示输入yes和ca根证书密码，生成server.crt
[root@yq-server 3]# ./easyrsa sign server server
在这里插入图片描述
生成文件路径：
/usr/share/easy-rsa/3/pki/issued/server.crt
（5）创建客户端证书
根据提示输入两次密码，同时设置通用名，生成文件client.req和client.key
[root@yq-server 3]# ./easyrsa gen-req client在这里插入图片描述
生成文件路径：
/usr/share/easy-rsa/3/pki/reqs/client.req
/usr/share/easy-rsa/3/pki/private/client.key
（6）签约客户端证书
这里需要根据提示输入yes和ca根证书密码，生成证书client.crt在这里插入图片描述
生成文件路径：
/usr/share/easy-rsa/3/pki/issued/client.crt
（7）创建Diffie-Hellman文件
密钥交换时的Diffie-Hellman算法，确保key穿越不安全网络的命令，这里可能需要点时间才能执行完，最后生成dh.pem
在这里插入图片描述
生成文件路径：
/usr/share/easy-rsa/3/pki/dh.pem
（8）创建TLS认证密钥
#切换至/etc/openvpn/，
[root@yq-server openvpn]#openvpn --genkey --secret /etc/openvpn/ta.key
生成文件路径：
/etc/openvpn/ta.key
以上就是所需证书的全部制作过程。

4.证书配置及拷贝

（1）服务端配置
将服务所需端证书拷贝到/etc/openvn/
cp -r /usr/share/easy-rsa/3/pki/ca.crt /etc/openvpn/
cp -r /usr/share/easy-rsa/3/pki/issued/server.crt /etc/openvpn/
cp -r /usr/share/easy-rsa/3/pki/private/server.key /etc/openvpn/
cp -r /usr/share/easy-rsa/3/pki/dh.pem /etc/openvpn/
cp -r /usr/share/doc/openvpn/sample/sample-config-files/server.conf /etc/openvpn/
#最后一条为服务端的配置文件
#编辑配置文件,下图为本次openvpn搭建的配置
[root@yq-server openvpn]# vi /etc/openvpn/server.conf
在这里插入图片描述
（2）客户端配置
将客户端所需端证书拷贝到/etc/openvn/
cp -r /usr/share/easy-rsa/3/pki/private/client.key /etc/openvpn/client/
cp -r /usr/share/easy-rsa/3/pki/issued/client.crt /etc/openvpn/client/
cp -r /usr/share/easy-rsa/3/pki/ca.crt /etc/openvpn/client/
cp -r /etc/openvpn/ta.key /etc/openvpn/client/
#客户端的配置文件，将其拷贝至/etc/openvpn/client，如果没有client文件，先在/etc/openvpn/
#下面创建
cp -r /usr/share/doc/openvpn/sample/sample-config-files/client.conf /etc/openvpn/client
#切换路径到/etc/openvpn/client
#修改文件后缀，客户端配置文件为.ovpn结尾
[root@yq-server client]# mv client.conf client.ovpn
#本次客户端配置文件在这里插入图片描述
#下面为客户端配置文件的基本信息
client #指定当前VPN是客户端
dev tun #使用tun隧道传输协议
proto tcp #使用tcp协议传输数据,与服务器端保持一致
remote 192.168.2.6 1194 #openvpn服务器IP地址端口号
resolv-retry infinite #断线自动重新连接，在网络不稳定的情况下非常有用
nobind #不绑定本地特定的端口号
ca ca.cr t#指定CA证书的文件路径
cert client.crt #指定当前客户端的证书文件路径
key client.key #指定当前客户端的私钥文件路径
verb 3 #指定日志文件的记录详细级别，0-9，等级越高日志内容越详细
persist-key
#通过keepalive检测超时后，重新启动VPN，不重新读取keys，保留第一次使用的keys
persist-tun
#检测超时后，重新启动VPN，一直保持tun是linkup的。否则网络会先linkdown然后再linkup
remote-cert-tls server
tls-auth ta.key 1 #使用ta.key防御攻击。服务器端的第二个参数值为0，客户端的为1
comp-lzo #使用lzo压缩的通讯,服务端和客户端都必须配置
auth-nocache #必须要添加auth-nocache，否则客户端会报错
Auth-user-pass #用户名密码方式登录时，添加该参数
（3）客户端文件打包
#切换路径到 /etc/openvpn/
#将客户端所需的密钥文件压缩
[root@yq-server openvpn]# zip client.zip ./client/*

