1、安装配置证书软件
yum -y install easy-rsa openvpn mkdir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa rpm -ql easy-rsa #查看已安装的RPM包中名为 easy-rsa 的文件列表 cp -a /usr/share/easy-rsa/3.0.8/* . cp -a /usr/share/doc/easy-rsa-3.0.8/vars.example ./vars vim vars
set_var EASYRSA_DN "cn_only" set_var EASYRSA_REQ_COUNTRY "CN" set_var EASYRSA_REQ_PROVINCE "Beijing" set_var EASYRSA_REQ_CITY "Shanghai" set_var EASYRSA_REQ_ORG "dstms" set_var EASYRSA_REQ_EMAIL "master@dstms.com" set_var EASYRSA_NS_SUPPORT "yes"
2、创建证书
./easyrsa init-pki #1、初始化，在当前目录创建PKI目录，用于存储整数 ./easyrsa build-ca #2、创建根证书，会提示设置密码，用于ca对之后生成的server和client证书签名时使用，common name独一 Enter New CA Key Passphrase: #注意密码不能太短，我这边设置的是123456 Re-Enter New CA Key Passphrase: ./easyrsa gen-req server nopass #3、创建server端证书和私钥文件，nopass表示不加密私钥文件，common name独一 ./easyrsa sign server server #4、给server端证书签名，提示内容需要输入yes和创建ca根证书时候的密码 ./easyrsa gen-dh #5、创建Diffie-Hellman文件，密钥交换时的Diffie-Hellman算法 ./easyrsa gen-req client nopass #6、创建client端的证书和私钥文件，nopass表示不加密私钥文件，提示内容直接回车即可 ./easyrsa sign client client #7、给client端证书前面，提示内容输入yes和创建ca根证书时候的密码 tree #检查是否有ca根证书、客户端服务端证书、客户端服务端私钥
3、服务端配置文件
# OpenVPN应该监听哪个本地IP地址（可选） # 如果不设置，默认监听所有IP #local 0.0.0.0 # OpenVPN应该监听哪个端口(TCP/UDP) # 如果想在同一台计算机上运行多个OpenVPN实例，可以使用不同的端口号来区分它们 # 在防火墙上打开这个端口 port 12345 # 服务器使用TCP还是UDP协议 proto udp # 指定OpenVPN创建的通信隧道类型 # "dev tun"将会创建一个路由IP隧道 # "dev tap"将会创建一个以太网隧道 # 如果是以太网桥接模式，并且提前创建了一个名为"tap0"的与以太网接口进行桥接的虚拟接口，则你可以使用"dev tap0" # 如果想控制VPN的访问策略，必须为TUN/TAP接口创建防火墙规则 # 在非Windows系统中，可以给出明确的单位编号，如"tun0" # 在Windows中，也可以使用"dev-node" # 在大多数系统上，除非部分或完全禁用了TUN/TAP接口的防火墙，否则VPN将不起作用。 dev tun # 如果想配置多个隧道，需要用到网络连接面板中TAP-Win32适配器的名称(如"MyTap") # 在XP SP2或更高版本的系统中，可能需要有选择地禁用掉针对TAP适配器的防火墙 # 通常情况下，非Windows系统则不需要该指令。 #dev-node MyTap # 设置SSL/TLS根证书(ca)、证书(cert)和私钥(key)。 # 每个客户端和服务器端都需要它们各自的证书和私钥文件。 # 服务器端和所有的客户端都将使用相同的CA证书文件。 # # 通过easy-rsa目录下的一系列脚本可以生成所需的证书和私钥。 # 服务器端和每个客户端的证书必须使用唯一的Common Name。 # # 也可以使用遵循X509标准的任何密钥管理系统来生成证书和私钥。 # OpenVPN也支持使用一个PKCS #12格式的密钥文件(详情查看站点手册页面的"pkcs12"指令) ca /etc/openvpn/easy-rsa/pki/ca.crt #ca证书的位置 cert /etc/openvpn/easy-rsa/pki/issued/server.crt #服务端公钥的位置 key /etc/openvpn/easy-rsa/pki/private/server.key #服务端私钥的位置 # 迪菲·赫尔曼参数 dh /etc/openvpn/easy-rsa/pki/dh.pem #证书校验算法 # 网络拓扑结构 # 应该为子网(通过IP寻址) # 除非必须支持Windows客户端v2.0.9及更低版本(net30即每个客户端/30) # 默认为"net30"(不建议) #topology subnet # 设置服务器端模式，并提供一个VPN子网，以从中为客户端分配IP地址 # 本例中服务器端自身占用10.8.0.1，其他的将分配给客户端使用 # 每个客户端将能够通过10.8.0.1访问服务器 # 如果使用的是以太网桥接模式，注释掉本行。