Linux CentOS安装配置OpenVPN 2.4.0最新版教程

作者:莫问前程 发布于:2018-8-7 11:42 Tuesday

1. 准备工作

下载OpenVPN源码包,下载地址:
https://swupdate.openvpn.org/community/releases/openvpn-2.4.0.tar.gz
下载OpenVPN证书制作工具EasyRSA,下载地址:
https://github.com/OpenVPN/easy-rsa/releases/download/3.0.1/EasyRSA-3.0.1.tgz

2. 安装OpenVPN

安装依赖的软件包

yum -y install openssl openssl-devel pam pam-devel

解压并安装OpenVPN 2.4.0

tar zxf openvpn-2.4.0.tar.gz cd openvpn-2.4.0
./configure --prefix=/usr/local/openvpn --disable-lzo
make && make install
mkdir /etc/openvpn # 创建配置文件存放目录 
cp sample/sample-config-files/server.conf /etc/openvpn/server.conf # 从模板复制一份配置文件 

3. 制作证书

制作根证书

tar zxf EasyRSA-3.0.1.tgz
cp -rf EasyRSA-3.0.1 /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa
./easyrsa init-pki # 初始化证书目录pki 
./easyrsa build-ca nopass # 创建根证书,提示输入Common Name,名称随意,但是不能和服务端证书或客户端证书名称相同 
./easyrsa gen-dh # 生成Diffle Human参数,它能保证密钥在网络中安全传输 

制作服务端证书

./easyrsa build-server-full server nopass # server是服务端证书名称,可以用其它名称 

制作客户端证书

./easyrsa build-client-full barry nopass # barry是客户端证书名称,可以用其它名称 

4. 服务端配置

修改服务端配置文件/etc/openvpn/server.conf内容如下:
local a.b.c.d # 填服务器真实IP
port 1194
proto tcp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0 # 给客户端分配的IP段
ifconfig-pool-persist ipp.txt # 记录客户端和虚拟ip的映射关系,当客户端重新连接时依然被分配断开之前的IP地址
push "redirect-gateway def1 bypass-dhcp" # 重定向客户端网关
push "dhcp-option DNS 8.8.8.8" # 选择一个DNS,这里用Google的DNS示例
client-to-client
keepalive 10 120
compress lz4-v2
push "compress lz4-v2"
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn-status.log
log /var/log/openvpn.log
verb 3 # 日志等级

开启路由转发支持,用 vi 编辑/etc/sysctl.conf文件,修改以下参数
net.ipv4.ip_forward = 1
执行下面命令使sysctl.conf配置文件生效并添加iptables转发规则

sysctl -p
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j MASQUERADE
service iptables save

启动OpenVPN服务

/usr/local/openvpn/sbin/openvpn --config /etc/openvpn/server.conf &

5. Windows PC客户端配置

下载OpenVPN GUI客户端,64位下载地址:
http://build.openvpn.net/downloads/snapshots/openvpn-install-2.4.0-I602-pr80v18.exe
下载好后按默认设置安装即可。

将以下3个文件下载下来并放到C:\Program Files\OpenVPN\config目录下
/etc/easy-rsa/pki/private/barry.key
/etc/easy-rsa/pki/issued/barry.crt
/etc/easy-rsa/pki/ca.crt

新建客户端配置文件C:\Program Files\OpenVPN\config\client.opvn,写入如下内容:
client
dev tun
proto tcp
remote a.b.c.d 1194 # 填服务器真实IP
persist-key
persist-tun
ca ca.crt
cert barry.crt
key barry.key
verb 3 # 日志等级

双击桌面的OpenVPN GUI图标启动连接,不出意外的话连接成功,如果失败的话右键桌面右下角的OpenVPN GUI小图标点击view log查看错误日志,找到具体报错原因并解决。连接成功后在浏览器地址栏输入ip.cn,此时可以看到本地IP已变成OpenVPN服务器的IP。

* 额外教程:配置VPN分流

虽然把OpenVPN服务器搭建好了,但是有一个问题,客户端所有应用的网络都走VPN通道了,有时只是想访问某个站点或连接某个服务走VPN通道而已,其它的还是使用本地网络,也就是实现VPN分流效果。实现方法如下:
注释/etc/openvpn/server.conf里的以下两行:
;push "redirect-gateway def1 bypass-dhcp"
;push "dhcp-option DNS 8.8.8.8"
添加推送到客户端的路由规则,比如:
push "route 192.168.100.0 255.255.255.0"
假设192.168.100.0是VPN服务器所在的局域网的网段,那么添加这条规则后,客户端也能访问与VPN服务器同一网段的其它机器了,上面的路由规则可以是具体IP,可以是网段,只要能符合路由表的规范。配置好后重新启动OpenVPN服务,客户端重新连接,此时可以发现只有访问192.168.100.0网段时才会走VPN通道。


作者:HeyBarry
链接:https://www.jianshu.com/p/6146736e7fbd
來源:简书
简书著作权归作者所有,任何形式的转载都请联系作者获得授权并注明出处。

发表评论:

14 + 27 =

Powered by 木匠 鲁ICP备88888888号