发布于 由赵, 三宝

openvpn的安装

阿里云ESC部署OpenVPN文档

OPENVPNserver：

内网地址：172.17.244.130

打开阿里云安全组的1194/udp端口

CAserver：

内网地址：172.17.244.131

操作系统均为ubuntu18.04

基础软件准备

apt install openvpn
wget -P ~/ https://github.com/OpenVPN/easy-rsa/releases/download/v3.0.4/EasyRSA-3.0.4.tgz
cd ~
tar xvf EasyRSA-3.0.4.tgz

配置easyrsa并搭建CA服务器

登录CAserver

cd ~/EasyRSA-3.0.4/
cp vars.example vars

编辑vars文件

#set_var EASYRSA_REQ_COUNTRY    "US"
#set_var EASYRSA_REQ_PROVINCE   "California"
#set_var EASYRSA_REQ_CITY       "San Francisco"
#set_var EASYRSA_REQ_ORG        "Copyleft Certificate Co"
#set_var EASYRSA_REQ_EMAIL      "me@example.net"
#set_var EASYRSA_REQ_OU         "My Organizational Unit"

修改成公司对应的信息

使用easyrsa脚本，构建管理各种任务

./easyrsa init-pki

输出如下：

init-pki complete; you may now create a CA or requests.
Your newly created PKI dir is: /home/sammy/EasyRSA-3.0.4/pki

使用build-ca选项调用easyrsa脚本。 这将构建CA并创建两个重要文件 – ca.crt和ca.key – 构成SSL证书。其中ca.crt是CA的公共证书文件，ca.key是CA机器用于为服务器和客户端签名密钥和证书的私钥。

命令如下：

./easyrsa build-ca nopass

输出如下：

Common Name (eg: your user, host, or server name) [Easy-RSA CA]:

选择默认即可

CA服务器部署完成

配置并搭建VPNserver

登录VPNserver

cd ~/EasyRSA-3.0.4/
./easyrsa init-pki

为了确保不出现权限及路径等等，都以默认选项为主，选择nopass模式

./easyrsa gen-req server nopass

为服务器和一个名为server.req的证书请求文件创建一个私钥。 将服务器密钥复制到/etc/openvpn/目录中：

cp ~/EasyRSA-3.0.4/pki/private/server.key /etc/openvpn/

将server.req传输到CAserver

scp ~/EasyRSA-3.0.4/pki/reqs/server.req CAserver:/tmp

登入CAserver

cd ~/EasyRSA-3.0.4/

在CAserver导入server.req文件

./easyrsa import-req /tmp/server.req server

通过使用sign-req选项运行easyrsa脚本，然后签署请求类型和公用名称，对于VPNserver来说，需要用server选项，其中，请求类型可以是client或者server

./easyrsa sign-req server server

输出如下：

You are about to sign the following certificate.
Please check over the details shown below for accuracy. Note that this request
has not been cryptographically verified. Please be sure it came from a trusted
source or that you have verified the request checksum with the sender.
​
Request subject, to be signed as a server certificate for 3650 days:
​
subject=
    commonName                = server
​
​
Type the word 'yes' to continue, or any other input to abort.
  Confirm request details: yes

输入yes

将生成的证书传递回VPNserver

scp pki/issued/server.crt VPNserver:/tmp
scp pki/ca.crt VPNserver:/tmp

返回VPNserver

cp /tmp/{server.crt,ca.crt} /etc/openvpn/

进入EasyRSA目录：

cd ~/EasyRSA-3.0.4/

创建Diffie-Hellman密钥

./easyrsa gen-dh

生成一个HMAC签名以加强服务器的TLS完整性验证功能

openvpn --genkey --secret ta.key

将这两个新文件复制到/etc/openvpn/目录中

cp ~/EasyRSA-3.0.4/ta.key /etc/openvpn/
cp ~/EasyRSA-3.0.4/pki/dh.pem /etc/openvpn/

