公司里搭建的服务端都是服务器ESXi虚拟化后，新建一台RockyLinux虚拟机然后搭建。感觉这种allinone的感觉还是不太好。一挂全挂。
搜网上的轻量廉价方案。原生系统支持ubuntu。改的N1之类的不在考虑范围。不外乎以下几种：
x86方案，目前最便宜的r2s，价格300。
arm方案，arm64可以as版（ubuntu系统），armhf/arm7以下的系统可以使用giggio/openvpn-arm的docker镜像。这个可选的是树莓派，香橙派 各种派。由于树莓派已经成了理财产品，香橙派是个不错的替代。
树莓派各版本网上一搜基本可以知道arm版本是32位还是64位。香橙派也没有什么好地方查，只能先挨个查芯片，看芯片是什么arm型号。懒得查了，树莓派知道4b才出arm64，arm64肯定比32贵。所以低版本肯定是32位的。直接看看什么版本带网口就行了。
某鱼搜索一番160拿下 香橙派One 包含板子+SD卡+电源+风扇+透明壳+电源适配器+蓝牙usb适配器。鱼主本来按游戏机卖的，里面刷了retropie，闲聊两句轻松拿下。
回来第一件事，刷ubuntu系统
1.系统下载
下载地址：http://www.orangepi.cn/html/hardWare/computerAndMicrocontrollers/service-and-support/Orange-pi-One.html
下载 选择ubuntu镜像，网页会给一个百度网盘地址，进去下载server版的最新版就行。我下载的是Orangepione_2.0.8_ubuntu_focal_server_linux5.4.65.7z
2.安装系统
使用USB读卡器插上SD卡，软件准备两个工具SD Card Formatter和Win32DiskImager，第一个用于格式化SD卡，第二个用于镜像烧录。软件操作还是比较简单的。执行完格式化和烧录，系统就安装完成了
3.系统初始化和连接
首次系统初始化会自动resize分区操作，df -h看到的是SD卡容量大小。不需要手动扩容分区。想起10年前树莓派安完还需要手动扩分区操作。不得不说考虑还挺周到。连上网线后可以通过路由器查看香橙派的ip，没有路由器的可以用arp -a逐个尝试列表的ip
ssh登录默认账号密码 orangepi/orangepi
4.安装docker和docker-compose
4.1安装前先查询系统架构
命令 arch
orangepi@orangepione:~$ arch
armv7l
这里的架构是arm7 32位架构
4.2安装docker
方式一，直接下载tgz包解压安装
下载地址
https://download.docker.com/linux/static/stable/armhf/docker-20.10.7.tgz
方式二，下载deb包安装
下载地址：
https://download.docker.com/linux/ubuntu/dists/xenial/pool/stable/amd64/
下载里面的
docker-ce-cli_20.10.7_3-0_ubuntu-xenial_armhf.deb
containerd.io_1.4.6-1_armhf.deb
docker-ce_20.10.7_3-0_ubuntu-xenial_armhf.deb
安装使用dpkg -i *.deb即可
验证安装命令
docker version
4.3安装docker-compose
下载二进制文件docker-compose-linux-armv7
下载地址：https://github.com/docker/compose/releases/
下载最新版的docker-compose-linux-armv7就可以
安装命令
#拷贝到/usr/local/bin/目录
cp docker-compose-linux-armv7 /usr/local/bin/docker-compose
#可执行权限
chmod +x /usr/local/bin/docker-compose
#查看版本
docker-compose version
5.安装openvpn
这里安装docker版
下载地址:https://hub.docker.com/r/giggio/openvpn-arm
安装命令按照quickstart来就行
命名数据卷变量 $OVPN_DATA
OVPN_DATA="ovpn-data"
初始化数据卷 $OVPN_DATA生成服务器证书，VPN.SERVERNAME.COM这个地方改成你的ip或者域名
docker volume create --name $OVPN_DATA
docker run -v $OVPN_DATA:/etc/openvpn --rm giggio/openvpn-arm ovpn_genconfig -u udp://VPN.SERVERNAME.COM
docker run -v $OVPN_DATA:/etc/openvpn --rm -it giggio/openvpn-arm ovpn_initpki nopass
启动 OpenVPN服务
docker run -v $OVPN_DATA:/etc/openvpn -d --name openvpn -p 1194:1194/udp --cap-add=NET_ADMIN giggio/openvpn-arm
生成客户端证书，客户端名CLIENTNAME改成你自己想要的名
docker run -v $OVPN_DATA:/etc/openvpn --rm -it giggio/openvpn-arm easyrsa build-client-full CLIENTNAME nopass
导出客户端配置文件
docker run -v $OVPN_DATA:/etc/openvpn --rm giggio/openvpn-arm ovpn_getclient CLIENTNAME > CLIENTNAME.ovpn
6.客户端连接验证
如果是局域网下搭建的，手机电脑导入CLIENTNAME.ovpn即可连接验证。
7.其他个性化配置
7.1改成TCP协议
默认情况下监听的是udp1194端口，如果需要改成TCP端口，需要修改上面的几个初始化命令
#-u指定协议和端口
docker run -v $OVPN_DATA:/etc/openvpn --rm giggio/openvpn-arm ovpn_genconfig -u tcp://192.168.1.19:11194
#初始化证书 不变
docker run -v $OVPN_DATA:/etc/openvpn --rm -it giggio/openvpn-arm ovpn_initpki nopass
#-内部始终使用1194端口，把外部端口改成我们想要的端口即可
docker run -v $OVPN_DATA:/etc/openvpn -d -p 11194:1194/tcp --cap-add=NET_ADMIN giggio/openvpn-arm
7.2只允许访问部分网段。
默认情况下的配置是所有网段包括互联网流量都走VPN，这种情况我们可以通过拆分隧道(split tunnel)实现。官网只给了命令没给实例。
如果我们只需要192.168.1.0/24走VPN，其他流量从客户端走。上面的配置修改如下
docker run -v $OVPN_DATA:/etc/openvpn --rm giggio/openvpn-arm ovpn_genconfig -N -d -p "route-nopull" -p "route 192.168.1.0 255.255.255.0 vpn_gateway" -p "route 0.0.0.0 0.0.0.0 net_gateway" -u tcp://192.168.1.19:11194
注意关键命令
-N -d -p "route-nopull" -p "route 192.168.1.0 255.255.255.0 vpn_gateway" -p "route 0.0.0.0 0.0.0.0 net_gateway"
命令有没有可能进一步精简目前还有待研究
