CentOS7.4安装OpenVPN

系统环境

[root@vpn ~]# cat /etc/redhat-release

CentOS Linux release 7.4.1708 (Core)

一. 准备工作

[root@vpn ~]# yum -y install openssl-devel openssl pam pam-devel lzo lzo-devel pkcs11-helper pkcs11-helper-devel

二. 安装OpenVPN服务

1. 下载openvpn源码包

[root@vpn ~]# wget http://oss.aliyuncs.com/aliyunecs/openvpn-2.2.2.tar.gz

2. 使用 rpmbuild 将源码包编译成rpm包来进行安装

[root@vpn ~]# rpmbuild -tb openvpn-2.2.2.tar.gz

如果没有rpmbuild命令：yum install -y rpm-build

执行这条命令以后就会正常开始编译了，编译完成以后会在 /root/rpmbuild/RPMS/x86_64 目录下生成 openvpn-2.2.2-1.x86_64.rpm 安装包。

3. 安装rpm包

[root@vpn ~]# rpm -ivh openvpn-2.2.2-1.x86_64.rpm 

三. 证书生成

1. 初始化PKI

[root@vpn ~]# cd /usr/share/doc/openvpn-2.2.2/easy-rsa/2.0

[root@vpn 2.0]# cp vars vars.bak

[root@vpn 2.0]# vim vars #在最后修改

export KEY_COUNTRY=CN

export KEY_PROVINCE=BJ

export KEY_CITY=BJ

export KEY_ORG="bj-openvpn"

export KEY_EMAIL="xx@gmail.com"

2. 先清除key下的所有key

[root@vpn 2.0]#ln -s openssl-1.0.0.cnf openssl.cnf

[root@vpn 2.0]#source ./vars

[root@vpn 2.0]#./clean-all

3. 生成ca私钥和证书

[root@vpn 2.0]#./build-ca

一直默认回车即可

4. 为 vpn服务器签发证书

[root@vpn 2.0]#./build-key-server server //server为自定义证书名，为了下面配置方便，这里就用server

一直回车，Common Name处填入自定义的证书名字，再回车，最后会有两次交互，输入y

5. 为 vpn客户端签发证书

[root@vpn 2.0]#./build-key client //client自定义证书名

一直回车，Common Name处填入自定义的证书名字，再回车，最后会有两次交互，输入y

6. 创建密钥协商文件 迪菲·赫尔曼密钥

[root@vpn 2.0]#./build-dh //生成dh参数文件 dh1024.pem，高版本是dh2048.pem

四. 配置VPN

1. 先查看上面所生成的秘钥

[root@vpn 2.0]# ll keys/

01.pem  ca.key     server.key       client.key  index.txt.attr      serial

02.pem  server.crt  client.crt  dh1024.pem      index.txt.attr.old  serial.old

ca.crt  server.csr  client.csr  index.txt       index.txt.old

将key拷贝到/etc/openvpn中

[root@vpn 2.0]# cp keys/* /etc/openvpn

2. server.conf  配置

[root@svn 2.0]# cp /usr/share/doc/openvpn-2.2.2/sample-config-files/server.conf /etc/openvpn

[root@svn 2.0]# vim /etc/openvpn/server.conf

local 0.0.0.0      #专有网络填私网ip，经典网络填公网ip

port 9094

proto tcp

dev tun

;username-as-common-name #等会用户密码验证开启

;auth-user-pass-verify /etc/openvpn/check.sh via-env #检查脚本

ca ca.crt

cert server.crt #上面自定义所生成的证书，如果server.conf与证书不在同一目录要注意路径

key server.key

dh dh1024.pem #dh参数文件，注意是dh1024还是dh2048

server 10.8.0.0 255.255.255.0  #给vpn-client分配的子网，防火墙要设置从内网通子网

ifconfig-pool-persist ipp.txt

push "redirect-gateway def1 bypass-dhcp"

push "route 172.18.0.0 255.255.255.0"    #内网网段

push "dhcp-option DNS 119.29.29.29"

push "dhcp-option DNS 114.114.114.114"

client-to-client

keepalive 10 120

comp-lzo     #压缩

user nobody

group nobody

persist-key

persist-tun

status openvpn-status.log

log         openvpn.log

verb 3

3. 路由转发

[root@vpn ~]# vim /etc/sysctl.conf

net.ipv4.ip_forward = 1

[root@vpn ~]# sysctl -p

4. 防火墙设置

CentOS7是firewalld，先关闭firewalld再安装iptables

systemctl stop firewalld

systemctl disable firewalld

systemctl status firewalld

安装iptables

yum install iptables-services

service start iptables

设置iptables规则

iptables -A INPUT -p tcp -m tcp --dport 9094 -m comment --comment openvpn -j ACCEPT

