服务端: centos
客户端: windows
一、服务端配置
-
安装证书软件
- 下载 easy-rsa
yum -y install easy-rsa
mkdir /opt/easy-rsa
rpm -ql easy-rsa
cd /opt/easy-rsa
cp -a /usr/share/easy-rsa/3.0.8/* .
cp -a /usr/share/doc/easy-rsa-3.0.8/vars.example ./vars
- 编辑vars文件
if [ -z "$EASYRSA_CALLER" ]; then
echo "You appear to be sourcing an Easy-RSA
'vars' file." >&2
echo "This is no longer necessary and is
disallowed. See the section called" >&2
echo "'How to use this file' near the top
comments for more details." >&2
return 1
fi
set_var EASYRSA_DN "cn_only"
set_var EASYRSA_REQ_COUNTRY "CN"
set_var EASYRSA_REQ_PROVINCE "[省份]"
set_var EASYRSA_REQ_CITY "[城市]"
set_var EASYRSA_REQ_ORG "[源，随便命名]"
set_var EASYRSA_REQ_EMAIL "[邮箱地址]"
set_var EASYRSA_NS_SUPPORT "yes"
- 安装证书
./easyrsa init-pki #初始化，在当前目录创建PKI目录，用于存储整数
./easyrsa build-ca #创建根证书，会提示设置密码，用于ca对之后生成的server和client证书签名时使用，其他提示内容直接回车即可
./easyrsa gen-req server nopass #创建server端证书和私钥文件，nopass表示不加密私钥文件，提示内容直接回车即可
./easyrsa sign server server #给server端证书签名，提示内容需要输入yes和创建ca根证书时候的密码
./easyrsa gen-dh #创建Diffie-Hellman文件，密钥交换时的Diffie-Hellman算法
./easyrsa gen-req client nopass #创建client端的证书和私钥文件，nopass表示不加密私钥文件，提示内容直接回车即可
./easyrsa sign client client #给client端证书前面，提示内容输入yes和创建ca根证书时候的密码
安装完毕，注意检查是否有ca根证书、客户端和服务端证书、客户端服务端私钥（ca根证书，客户端证书，以及客户端私钥是要在部署客户端的时候使用的）
- 下载证书到本地
本地ssh下载文件
scp [用户名]@[服务器地址]:/opt/easy-rsa/pki/ca.crt .
scp [用户名]@[服务器地址]:/opt/easy-rsa/pki/private/client.key .
scp [用户名]@[服务器地址]:/opt/easy-rsa/pki/issued/client.crt .
-
安装openvpn
- 下载openvpn
yum -y install openvpn #或者选择rpm包安装
touch /etc/openvpn/server.conf
- 编辑server.conf
port 1194 #端口，确保端口可以访问
proto udp #协议
dev tun #采用路由隧道模式
ca /opt/easy-rsa/pki/ca.crt #ca证书的位置
cert /opt/easy-rsa/pki/issued/server.crt #服务端公钥的位置
key /opt/easy-rsa/pki/private/server.key #服务端私钥的位置
dh /opt/easy-rsa/pki/dh.pem #证书校验算法
server [子网网络段] [子网掩码] #给客户端分配的地址池，注意不要和服务端网络段以及客户端本地网段端重复
push "route [服务端内网网络段] [掩码]" #允许客户端访问的内网网段
#push "redirect-gateway def1 bypass-dhcp" #自动推送客户端上的网关及DHCP,此项开启了流量转发,有这项才能使用服务器代理上网
#push "dhcp-option DNS [子网网关]" #OpenVPN的DHCP功能为客户端提供指定的 DNS、WINS等
ifconfig-pool-persist ipp.txt #地址池记录文件位置，未来让openvpn客户端固定ip地址使用的
keepalive 10 120 #存活时间，10秒ping一次，120秒如果未收到响应则视为短线
max-clients 100 #最多允许100个客户端连接
status /var/log/openvpn-status.log #日志位置，记录openvpn状态
log /var/log/openvpn.log #openvpn日志记录位置
verb 3 #openvpn版本
client-to-client #允许客户端与客户端之间通信
persist-key #通过keepalive检测超时后，重新启动VPN，不重新读取
persist-tun #检测超时后，重新启动VPN，一直保持tun是linkup的，否则网络会先linkdown然后再linkup
duplicate-cn #客户端密钥（证书和私钥）是否可以重复
comp-lzo #启动lzo数据压缩格式
此时开启了证书私钥复用，那么ipp.txt就会为空
-
启用服务
systemctl start openvpn@server
#或者
openvpn /etc/openvpn/server.conf &
二、客户端配置
-
安装openvpn gui
下载链接：https://community.openvpn.net/openvpn/wiki/Downloads
- 创建client.ovpn
client
dev tun
proto udp
remote [服务器地址] 1194
resolv-retry infinite
nobind
ca ca.crt
cert client.crt
key client.key
verb 3
persist-key
persist-tun
comp-lzo
- 导入文件
将ca.crt client.key client.crt 以及刚刚创建的client.ovpn放入config目录下的client文件夹下
如果openvpn直接安装C盘，那么config目录在openvpn.exe的同级目录下；如果不是安装在C盘，那么config在C:\Users\[用户]\OpenVPN
- 配置服务内网连接
打开cmd，执行
route -p add [服务端内网网关] mask [服务端内网子网掩码] [服务端内网地址]
添加完毕之后，本地就能ping通服务端内网地址
- 启动服务
运行openvpn，右键点击连接
三、其他
- 客户端通信
windows客户端之间的访问，需要开启ICMP通信
打开cmd，执行
netsh advfirewall firewall add rule name="Allow ICMPv4-In" protocol=icmpv4:8,any dir=in action=allow
此时根据openvpn网络段，服务端能ping通客户端，且客户端之间也能相互通信
cd /opt/easy-rsa
./easyrsa build-client-full test nopass #新增客户端私钥
- 配置固定ip
创建配置文件
## /etc/openvpn/server.conf
## 注释 duplicate-cn
## 增加 client-config-dir ccd
## 配置固定 ip 文件
cd /etc/openvpn/ccd
touch test
编辑文件
ifconfig-push [客户端ip] [虚拟客户端]
## 由于windows的子网掩码会自动识别为 255.255.255.252 只能取如下地址对
[ 1, 2] [ 5, 6] [ 9, 10] [ 13, 14] [ 17, 18]
[ 21, 22] [ 25, 26] [ 29, 30] [ 33, 34] [ 37, 38]
[ 41, 42] [ 45, 46] [ 49, 50] [ 53, 54] [ 57, 58]
[ 61, 62] [ 65, 66] [ 69, 70] [ 73, 74] [ 77, 78]
[ 81, 82] [ 85, 86] [ 89, 90] [ 93, 94] [ 97, 98]
[101,102] [105,106] [109,110] [113,114] [117,118]
[121,122] [125,126] [129,130] [133,134] [137,138]
[141,142] [145,146] [149,150] [153,154] [157,158]
[161,162] [165,166] [169,170] [173,174] [177,178]
[181,182] [185,186] [189,190] [193,194] [197,198]
[201,202] [205,206] [209,210] [213,214] [217,218]
[221,222] [225,226] [229,230] [233,234] [237,238]
[241,242] [245,246] [249,250] [253,254]
重启openvpn（注意，重启必须要在ccd同级目录下执行）
参考链接：https://blog.csdn.net/qq_37510195/article/details/130777785
https://blog.csdn.net/weixin_72910567/article/details/132417678
