第1章 Open×××简介

  ×××（virtual private network）是一种利用公共网络设设施创建的私有专线连接技术，也即是常说的“专线”。对于具有多个地区多个分支结构的大型企业，总部与各个地区分支需要使用专线共享数据，而电信企业的专线价格昂贵，×××技术借助公用线路打造私有专线，价格低廉，加密连接同样可以保证数据安全，×××专线是个企业应用的绝佳选择。

    Open×××是基于GPL协议开源的×××实现，它可以使用密钥认证、证书认证、账户密码认证。使用openssl进行加密与证书管理可以有效保障专线的数据安全。下图展示了×××的拓扑结构，客户端可以在任意位置连接到×××服务器，***服务器接入公司内网网段，开启路由转发功能后，就可以实现外部客户端机器与内部机器的互联互通，也即可以实现各地区分支与总部的互联互通。

 


第2章  安装open***服务器

2.1   安装openssl和lzo，lzo用于压缩通讯数据加快传输速度

 

yum -y install openssl* lzo

 

2.2  安装open***和easy-rsa

yum -y install open*** easy-rsa

 

 

2.3 修改vars文件

cd /usr/share/easy-rsa/2.0/

 

vim vars

# 修改注册信息，比如公司地址、公司名称、部门名称等

export KEY_COUNTRY="CN"

export KEY_PROVINCE="Beijing"

export KEY_CITY="Changping"

export KEY_ORG="MyOrganization"

export KEY_EMAIL="me@myhost.mydomain"

export KEY_OU="MyOrganizationalUnit"

 

# 初始化环境变量

source vars

 

 

 

 

 

 

2.4 # 清除keys目录下所有与证书相关的文件
# 下面步骤生成的证书和密钥都在/usr/share/easy-rsa/2.0/keys目录里

./clean-all

 

 

2.5 # 生成根证书ca.crt和根密钥ca.key（一路按回车即可）

./build-ca

 

 

2.6 # 为服务端生成证书和密钥（一路按回车，直到提示需要输入y/n时，输入y再按回车，一共两次）

./build-key-server server

 

 

2.7 # 每一个登陆的×××客户端需要有一个证书，每个证书在同一时刻只能供一个客户端连接，下面建立2份
# 为客户端生成证书和密钥（一路按回车，直到提示需要输入y/n时，输入y再按回车，一共两次）

./build-key client1

./build-key client2

 

 

2.8 # 创建迪菲·赫尔曼密钥，会生成dh2048.pem文件（生成过程比较慢，在此期间不要去中断它）

./build-dh

 

 

2.9 # 生成ta.key文件（防DDos***、UDP淹没等恶意***）

open*** --genkey --secret keys/ta.key

 

 

 

查看keys目录下生成的文件：

[root@Centos6 2.0]# ls keys/

01.pem ca.key       client2.crt  index.txt           serial      server.key

02.pem client1.crt  client2.csr  index.txt.attr      serial.old  ta.key

03.pem client1.csr  client2.key  index.txt.attr.old  server.crt

ca.crt client1.key  dh2048.pem   index.txt.old       server.csr

 

 

2.10  创建服务器端配置文件

 

2.10.1 # 在open***的配置目录下新建一个keys目录

mkdir /etc/open***/keys

 

2.10.2 # 将需要用到的open***证书和密钥复制一份到刚创建好的keys目录中

cp/usr/share/easy-rsa/2.0/keys/{ca.crt,server.{crt,key},dh2048.pem,ta.key} /etc/open***/keys/

 

 

2.10.3 # 复制一份服务器端配置文件模板server.conf到/etc/open***/

cp/usr/share/doc/open***-2.3.14/sample/sample-config-files/server.conf/etc/open***/

 

 

 

2.10.4  # 编辑server.conf

cp /etc/open***/server.conf{,.ori}

grep '^[^#;]' /etc/open***/server.conf.ori >/etc/open***/server.conf

 

vim /etc/open***/server.conf

port 1194

#改成tcp，默认使用udp，如果使用HTTP Proxy，必须使用tcp协议

proto tcp

dev tun

# 路径前面加keys，全路径为/etc/open***/keys/ca.crt

ca keys/ca.crt

cert keys/server.crt

key keys/server.key  # This file should be kept secret

dh keys/dh2048.pem

# 默认虚拟局域网网段，不要和实际的局域网冲突即可

server10.8.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt

# ×××服务器所在的内网的网段，读者应该根据自身实际情况进行修改

push"route 172.16.1.0 255.255.255.0"