在这里插入图片描述
#将其下载到windows系统里
[root@yq-server openvpn]# sz -y client.zip
#下载路径自己提前设置好
在这里插入图片描述

5.开机启动配置

#切换路径 /etc/openvpn
#新建文件夹名为server ，将服务器所需的配置文件全部拷贝到server里面
cp -r /etc/openvpn/ca.crt /etc/openvpn/server
cp -r /etc/openvpn/ta.key /etc/openvpn/server
cp -r /etc/openvpn/server.crt /etc/openvpn/server
cp -r /etc/openvpn/server.key /etc/openvpn/server
cp -r /etc/openvpn/server.conf /etc/openvpn/server
#修改配置文件如下图
[root@yq-server ~]# vim /usr/lib/systemd/system/openvpn-server@.service
在这里插入图片描述
[root@yq-server ~]# systemctl daemon-reload
[root@yq-server ~]# systemctl start openvpn-server@server.service
[root@yq-server ~]# systemctl enable openvpn-server@server.service
[root@yq-server ~]# systemctl status openvpn-server@server.service
#若没有报错，且显示"Initialization Sequence Completed"，表明服务器启动成功
在这里插入图片描述

6.配置系统转发和开放端口

（1）云服务器开放端口
在云服务器中开放端口和协议
在这里插入图片描述
（2）开启内核转发
客户端要想跟内网通讯还需要openvpn服务端
[root@yq-server ~]# ]# echo “net.ipv4.ip_forward = 1” >> /etc/sysctl.conf
[root@yq-server ~]# sysctl -p
net.ipv4.ip_forward = 1
（3）修改iptables规则
设置nat转发，注：保证VPN地址池可路由出外网
#清空iptables规则（如果机器第一次安装iptables-services，没有增删过规则，可以不用执行此步骤）
[root@yq-server ~]#iptables -F
[root@yq-server ~]#iptables -F -t nat
[root@yq-server ~]#iptables -X
[root@yq-server ~]#service iptables save
[root@yq-server ~]#systemctl restart iptables
（4）转发请求上网
[root@yq-server ~]#iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
#默认iptables是允许所有访问进入的，所以这条可以不用加（除非设置了INPUT默认是拒绝的规则）
[root@yq-server ~]#iptables -I INPUT -p tcp --dport 1194 -j ACCEPT
（5）保存规则并重启
[root@yq-server ~]#service iptables save
[root@yq-server ~]#systemctl restart iptables
（6）查看iptables转发规则
在这里插入图片描述

二、windows安装客户端软件

1、安装openvpn客户端
（1）双击软件包进行安装，点击I Agree进入下一步安装。
在这里插入图片描述
（2）点击Next继续下一步。
在这里插入图片描述
（3）选择文件安装路径，该路径后续会用到，为方便使用一般选默认，点击Install进行安装。
在这里插入图片描述
（4）openvpn客户端安装成功
在这里插入图片描述
在这里插入图片描述
2、放置client文件
（1）将client文件放入openvpn安装路径下的config文件夹在这里插入图片描述
在这里插入图片描述
3、连接openvpn
（1）右击桌面生成的openvpn软件，点击以管理员身份运行
在这里插入图片描述
（2）在桌面右下角找到openvpn图标，下图红色标出
在这里插入图片描述
（3）右击图标，选择连接
在这里插入图片描述
（4）输入私钥密码,点击确定进行连接
在这里插入图片描述
（5）连接成功后，openvpn图标显示绿色
在这里插入图片描述
4.连通性测试
（1）客户端ping服务器端网关，说明客户端到服务器之间可以通讯。
在这里插入图片描述
（3）若采用客户端之间可以相互访问模式，在/etc/openvpn/server.conf中将配置项client-to-client的注释去掉，使其生效。另外要关闭客户端的防火墙，否则客户端之间无法相互访问。
在这里插入图片描述
在这里插入图片描述