更多信息请查看官方手册页面。 server 10.1.1.0 255.255.255.0 #给客户端分配的地址池 # 在此文件中维护客户端与虚拟IP地址之间的关联记录 # 如果OpenVPN重启，重新连接的客户端可以被分配到先前分配的虚拟IP地址 ifconfig-pool-persist ipp.txt #地址池记录文件位置，未来让openvpn客户端固定ip地址使用的 # 该指令仅针对以太网桥接模式 # 首先，必须使用操作系统的桥接能力将以太网网卡接口和TAP接口进行桥接 # 然后，需要手动设置桥接接口的IP地址、子网掩码，这里假设为10.8.0.4和255.255.255.0 # 最后，必须指定子网的一个IP范围(例如从10.8.0.50开始，到10.8.0.100结束)，以便于分配给连接的客户端 # 如果不是以太网桥接模式，直接注释掉这行指令即可 #server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100 # 该指令仅针对使用DHCP代理的以太网桥接模式 # 此时客户端将请求服务器端的DHCP服务器，从而获得分配给它的IP地址和DNS服务器地址 # 在此之前，也需要先将以太网网卡接口和TAP接口进行桥接 # 注意：该指令仅用于OpenVPN客户端(如Windows)，并且该客户端的TAP适配器需要绑定到一个DHCP客户端上 #server-bridge # 推送路由信息到客户端，以允许客户端能够连接到服务器后的其他私有子网 # 即允许客户端访问VPN服务器可访问的其他局域网 # 记住，这些私有子网还需要将OpenVPN客户端地址池（10.8.0.0/255.255.255.0）路由回到OpenVPN服务器 #push "route 192.168.10.0 255.255.255.0" #push "route 192.168.20.0 255.255.255.0" push "route 10.0.8.0 255.255.255.0" # 如果启用该行指令，所有客户端的默认网关都将重定向到VPN # 这将导致诸如web浏览器、DNS查询等所有客户端流量都经过VPN # (为确保能正常工作，OpenVPN服务器所在计算机可能需要在TUN/TAP接口与以太网之间使用NAT或桥接技术进行连接) push "redirect-gateway def1 bypass-dhcp" # 某些具体的Windows网络设置可以被推送到客户端，例如DNS或WINS服务器地址 # 下列地址来自opendns.com提供的Public DNS服务器 #push "dhcp-option DNS 208.67.222.222" #push "dhcp-option DNS 208.67.220.220" push "dhcp-option DNS 208.67.222.222" # 去掉该行指令的注释将允许不同的客户端之间互相访问 # 默认情况，客户端只能访问服务器 # 为了确保客户端只能看见服务器，还可以在服务器端的TUN/TAP接口上设置适当的防火墙规则 client-to-client # 如果多个客户端可能使用相同的证书/私钥文件或Common Name进行连接，那么可以取消该指令的注释 # 建议该指令仅用于测试目的。对于生产环境使用而言，每个客户端都应该拥有自己的证书和私钥 # 如果没有为每个客户端分别生成Common Name唯一的证书/私钥，可以取消该行的注释(不推荐这样做) duplicate-cn # keepalive指令将导致类似于ping命令的消息被来回发送，以便于服务器端和客户端知道对方何时被关闭 # 每10秒钟ping一次，如果120秒内都没有收到对方的回复，则表示远程连接已经关闭 keepalive 10 120 # 选择一个密码加密算法，该配置项也必须复制到每个客户端配置文件中 # 注意，v2.4客户端/服务器将自动以TLS模式协商AES-256-GCM，请参阅手册中的ncp-cipher选项 #cipher AES-256-GCM # 对于与旧客户端兼容的压缩，使用comp-lzo # 如果在此启用，还必须在客户端配置文件中启用它 #comp-lzo # 允许并发连接的客户端的最大数量 max-clients 100 # 初始化后减少OpenVPN守护进程的权限是一个好主意 # 该指令仅限于非Windows系统中使用 user openvpn group openvpn # 持久化选项可以尽量避免访问那些在重启之后由于用户权限降低而无法访问的某些资源 persist-key #通过keepalive检测超时后，重新启动VPN，不重新读取 persist-tun #检测超时后，重新启动VPN，一直保持tun是linkup的，否则网络会先linkdown然后再linkup # 输出一个简短的状态文件，用于显示当前的连接状态，该文件每分钟都会清空并重写一次 status openvpn-status.log # 默认情况下，日志消息将写入syslog(在Windows系统中，如果以服务方式运行，日志消息将写入OpenVPN安装目录的log文件夹中) # 可以使用log或者log-append来改变这种默认设置 # "log"方式在每次启动时都会清空之前的日志文件 # "log-append"是在之前的日志内容后进行追加 # 你可以使用两种方式之一(不要同时使用) log /var/log/openvpn.log # 为日志文件设置适当的冗余级别(0~9) # 冗余级别越高，输出的信息越详细 # # 0 表示静默运行，只记录致命错误 # 4 表示合理的常规用法 # 5和6 可以帮助调试连接错误 # 9 表示极度冗余，输出非常详细的日志信息 verb 3 #允许使用自定义脚本 script-security 3 auth-user-pass-verify /etc/openvpn/checkpsw.sh via-env #指定认证脚本 username-as-common-name #用户密码登陆方式验证 verify-client-cert none
4、编写登录认证脚本文件