生成客户端证书和密钥对

我们可以创建一个脚本，它将自动生成包含所有必需密钥和证书的客户端配置文件

先手工创建一个客户端密钥和证书对，假设证书/密钥对名称为client1

登入VPNserver

mkdir -p ~/client-configs/keys
chmod -R 700 ~/client-configs

进入到EasyRSA目录并使用gen-req和nopass选项运行easyrsa脚本

cd ~/EasyRSA-3.0.4/
./easyrsa gen-req client1 nopass

将client1.key文件复制到之前创建的/client-configs/keys/目录中

cp pki/private/client1.key ~/client-configs/keys/

将client1.req文件传输到您的CA机器

scp pki/reqs/client1.req CAserver:/tmp

登入CAserver

导入证书请求

cd ~/EasyRSA-3.0.4/
./easyrsa import-req /tmp/client1.req client1

进行签名，选择client

./easyrsa sign-req client client1
Type the word 'yes' to continue, or any other input to abort.
  Confirm request details: yes

输入yes

这将创建一个名为client1.crt的客户端证书文件。 将该文件传回服务器

scp pki/issued/client.crt VPNserver:/tmp

登入VPNserver

cp /tmp/client1.crt ~/client-configs/keys/

将ca.crt和ta.key文件复制到/client-configs/keys/目录中

cp ~/EasyRSA-3.0.4/ta.key ~/client-configs/keys/
cp /etc/openvpn/ca.crt ~/client-configs/keys/

配置OPENVPN服务

将示例OpenVPN配置文件复制到配置目录中，然后解压缩以作为安装的基础

cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/
gzip -d /etc/openvpn/server.conf.gz

编辑server.conf文件

查找tls-auth指令来查找HMAC部分。 此行应该已被取消注释，但如果不是，则删除“ ; ”以取消注释。 在该行下方，添加key-direction参数，设置为“0”

tls-auth ta.key 0 # This file is secret
key-direction 0

查找注释掉的cipher行来查找加密密码部分，删除“;”，取消注释

cipher AES-256-CBC

在此之下，添加一个auth指令来选择HMAC消息摘要算法，源文件是dh dh2048.pem

dh dh.pem

找到user和group设置，并在每个开始处删除“ ; ”以取消注释这些行

user nobody
group nogroup

增加VPNserver路由转发功能

/etc/sysctl.conf

增加如下配置

net.ipv4.ip_forward=1

使配置生效

sysctl -p

修改server.conf，推送内网地址到客户端

push "route 172.17.0.0 255.255.0.0"

增加iptables规则

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

创建iptables配置文件的文件夹

mkdir /etc/iptables

保存配置文件

iptables-save > /etc/iptables/rules.v4

修改/etc/iptables/rules.v4，仅保留如下内容

*nat
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
COMMIT

安装自动恢复路由表的软件

apt-get install iptables-persistent

查看iptables路由表

iptables -nL -t nat

启用OpenVPN服务

通过在systemd单元文件名后指定配置文件名作为实例变量来启动OpenVPN服务器

systemctl start openvpn@server

查看服务状态

● openvpn@server.service - OpenVPN connection to server
   Loaded: loaded (/lib/systemd/system/openvpn@.service; indirect; vendor preset: enabled)
   Active: active (running) since Sun 2021-01-31 16:16:38 CST; 6min ago
     Docs: man:openvpn(8)
           https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage
           https://community.openvpn.net/openvpn/wiki/HOWTO
 Main PID: 805 (openvpn)
   Status: "Initialization Sequence Completed"
    Tasks: 1 (limit: 4915)
   CGroup: /system.slice/system-openvpn.slice/openvpn@server.service
           └─805 /usr/sbin/openvpn --daemon ovpn-server --status /run/openvpn/server.status 10 --cd /etc/openvpn --script-security 2 --config /etc/openvpn/server.conf --writepid /run/openvpn/server.pid