三、用户名密码方式登录

1.修改openvpn服务端配置文件
[root@yq-server ~]# vi /etc/openvpn/server.conf
#在配置文件的最后添加如下的四条配置
script-security 3
#允许使用自定义脚本
auth-user-pass-verify /etc/openvpn/check.sh via-env
#脚本路径
username-as-common-name
#用户密码登录方式验证
client-cert-not-required
#只使用用户名密码方式验证登录，如果不加，则使用用户名和密码双重验证登录
在这里插入图片描述
2.添加脚本
#切换路径 /etc/openvpn/
[root@yq-server openvpn]# touch check.sh
#新建脚本文件check.sh用来验证输入密码是否合法，编辑该脚本文件，将下面代码粘贴到check.sh文件里
[root@openvpn ~]# vi /etc/openvpn/check.sh

#!/bin/sh
###########################################################
PASSFILE="/etc/openvpn/psw-file"
LOG_FILE="/var/log/openvpn-password.log"
TIME_STAMP=`date "+%Y-%m-%d %T"`
 
if [ ! -r "${PASSFILE}" ]; then
    echo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >> ${LOG_FILE}
    exit 1
fi
 
CORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}' ${PASSFILE}`
 
if [ "${CORRECT_PASSWORD}" = "" ]; then
    echo "${TIME_STAMP}: User does not exist: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
    exit 1
fi
if [ "${password}" = "${CORRECT_PASSWORD}" ]; then
    echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}
    exit 0
fi
 
echo "${TIME_STAMP}: Incorrect password: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
exit 1

3.增加执行权限
[root@yq-server openvpn]# chmod +x /etc/openvpn/check.sh
4.增加用户密码文件
在这里插入图片描述

#前面一项为用户名，后一项为密码，中间用空格隔开。
5.重启openvpn服务
[root@yq-server openvpn]#systemctl daemon-reload
[root@yq-server openvpn]#systemctl restart openvpn-server@server.service
6.修改客户端配置文件
修改客户端安装路径下的client.ovpn配置文件，在最后添加auth-user-pass
7.连接
在弹出的界面里输入用户名密码进行连接
在这里插入图片描述

四、固定IP

由于openvpn客户端拿到的IP地址是服务端随机分配的，因此需要远程ssh到终端时，它的ip地址会发生变化，因此需要给它固定IP。该方法基于用户名密码的登录方式。
方法如下：
（1）在服务端的配置文件server.conf中添加如下：
client-config-dir ccd;
#该项在配置文件内有，去掉注释使其生效，注意如果ccd与配置文件不在同一个文件夹下，请写清楚ccd的路径。
（2）在ccd目录下创建文件夹
#ccd文件夹实际不存在需要自行创建，另外还需在ccd文件夹下创建以客户端用户名为文件#名的文件，（比如你的登录用户名为：user，密码为：123456789，那么该文件名就为user）然后在文件中添加内容如下：
ifconfig-push 10.8.0.5 10.8.0.6
#前面为vpn本地IP地址，后面一个为vpn远程网关地址，可任意分配，
（3）修改完后重启服务器端进程。