vim /etc/openvpn/checkpsw.sh
#!/bin/sh
###########################################################
# checkpsw.sh (C) 2004 Mathias Sundman <mathias@openvpn.se>
#
# This script will authenticate OpenVPN users against
# a plain text file. The passfile should simply contain
# one row per user with the username first followed by
# one or more space(s) or tab(s) and then the password.
PASSFILE="/etc/openvpn/openvpnpsw" #密码文件 用户名 密码明文
LOG_FILE="/var/log/openvpn-password.log" #用户登录情况的日志
TIME_STAMP=`date "+%Y-%m-%d %T"`
###########################################################
if [ ! -r "${PASSFILE}" ]; then
echo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >> ${LOG_FILE}
exit 1
fi
CORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}' ${PASSFILE}`
if [ "${CORRECT_PASSWORD}" = "" ]; then
echo "${TIME_STAMP}: User does not exist: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
exit 1
fi
if [ "${password}" = "${CORRECT_PASSWORD}" ]; then
echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}
exit 0
fi
echo "${TIME_STAMP}: Incorrect password: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
exit 15、创建用户密码，空格为分割符
vim /etc/openvpn/openvpnpsw
6、给脚本执行权限
chmod +x /etc/openvpn/checkpsw.sh chown -R openvpn.openvpn /etc/openvpn/*
7、启动并检查端口
systemctl start openvpn@server
systemctl enable openvpn@server
Created symlink from /etc/systemd/system/multi-user.target.wants/openvpn@server.service to /usr/lib/systemd/system/openvpn@.service.
ip a s tun0 #查看网段
4: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 100
link/none
inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0
valid_lft forever preferred_lft forever
inet6 fe80::b1:7ea6:1178:8a1a/64 scope link flags 800
valid_lft forever preferred_lft forever
ss -lntup|grep 1194 #检查端口
udp UNCONN 0 0 *:1194 *:* users:(("openvpn",pid=47104,fd=6))
ps -ef|grep openvpn #检查pid
root 47104 1 0 10:59 ? 00:00:00 /usr/sbin/openvpn --cd /etc/openvpn/ --config server.conf
root 47202 40565 0 11:01 pts/0 00:00:00 grep --color=auto openvpnTAGS：暂无标签
- Pve安装
- 没有了
大家在说（暂无评论) 添加评论