# 可以让客户端之间相互访问直接通过open***程序转发，根据需要设置

client-to-client

# 如果客户端都使用相同的证书和密钥连接×××，一定要打开这个选项，否则每个证书只允许一个人连接×××

duplicate-cn

keepalive 10 120

tls-auth keys/ta.key 0 # This file is secret

comp-lzo

cipher AES-256-CBC

persist-key

persist-tun

# Open×××的状态日志，默认为/etc/open***/open***-status.log

status open***-status.log

# Open×××的运行日志，默认为/etc/open***/open***.log

log-append open***.log

# 改成verb 5可以多查看一些调试信息

verb 5

# explicit-exit-notify 1

 

2.11 配置内核和防火墙，启动服务

# 开启路由转发功能

sed -i'/net.ipv4.ip_forward/s/0/1/' /etc/sysctl.conf
sysctl -p

 

 

2.12   #配置防火墙，别忘记保存

[root@Centos6 2.0]# iptables -I INPUT -p tcp --dport 1194 -m comment--comment "open***" -j ACCEPT

[root@Centos6 2.0]# iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -jMASQUERADE

[root@Centos6 2.0]# /etc/init.d/iptables save

iptables: Saving firewall rules to/etc/sysconfig/iptables:[  OK  ]

 

 

2.13  # 启动open***并设置为开机启动

[root@Centos6 2.0]# /etc/init.d/open*** start

Starting open***:                                         [  OK  ]

[root@Centos6 2.0]# chkconfig open*** on

 

 

/usr/sbin/open***--config /etc/open***/server.conf &

 

 

 

 

 

 

 

 

 

 

 

 

第3章  创建客户端配置文件

 

# 复制一份client.conf模板命名为client.o***

[root@Centos6 2.0]# pwd

/usr/share/easy-rsa/2.0

 

cp/usr/share/doc/open***-2.3.14/sample/sample-config-files/client.conf client.o***

 

vim client.o***

client

dev tun

# 改为tcp

proto tcp

#Open×××服务器的外网IP和端口

remote10.0.0.61 1194

resolv-retry infinite

nobind

persist-key

persist-tun

caca.crt

#client1的证书

certclient1.crt

#client1的密钥

keyclient1.key

ns-cert-type server

tls-auth ta.key 1

comp-lzo

verb 3

 

 

备用参数

remote-cert-tls server

auth-user-pass pass.txt

 

 

第4章 Windows客户端安装及配置

4.1   下载安装Open×××

   Open××× 2.3.3 Windows 32位 安装文件：

   http://swupdate.open***.org/community/releases/open***-install-2.3.3-I002-i686.exe

   Open××× 2.3.3 Windows 64位 安装文件：

   http://swupdate.open***.org/community/releases/open***-install-2.3.3-I002-x86_64.exe

4.2  配置client

    将Open×××服务器上的client.o***、ca.crt、client1.crt、client1.key、ta.key上传到Windows客户端安装目录下的config文件夹（C:\Program Files\Open×××\config）

 

client.o***

[root@Centos6 2.0]#pwd

/usr/share/easy-rsa/2.0

[root@Centos6 2.0]#ls client.o***

client.o***

 

 

ca.crt 、ta.key

[root@Centos6 keys]# pwd

/etc/open***/keys

[root@Centos6 keys]# ls ca.crt ta.key

ca.crt ta.key

 

 

 

client1.crt、client1.key

[root@Centos6 keys]# pwd

/usr/share/easy-rsa/2.0/keys

[root@Centos6 keys]# ls client1.crt client1.key

client1.crt client1.key

 

4.3  启动Open××× GUI

    在电脑右下角的open***图标上右击，选择“Connect”。正常情况下应该能够连接成功，分配正常的IP。

 

4.4  测试

   ping通服务器的内网IP，说明已经接入到服务器的内部网络。

    到Open×××服务器上查看客户端的连接情况，查看状态文件/etc/open***/open***-status.log