Jan 31 16:16:38 iZ2ze0i59st92lrx3gwcnpZ ovpn-server[805]: UDPv4 link remote: [AF_UNSPEC]
Jan 31 16:16:38 iZ2ze0i59st92lrx3gwcnpZ ovpn-server[805]: GID set to nogroup
Jan 31 16:16:38 iZ2ze0i59st92lrx3gwcnpZ ovpn-server[805]: UID set to nobody
Jan 31 16:16:38 iZ2ze0i59st92lrx3gwcnpZ ovpn-server[805]: MULTI: multi_init called, r=256 v=256
Jan 31 16:16:38 iZ2ze0i59st92lrx3gwcnpZ ovpn-server[805]: IFCONFIG POOL: base=10.8.0.4 size=62, ipv6=0
Jan 31 16:16:38 iZ2ze0i59st92lrx3gwcnpZ ovpn-server[805]: ifconfig_pool_read(), in='client1,10.8.0.4', TODO: IPv6
Jan 31 16:16:38 iZ2ze0i59st92lrx3gwcnpZ ovpn-server[805]: succeeded -> ifconfig_pool_set()
Jan 31 16:16:38 iZ2ze0i59st92lrx3gwcnpZ ovpn-server[805]: IFCONFIG POOL LIST
Jan 31 16:16:38 iZ2ze0i59st92lrx3gwcnpZ ovpn-server[805]: client1,10.8.0.4
Jan 31 16:16:38 iZ2ze0i59st92lrx3gwcnpZ ovpn-server[805]: Initialization Sequence Completed

设置OpenVPN自启动

systemctl enable openvpn@server

创建客户端配置基础架构

登入VPNSERVER

将客户端配置文件存储在之前创建的client-configs目录中

mkdir -p ~/client-configs/files

将示例客户端配置文件复制到client-configs目录中以用作基本配置

cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf ~/client-configs/base.conf

编辑base.conf

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
### 修改以下内容 ###
remote VPNserverIP/域名 1194
### 注释掉以下内容 ###
user nobody
group nogroup
### 注释掉以下内容 ###
#ca ca.crt
#cert client.crt
#key client.key
### 增加以下内容 ###
cipher AES-256-CBC
auth SHA256
### 末尾追加一条 ###
key-direction 1
### 再为linux客户端准备一些配置项，保留注释状态 ###
# script-security 2
# up /etc/openvpn/update-resolv-conf
# down /etc/openvpn/update-resolv-conf

创建一个简单的脚本，它将使用相关的证书，密钥和加密文件编译您的基本配置，然后将生成的配置置于~/client-configs/files目录中

vim ~/client-configs/make_config.sh

添加以下内容

#!/bin/bash

# First argument: Client identifier

KEY_DIR=~/client-configs/keys
OUTPUT_DIR=~/client-configs/files
BASE_CONFIG=~/client-configs/base.conf

cat ${BASE_CONFIG} \
    <(echo -e '<ca>') \
    ${KEY_DIR}/ca.crt \
    <(echo -e '</ca>\n<cert>') \
    ${KEY_DIR}/${1}.crt \
    <(echo -e '</cert>\n<key>') \
    ${KEY_DIR}/${1}.key \
    <(echo -e '</key>\n<tls-auth>') \
    ${KEY_DIR}/ta.key \
    <(echo -e '</tls-auth>') \
    > ${OUTPUT_DIR}/${1}.ovpn

修改make_config.sh的权限

chmod 700 ~/client-configs/make_config.sh

生成客户端配置

在生成客户端证书和密钥对时，我们已经创建了client1的客户端证书及密钥对。使用该客户端证书及密钥对来生成配置文件

cd ~/client-configs
sudo ./make_config.sh client1

在~/client-configs/files目录下创建了client1.ovpn

把这个文件拷贝到客户端

WINDOWS客户端使用

从https://openvpn.net/community-downloads/下载windows客户端并安装（使用默认路径）

把client1.ovpn文件拷贝到C:\Program Files\OpenVPN\config

以管理员身份运行运行OpenVPN客户端，选择yes，连接即可。

废除证书

登入CAserver

cd EasyRSA-3.0.4/
./easyrsa revoke client1
Type the word 'yes' to continue, or any other input to abort.
  Continue with revocation: yes

输入yes

在CAserver上生成废除列表

./easyrsa gen-crl

将该列表文件cp至VPNserver

scp ~/EasyRSA-3.0.4/pki/crl.pem VPNserver:/tmp

登入VPNserver

cp /tmp/crl.pem /etc/openvpn

编辑server.conf，增加如下行：

crl-verify crl.pem

最后，重启vpnserver

systemctl restart openvpn@server

如果需要增加废除的证书，重复以上步骤即可。

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注