Open***完美解决公司网络没有固定公网IP的问题

 

方案背景：

公司办公网络使用长城宽带上网有一段时间了，有4个固定IP（2个电信，2个网通），链路不太稳定，经常有问题，因此考虑取消长城宽带，采用原来的adsl上网。但是有个问题，因为公司内网有几台服务器，需要通过固定IP接受外网用户发送的数据，因此如果没有公网IP，而ADSL获取的IP会变化，那么内网服务器接受外面用户的数据就会受到影响，通过采用open***很好的解决了这个问题。这个前提是你在机房的服务器有固定IP。

 

应用场景

公司在托管机房有公网IP，在公司内部采用ADSL上网，又需要接受外网用户发送的数据，那么就可以在托管机房有公网IP的服务器部署open***，然后内网找一台服务器拨上去获取IP后，通过iptables的端口转发2次就可以完美解决公司网络没有公网IP的问题。

 

详细方案

下面就来详细讲述如何用open***完美的解决公司网络没有公网IP的解决方案！

一、需求

在没有固定公网IP的情况下，借助托管机房的固定公网IP，实现发布内网服务器的端口给外网用户调用，具体环境如下面网络图中所示，需要把内网服务器192.168.100.113的708端口借助托管机房的固定IP发布给外网用户调用

二、网络图

20639775_1331090298pZ33.jpg

三、open***服务器的安装配置

1.open***服务器端的环境

       OS: Centos 5.5 64bit 2.6.18

     Lzo version: 2.0.6(最新版本)

     Open*** version: 2.2.2(最新版本)

2.open***服务器端软件的安装

下载软件包

wget http://www.oberhumer.com/opensource/lzo/download/lzo-2.06.tar.gz

wget http://swupdate.open***.org/community/releases/open***-2.2.2.tar.gz

安装openssl

yum -y install openssl

记录下openssl的版本号，一会有用，我这里安装的openssl-0.9.8e-20.el5.x86_64版本

安装lzo

tar xzvf lzo-2.06.tar.gz

cd lzo-2.06

./configure 

make && make check && make install 

安装open***

tar xzvf open***-2.2.2.tar.gz

cd open***-2.2.2

./configure --prefix=/usr/local/open***--with-lzo-headers=/usr/local/include --with-lzo-lib=/usr/local/lib \

--with-ssl-headers=/usr/local/include/openssl--with-ssl-lib=/usr/local/lib 

make && make install 

 

3.制作open***证书key

初始话PKI

生成key变量可以采用export或者需改配置文件的形式，这里我只说采用export命令的形式！代码如下：

cd open***-2.2.2/easy-rsa/2.0#注意这个路径和以前的版本不太一样

cp openssl-0.9.8.cnf openssl.cnf#这里有三个版本的openssl的文件供你选择，这里需要选择前面我们安装的openssl版本

export D=`pwd`#设置路径

export KEY_CONFIG=$D/openssl.cnf#设置openssl文件的位置

export KEY_DIR=$D/keys#设置生成key的保存路径

export KEY_SIZE=1024#设置生成key的加密位数

export KEY_COUNTRY=CN#设置国家

export KEY_PROVINCE=GD#设置省

export KEY_CITY=SZ#设置城市

export KEY_ORG="futuotec"#设置组织

export KEY_EMAIL=monitor@staff.tuge.com#设置邮箱

 

./clean-all#这个命令执行完成以后会创建前面设置的key保存路径

生成ca证书和私钥

./build-ca#执行这个命令以后按照提示操作就可以了！示例如下:

Country Name (2 letter code) [CN]: 

State or Province Name (full name) [GD]: 

Locality Name (eg, city) [SZ]: 

Organization Name (eg, company) [futuotec]: 

Organizational Unit Name (eg, section) []:futuotec

Common Name (eg, your name or your server's hostname) []:server 

Email Address [monitor@staff.tuge.com]: 

 

生成server端证书和私钥

./build-key-server server#执行这个命令以后按照提示操作就可以了！示例如下

Country Name (2 letter code) [CN]: 

State or Province Name (full name) [GD]: 

Locality Name (eg, city) [SZ]: 

Organization Name (eg, company) [futuotec]: 

Organizational Unit Name (eg, section) []:futuotec

Common Name (eg, your name or your server's hostname) []:server 

Email Address [monitor@staff.tuge.com]: 

 

Please enter the following 'extra' attributes 

to be sent with your certificate request 

A challenge password []:test111

An optional company name []:futuotec

 

生成客户端证书和私钥

./build-key client1#client1为客户端的登录名，按照提示操作，示例如下，可重复次操作建多个不同的登录名

Country Name (2 letter code) [CN]: 

State or Province Name (full name) [GD]: 

Locality Name (eg, city) [SZ]: 

Organization Name (eg, company) [futuotec]: 

Organizational Unit Name (eg, section) []:futuotec

Common Name (eg, your name or your server's hostname) []:client1#重要: 每个不同的 client 生成的证书, 名字必须不同. 

