一、安装软件
yum install -y openvpn easy-rsa supervisor #（openvpn 版本为 3）
二、使用 easy-rsa 生成 server 端证书
- 拷贝 easy-rsa 到一个新目录
cp -R /usr/share/easy-rsa/ /etc/openvpn/key_server # 生成服务器端证书是会污染easy-rsa目录
#因此，服务器端证书和和客户端证书要放到不同的目录
easy-rsa 目录结构
- 配置 vars 文件，文件位置在
/etc/openvpn/key_server/3.0.3下，各参数自行修改
export KEY_COUNTRY="CN"
export KEY_PROVINCE="Zhe Jiang"
export KEY_CITY="Hang Zhou"
export KEY_ORG="Organization Name"
export KEY_EMAIL="admin@xxx.com"
export KEY_CN=admin@xxx.cc
export KEY_NAME=server
export KEY_OU=server
- 生成证书
cd /etc/openvpn/key_server/3.0.3
./easyrsa init-pki #建立一个空的pki结构，生成一系列的文件和目录
./easyrsa build-ca #创建 ca 密码 和 cn 密码需要记住
./easyrsa gen-req server nopass #创建服务端证书
./easyrsa sign server server #签约服务端证书，会用到刚才输入的密码
./easyrsa gen-dh # 创建Diffie-Hellman，时间较长
生成 pki 目录
生成 ca，记住输入的密码
创建服务器端证书
签约服务端证书，输入刚才使用的密码
三、使用 easy-rsa 生成 client 端证书
- 拷贝 easy-rsa 到一个新目录
cp -R /usr/share/easy-rsa/ /etc/openvpn/key_client
- 拷贝刚才使用的
vars文件 - 生成客户端证书
#开始生成
./easyrsa init-pki
./easyrsa gen-req lcs# 用自己的名字，嫌麻烦的话可以设置为和服务器端一样的密码
# Common Name 不能和服务器端设置的一样，否则第四步会报以下错误 "failed to update database"
四、客户端和服务端证书进行签约
cd /etc/openvpn/key_server/3
./easyrsa import-req /etc/openvpn/key_client/3/pki/reqs/lcs.req lcs
./easyrsa sign client lcs
五、VPN Server端配置
复制证书文件到配置目录
cp /etc/openvpn/key_server/3/pki/ca.crt /etc/openvpn/keys
cp /etc/openvpn/key_server/3/pki/private/server.key /etc/openvpn/keys
cp /etc/openvpn/key_server/3/pki/issued/server.crt /etc/openvpn/keys
cp /etc/openvpn/key_server/3/pki/dh.pem /etc/openvpn/keys/dh2048.pem
# /etc/openvpn/server.conf
local {listen address}
port 1194
proto udp
dev tun
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key # This file should be kept secret
dh /etc/openvpn/keys/dh2048.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
keepalive 10 120
cipher AES-256-CBC
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
verb 3
explicit-exit-notify
启动 openvpn 服务端
/usr/sbin/openvpn --status /var/log/openvpn-server/server.log --status-version 2 --suppress-timestamps --config /etc/openvpn/server.conf
用 supervisor 控制服务器端的启动
[program:vpn]
command=/usr/sbin/openvpn --status-version 2 --suppress-timestamps --config /etc/openvpn/server.conf
startsecs = 5
autorestart = true
startretries = 3
user = root
redirect_stderr = true
stdout_logfile_maxbytes = 20MB
stdout_logfile_backups = 5
stdout_logfile = /var/log/supervisord/vpn_stdout.log
六、服务器端防火墙配置（防火墙要开启，不然连不到局域网中的服务器）
systemctl start firewalld.service
systemctl enable firewalld.service
firewall-cmd --add-service openvpn
firewall-cmd --permanent --add-service
firewall-cmd --list-services
firewall-cmd --add-masquerade
firewall-cmd --permanent --add-masquerade
firewall-cmd --query-masquerade
# 防火墙用 iptables 时使用以下配置
iptables -A INPUT -p tcp --destination-port 1194 -j ACCEPT
iptables -A INPUT -i tun0 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.85.0/24 -j SNAT --to-source 10.10.10.167
开启 IP 转发
# vi /etc/sysctl.conf
net.ipv4.ip_forward = 1
sysctl -p
七、客户端配置
- Linux 客户端配置
- 复制客户端使用的秘钥文件
mkdir client && cd client
cp /etc/openvpn/key_server/3/pki/issued/lcs.crt .
cp /etc/openvpn/key_server/3/pki/ca.crt .
cp /etc/openvpn/key_client/3/pki/private/lcs.key .
mv lcs.crt client.crt
mv lcs.key client.key
cp -a ./* /etc/openvpn/client
- 配置客户端使用的配置文件
client
dev tun
proto udp
remote {address} {port}
resolv-retry infinite
nobind
user nobody
group nobody
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
remote-cert-tls server
cipher AES-256-CBC
verb 3
启动客户端
/usr/sbin/openvpn --suppress-timestamps --nobind --config /etc/openvpn/client/client.ovpn
- Windows 客户端配置
- 下载Windows版openvpn进行安装 https://swupdate.openvpn.org/community/releases/openvpn-install-2.4.6-I602.exe（地址被墙了，使用Linux香港主机wget下载）
- 打包下载 Linux 服务器端的配置目录
/etc/openvpn/client -
打开 Windows 上的 openvpn，看下配置目录在哪里，然后把 client 目录下的文件全部拷贝到那个目录里
- 退出重新启动 vpn 即可进行连接