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j MASQUERADE    #内网网段

iptables -t nat -A POSTROUTING -s 10.8.0.0/16 -j SNAT --to-source 172.18.xxx.xxx     #内网ip

service iptables save

如果设置iptables规则后没有在/etc/sysconfig/iptables中显示，则直接使用重定向>生成到/etc/sysconfig/iptables配置文件中，再保存。

5. 启动vpn

[root@vpn ~]# systemctl restart openvpn

[root@vpn ~]# /sbin/chkconfig openvpn on

[root@vpn ~]# ps -ef | grep openvpn

[root@vpn ~]# netstat -antp | grep 9094

启动失败则查看日记：tail -f /etc/openvpn/openvpn.log

五. Windows客户端配置

下载地址：

https://swupdate.openvpn.org/community/releases/openvpn-install-2.4.2-I601.exe

将vpn服务器上的ca.crt、client.key、client.crt 、client.csr证书拷贝到windows客户端安装的C:\Program Files\OpenVPN\config目录中，这是默认安装的路径，若自定义则拷贝到对应目录，

再到C:\Program Files\OpenVPN\sample-config目录拷贝client.conf到C:\Program Files\OpenVPN\config目录中，配置如下：

client

dev tun

proto tcp

remote 47.xxx.xxx.xxx 9094 #公网ip

resolv-retry infinite

nobind

persist-key

persist-tun

ca ca.crt

cert client.crt

key client.key

ns-cert-type server

comp-lzo

verb 3

配置好之后以管理员方式运行，再点击图标连接，也可直接查看日记

连接成功后会多生成一块虚拟网卡

登陆ip.cn查看连接ip

六. Linux客户端配置

linux端vpn客户端连通后会获取vpn的子网IP，这时就之前的服务器公网IP就不通了，注意使用

先登录到server端给client签发证书，也可以使用之前签发客户端的证书

[root@vpn ~]# cd /usr/share/doc/openvpn-2.2.2/easy-rsa/2.0

[root@vpn 2.0]# ./build-key linux-client //自定义名字

Common Name (eg, your name or your server's hostname) []:linux-client

客户端安装openvpn，跟上面服务端安装一样，这里就不重复了

从服务器端拷贝生产的证书到客户端的/etc/openvpn下，拷贝如下文件

scp  ca.crt linux-client.crt  linux-client.key  root@ip:/etc/openvpn

编辑客户端文件

vim /etc/openvpn/client.conf

client

dev tun

proto udp

remote 47.xxx.xxx.xxx 9094     #VPNserver 地址，公网地址

nobind

user nobody

group nobody

persist-key

persist-tun

ca ca.crt

cert linux-client.crt

key  linux-client.key

;auth-user-pass     #账号密码验证要开启

comp-lzo

verb 3

mute 20

systemctl restart openvpn

或 openvpn --daemon --config /etc/openvpn/client.ovpn --cd /etc/openvpn

测试是否可以ping 通内网的机器 ping xxx.xxx.xxx.xxx

如果是虚拟机内网搭建的vpn可以测试，我这里是ecs搭建的，连接上来后获取了vpn分配的子网ip，立即掉线了，到管理台重启服务器才能继续操作。

阿里云工单给出的解决办法是：

通过控制台登陆客户端，删除两条路由

0.0.0.0 mask 128.0.0.0 下一跳VPN网关

128.0.0.0 mask 128.0.0.0 下一跳VPN网关

七. 实现账号密码验证

服务端server.conf添加如下两行：

username-as-common-name #等会用户密码验证开启

auth-user-pass-verify /etc/openvpn/check.sh via-env #检查脚本

check.sh 脚本主要是用来检测用户密码

[root@svn openvpn]# cat check.sh

#!/bin/sh

###########################################################

PASSFILE="/etc/openvpn/openvpnfile" #用户密码文件

LOG_FILE="/var/log/openvpn-password.log"

TIME_STAMP=`date "+%Y-%m-%d %T"`

if [ ! -r "${PASSFILE}" ]; then

echo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >> ${LOG_FILE}

exit 1

fi

CORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}' ${PASSFILE}`

if [ "${CORRECT_PASSWORD}" = "" ]; then

echo "${TIME_STAMP}: User does not exist: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}

  exit 1

  fi

if [ "${password}" = "${CORRECT_PASSWORD}" ]; then

echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}

exit 0

fi

echo "${TIME_STAMP}: Incorrect password: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}

exit 1

用户密码文件输入用户为test，密码为test123；用户密码文件格式如下，多个用户依次添加即可

[root@svn openvpn]# cat openvpnfile

test test123

修改server.conf后重启openvpn

systemctl restart openvpn

客户端client.conf文件添加如下一行：

auth-user-pass #账号密码验证要开启

重启openvpn，输入openvpnfile中设置的账号密码。