Email Address [monitor@staff.tuge.com]: 

 

Please enter the following 'extra' attributes 

to be sent with your certificate request 

A challenge password []:test111

An optional company name []:futuotec

 

 

打包证书和私钥

./build-dh#通过这个命令创建Diffie Hellman参数

tar zcvf key.tar.gz keys

将生成的key.tar.gz下载备用

 

4.open***服务器端配置

mkdir /usr/local/open***/etc

mkdir/usr/local/open***/keys/

将前面生成的如下key文件和证书文件拷到/usr/local/open***/keys目录下：

ca.crt、server.crt、server.key、dh1024.pem

vim /usr/local/open***/etc/server.conf 添加如下内容

local 58.33.123.75

client-config-dir /usr/local/open***/etc/ccd#介绍一下这个选项，这个选项是为制定的登录名使用单独的配置，比如制定固定的IP，本文就用到了这个配置，在这个目录下，创建一个用户名文件，然后写入你的需求配置，稍后会介绍

port 1194

proto udp

dev tun

ca /usr/local/open***/keys/ca.crt

cert /usr/local/open***/keys/server.crt

key /usr/local/open***/keys/server.key

dh /usr/local/open***/keys/dh1024.pem

server 172.16.100.0 255.255.255.0

ifconfig-pool-persist ipp.txt

push "route 172.16.88.0 255.255.255.0"

push "route 172.16.100.0 255.255.255.0"

push "dhcp-option DNS 172.16.88.10"

client-to-client

keepalive 10 120

comp-lzo

persist-key

persist-tun

status /var/log/open***-status.log

log/var/log/open***.log

verb 4

 

vim /usr/local/open***/etc/ccd/client1添加如下内容：

ifconfig-push 172.16.100.9 172.16.100.10

可能有人会想为什么要制定两个IP，这是因为open***只支持255.255.255.252 的子网，而且252的子网只有两个IP，一个分配给客户端，一个留给服务器用.因此只能ccd目录下面的文件内容只能是：

ifconfig-push 172.16.100.1 172.16.100.2

ifconfig-push 172.16.100.5 172.16.100.6…..

如果配置错误，会报如下错误：

Tue Jan 10 18:02:33 2012 us=197724 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)

 

启动open***服务端：

/usr/local/open***/sbin/open***--config /usr/local/open***/etc/server.conf > /dev/null 2>&1 &

然后将该命令写入到/etc/rc.local中

 

查看是否启动成功：

netstat -lnp | grep open***

udp00 58.33.123.75:11940.0.0.0:*11545/open***

 

四、open***客户端的安装配置

1.open***客户端的环境

客户端的环境和服务器端的环境一样

OS: Centos 5.5 64bit 2.6.18

Lzo version: 2.0.6(最新版本)

Open*** version: 2.2.2(最新版本)

 

2.open***客户端的安装

安装也和服务器的一样，这里就不赘述

 

3.open***客户端的配置

mkdir /usr/local/open***/etc

mkdir /usr/local/open***/keys/

将需要的前面打包的相关key文件放到keys目录下，比如client1用户需要copy到客户端的文件如下：

ca.crt 

ca.key 

client1.crt 

client1.csr 

client1.key 

 

vim /usr/local/open***/etc/client.conf 添加如下内容：

client

dev tun

proto udp

remote 58.33.123.751194

persist-key

persist-tun

ca /usr/local/open***/keys/ca.crt

cert /usr/local/open***/keys/client2.crt

key /usr/local/open***/keys/client2.key

ns-cert-type server

comp-lzo

verb 4

 

启动客户端：

/usr/local/open***/sbin/open***--config /usr/local/open***/etc/client.conf > /dev/null 2>&1 &

并将该命令写入/etc/rc.local

 

检查是否链接成功，已经分配的IP是否是制定的IP

ifconfig显示如下内容：

tun0Link encap:UNSPECHWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00

inet addr:172.16.100.9P-t-P:172.16.100.10Mask:255.255.255.255

 

五、open***服务器端iptables的设置

iptables -t nat -A PREROUTING -d 58.33.123.75 -p tcp -m tcp --dport 708 -j DNAT--to-destination 172.16.100.9:708 

iptables -t nat -A POSTROUTING -j MASQUERADE

iptables -A INPUT -p udp -m udp --dport 1194 -j ACCEPT

iptables-AINPUT -s 172.16.100.0/255.255.255.0-j ACCEPT

说明：将外面请求机房中58.33.123.75端口708的请求都发往公司内网的***客户端，打开open***的1194端口，允许网段的访问！

 

六、open***客户端iptables的设置

iptables -t nat -A PREROUTING -s 58.33.123.75 -p tcp -m tcp --dport 708 -j DNAT--to-destination 192.168.100.113:708 

iptables -t nat -A POSTROUTING -j MASQUERADE

说明：将源是来自58.33.123.75并且目标端口为708的请就转发到内网的192.168.100.113的708端口，这就完成了整个转发过程

 

七、测试端口调用是否OK

因为发布的tcp的端口，因此可以采用telnet的方式来调用，在外网找台机器，执行如下命令看看是否OK！

telnet 58.33.123.75 708

如果不能连接，就需要检查***是否OK。Ping是个很好的工具，以及检查防火墙规则

 

总结：

对于我们搞IT的来说，其实解决问题的方法很多，需要灵活的来运用各种技术。这样能给你的企业节省不少成本，而且能让你的工作更有创造性。因此我们在日常工作中应该充分发挥我们的想象力，灵活应用我们的各种技术，你会发现其实技术的道路还可以更宽、更精彩！

http://blog.chinaunix.net/uid-20639775-id-3123671.html