qq_46615386
关注
OpenVPN的简易搭建流程
常有理爱摸鱼
09-06 1万+
openVPN的傻瓜式搭建流程
完整的openvpn 服务端搭建，小白也能搭建！！网上最全的openvpn 服务端搭建文档之一，附带客户端创建管理的脚本
weixin_42474071的博客
11-19 8271
最近想尝试通过openvpn连接连接家里的nas和手机进行照片传输分享。加上之前从网上找教程，搞了很久才搞出服务端，但是但是当时不太了解，导致部署的openvpn server可以使用，但是感觉摇摇欲坠，像是一堆bug的软件，自己都不知道为啥可以用了。这次趁着有时间，也有需求就重新搭建了。由于网上各种教程参差不齐，所以自己写一个完成过程的笔记。以方便自己日后使用，也方便其他人参考。PS：不知道为啥群晖上导入客户端证书会提示无效证书，已经找群晖技术支持，目前还没反馈。有大佬知道要怎么搞可以说一下吗。
史上最详细保姆级教程部署OpenVPN
最新发布
XLB
08-14 8446
提供给公司与子公司或者公司个人与公司之间建立安全的数据传输
OpenVpn搭建
邢宇宇的博客
05-10 4445
2.1 DNAT（Destination Network Address Translation）和 SNAT（Source Network Address Translation） SNAT（源网络地址转换）DNAT（目标网络地址转换）总结： 2.3 安装openvpn和easy-rsa 3.证书管理 3.1 准备配置文件环境 3.2 准备证书相关文件 3.2.1 创建CA机构 3.2.1 为openvpn服务器颁发证书 3.2.2 为客户端颁发证书 4. 准备 OpenVPN 服务器配置文件
2、OpenVPN搭建
weixin_46371752的博客
05-26 6405
搭建OpenVPN，centos7搭建VPN，centos7部署OpenVPN，linux如何搭建VPN服务，cetnos7如何部署OpenVPN，centos7如何部署VPN服务
vpn的搭建
weixin_63879600的博客
11-30 1930
vsn的搭建
OpenVPN搭建以及使用
m0_69804823的博客
12-04 801
tls-auth ta.key 0 # This file is secret #拒绝dos攻击，提高VPN安全性，这里要在/etc/openvpn 下生成该文件，下文会生成该文件。ca ca.crt #ca证书文件位置（此处为ca.crt文件存放位置，如果不与server.conf文件在同一路径下，要标出文件位置），加载目录。3.打包 client 下所有文件：tar -zcvf client.tar.gz /etc/openvpn/client/*
centos7 openvpn搭建
06-07
好的，我可以为您提供一些关于 CentOS 7 上搭建 OpenVPN 的简单步骤： 1. 安装 OpenVPN 使用以下命令安装 OpenVPN： ``` yum install -y openvpn ``` 2. 配置 OpenVPN 创建一个新目录以存储配置文件： ``` ...
Vyos OpenVPN (SSL TLS+User Auth) 本地PAM认证 SSLVPN服务器搭建
taylorgogo
06-01 1444
Vyos 基于OpenVPN的 多客户端拨入 PAM本地用户认证 SSLVPN
OpenVPN部署
glisten0317的博客
05-10 5139
安装epel仓库安装easy-RSA安装openvpn服务端如果在线无法安装，可以通过离线文件进行安装。
OpenVPN 实战指南
TechEnthusiast的博客
01-02 524
OpenVPN是一种灵活且广泛使用的开源虚拟私人网络（VPN）解决方案。本文将指导你在Linux服务器上使用Docker和OpenVPN部署VPN服务。
openVPN服务端搭建
liufangaliya的专栏
06-01 7859
openVPN服务端搭建和客户端指定固定IP
搭建OpenVpn
duminquan的博客
08-02 914
最近发现云服务器被攻击了，并且会有残留命令在上面，不知道是不是被攻破了，而且经常连接不上openvpn，把端口改了就可以连一会，但是也会经常失效，估计是ucloud的没什么防护吧，索性就把所有端口全关了，只留ssh和openvpn的端口。如果使用的是yum install openvpn安装的，安装目录是在/etc/openvpn下，里面有两个文件夹，一个server，一个client，顾名思义，服务和客户端，看需求启动服务。网上相关的文章已经有很多了，我这里主要是总结下搭建openvpn的关键点。
Linux系统搭建搭建OpenVPN
shenql_的博客
08-13 1万+
Linux系统搭建搭建OpenVPN
openvpn搭建与简单配置
YFHCSDN的博客
10-08 1万+
openvpn详解
VPN的搭建与使用--CentOS7.9（OpenVpn环境配置）
热门推荐
songjiawang
04-24 3万+
vpn测试环境搭建，可用于IT工作者学习使用
openVPN搭建，安装，使用
weixin_45224874的博客
12-17 1966
本文依托大量网络资源，主要还是看https://blog.csdn.net/rockage/article/details/127190263这篇，但也存在一些暗坑，且该文只负责客户端连接服务器，无客户端间的连接，因此写出这篇符合我个人需求的安装文档。上文只支持B连A，但A是连接不上B的，这也已有解决方案。
评论 14
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值