CC00024.NavigationLog——|Open网络2.4.9服务端/客户端部署/本地client配置/连接成功测试|

一、VPN概述

vpn虚拟专用网络,是依靠isp和其他NSP，在公共网络中建立专用的数据通信网络的技术，可以为企业之间或者个人与企业之间提供安全的数据传输隧道服务。在VPN中任意两点之间的连接并没有传统专网所需的端到端的物理链路，而是利用公共网络资源动态组成的，可以理解为通过私有的隧道技术在公共数据网络上模拟出来的和专网有同样功能的点到点的专线技术，所谓虚拟是指不需要去使用实际的长途物理线路，而是借用Internet公共网络实现。

• OpenVPN是一个用于创建虚拟专用网络加密通道的软件包，最早由James Yonan编写。OpenVPN允许创建的VPN使用公开密钥、电子证书、或者用户名／密码来进行身份验证。
• 它大量使用了OpenSSL加密库中的SSLv3/TLSv1协议函数库。
• 目前OpenVPN能在Solaris、Linux、OpenBSD、FreeBSD、NetBSD、Mac OS X与Microsoft Windows以及Android和iOS上运行，并包含了许多安全性的功能。它并不是一个基于Web的VPN软件，也不与IPsec及其他VPN软件包兼容。

1、openvpn可以解决什么问题

openvpn能让我们在环境隔离的场景中像在隔离环境的内网上远程登录集群中其他的服务器主机,比如我们在阿里云环境中创建基于VPC不同网络正式环境,测试环境，自动化工具平台环境等,我们就可以利用openvpn这样的基础服务打通测试环境和生产环境与自动化工具平台环境之间的通信,这样既隔离了测试与生产环境又能通过持续集成和持续部署完成业务的上下线。

2、openvpn实现原理：

OpenVPN的技术核心是虚拟网卡，其次是SSL协议实现。
OpenVPN中的虚拟网卡

虚拟网卡是使用网络底层编程技术实现的一个驱动软件。安装此类程序后主机上会增加一个非真实的网卡，并可以像其它网卡一样进行配置。服务程序可以在应用层打开虚拟网卡，如果应用软件（如网络浏览器）向虚拟网卡发送数据，则服务程序可以读取到该数据。如果服务程序写合适的数据到虚拟网卡，应用软件也可以接收得到。虚拟网卡在很多的操作系统中都有相应的实现，这也是OpenVPN能够跨平台使用的一个重要原因。

在OpenVPN中，如果用户访问一个远程的虚拟地址（属于虚拟网卡配用的地址系列，区别于真实地址），则操作系统会通过路由机制将数据包（TUN模式）或数据帧（TAP模式）发送到虚拟网卡上，服务程序接收该数据并进行相应的处理后，会通过SOCKET从外网上发送出去。这完成了一个单向传输的过程，反之亦然。当远程服务程序通过SOCKET从外网上接收到数据，并进行相应的处理后，又会发送回给虚拟网卡，则该应用软件就可以接收到。

3、如何保证openvpn负载高可用性

• 通过客户端多配置文件实现负载：如果同一个办公室人员使用openvpn访问环境,我们可以通过使用多个openvpn server来避免流量拥堵，此时我们可以在openvpn server上将服务的配置文件拷贝到其他的服务器上，使用不同的IP地址启动另外一个openvpn server,这样我们本地可以使用不同的配置文件来避免openvpn的访问慢流量拥堵的问题。

• 通过使用remote-random实现负载：和多配置文件一样需要多个Openvpn server端完成该方案，但是这个方案显得更智能，客户端不在需要手动的去选择使用哪个配置文件来连接哪个openvpnserver，这些Openvpn GUI自动的帮你实现，你只需要在客户端的配置文件中添加 remote-random和多个 remote配置段即可

4、加密和身份验证

• 加密：OpenVPN使用OpenSSL库来加密数据与控制信息。这意味着，它能够使用任何OpenSSL支持的算法。它提供了可选的数据包HMAC功能以提高连接的安全性。此外，OpenSSL的硬件加速也能提高它的性能。2.3.0以后版本引入PolarSSL。

• 身份验证：OpenVPN提供了多种身份验证方式，用以确认连接双方的身份，最常用的有以下三种：

预享私钥
第三方证书
用户名／密码组合

• 预享密钥最为简单，但同时它只能用于创建点对点的VPN；基于PKI的第三方证书提供了最完善的功能，但是需要额外维护一个PKI证书系统。OpenVPN2.0后引入了用户名／口令组合的身份验证方式，它可以省略客户端证书，但是仍需要一份服务器证书用作加密。

二、openvpn部署流程及环境要求：
1、部署流程：

• 安装lzo,用于压缩通讯数据加快传输速度, 编译安装的lzo,需要在编译安装openvpn时候指定lzo的位置
• 安装openvpn和easy-rsa, esay-rsa是用来生成ca根证书和服务端客户端的证书以及通信key
• 生成服务端证书
• 生成客户端用户签署证书
• 生成迪菲・赫尔曼密钥，会生成dh2048.pem文件
• 生成防止ddos攻击key文件

2、环境要求：

• 服务端：Centos7.6-1810
• 客户端：Windows10
• openvpn版本：OpenVPN 2.4.9 x86_64-redhat-linux-gnu
• easy-rsa版本：easy-rsa-3.0.5

3、在GitHub上下载最新版本的easy-rsa：https://github.com/OpenVPN/easy-rsa