OPENVPN服務(wù)端完全配置手冊

1、OPENVPN服務(wù)端完全配置手冊一 OPENVPN1. 下載openvpn最新版本2. 上傳到linux下并解壓3. 編譯文件cd /home/chenlong/tool/openvpn-2.3.0./configuremakemake install4. 新建目錄mkdir /etc/openvpn5. 將配置文件拷貝到新建目錄下cp -r /home/chenlong/tool/openvpn-2.3.0/sample/ /etc/openvpn/6. 配置文件修改cp /etc/openvpn/sample/sample-config-files/server.conf /etc/ope

2、nvpn/在此配置文件里修改如下項(xiàng)：local 114.112.50.242 #vpn接入網(wǎng)口IP地址port 1194proto udpdev tunca /etc/openvpn/ca.crtcert /etc/openvpn/server.crtkey /etc/openvpn/server.keydh /etc/openvpn/dh.pemserver 10.8.0.0 255.255.255.0ifconfig-pool-persist ipp.txtpush route 192.168.1.0 255.255.255.0push redirect-gateway def1 bypa

3、ss-dhcppush dhcp-option DNS 10.8.0.1push dhcp-option DNS 8.8.8.8client-to-clientkeepalive 10 120comp-lzomax-clients 200persist-keypersist-tunstatus openvpn-status.logverb 37. 啟動openvpn服務(wù)openvpn /etc/openvpn/server.conf &二 easy-rsa配置（easy-rsa3）1. 下載easy-rsa2. 上傳到linux下并解壓3. 將解壓得到的文件夾重命名并拷貝到相應(yīng)目錄下mv ea

4、sy-rsa-mater/ easy-rsa/cp -R easy-rsa/ /etc/openvpn/4. 環(huán)境配置cd /etc/openvpn/easy-rsa/easyrsa3/mv vars.example vars在該文件里修改下面的字段，然后保存5. 初始化cd /etc/openvpn/easy-rsa/easyrsa3./easyrsa init-pki6. 創(chuàng)建根證書./easyrsa build-ca在此過程中需要輸入根名稱及根密碼，需要記住根密碼，在以后創(chuàng)建新用戶時需要用到。7. 創(chuàng)建服務(wù)器端證書./easyrsa gen-req server nopass在此需要輸入

5、服務(wù)端名稱8. 簽約服務(wù)端證書./easyrsa sign server server在此步驟需要輸入根密碼9. 創(chuàng)建Diffie-Hellman./easyrsa gen-dh10. 將相關(guān)文件拷貝到根目錄下cp /etc/openvpn/easy-rsa/easyrsa3/pki/ca.crt /etc/openvpncp /etc/openvpn/easy-rsa/easyrsa3/pki/private/server.key /etc/openvpncp /etc/openvpn/easy-rsa/easyrsa3/pki/issued/server.crt /etc/openvpnc

6、p /etc/openvpn/easy-rsa/easyrsa3/pki/dh.pem /etc/openvpn三 新增用戶1. 在根目錄下用戶目錄Mkdir /root/chenlong/2. 將easy-rsa拷貝到該目錄下cp -r /home/chenlong/tool/easy-rsa/ /root/chenlong/3. 初始化cd /root/chenlong/easy-rsa/easyrsa3/./easyrsa init-pki4. 創(chuàng)建客戶端key及生成證書./easyrsa gen-req dewei在該過程中需要輸入該用戶的密碼及用戶名5. 將的到的qingliu.re

7、q導(dǎo)入然后簽約證書cd /etc/openvpn/easy-rsa/easyrsa3/./easyrsa import-req /root/chenlong/easy-rsa/easyrsa3/pki/reqs/chenlong.req chenlong./easyrsa sign client dewei （此處需要輸入根密碼）6. 將相應(yīng)文件拷貝到用戶目錄下cp /etc/openvpn/easy-rsa/easyrsa3/pki/ca.crt /root/chenlong/cp /etc/openvpn/easy-rsa/easyrsa3/pki/issued/dewei.crt /ro

8、ot/chenlong/cp /root/chenlong/easy-rsa/easyrsa3/pki/private/dewei.key /root/chenlong/四 iptable配置1. 停止防火墻Service firewalld stop2. 關(guān)閉防火墻systemctl disable firewalld3. 編輯sysctl.conf文件vim /etc/sysctl.conf在該文件里增加如下項(xiàng)：net.ipv4.ip_forward = 14. 編輯iptablesvim /etc/sysconfig/iptables在該文件里增加如下項(xiàng)：-A INPUT -p tcp

9、-dport 22 -j ACCEPT #對ssh的支持-A INPUT -p udp -dport 1194 -j ACCEPT #對vpn的支持，1194為openvpn配置端口號-A INPUT -p tcp -dport 1194 -j ACCEPT #對vpn的支持，1194為openvpn配置端口號在該文件中去掉如下兩項(xiàng)，否則VPN不能連接：#-A INPUT -j REJECT -reject-with icmp-host-prohibited#-A FORWARD -j REJECT -reject-with icmp-host-prohibited5. 啟動iptables服

10、務(wù)Service iptables start可使用命令查看iptables -L -n6. 增加NAT配置，該配置只能直接執(zhí)行，可保存在/etc/rc.local文件里，以便服務(wù)器啟動時即執(zhí)行iptables -t nat -A POSTROUTING -d 192.168.1.0/24 -o eno1 -j SNAT -to-source 192.168.1.9其中，192.168.1.0/24為內(nèi)網(wǎng)ip地址網(wǎng)段，eno1為內(nèi)網(wǎng)網(wǎng)卡，192.168.1.9為內(nèi)網(wǎng)ip地址。該命令用于訪問內(nèi)網(wǎng)其他服務(wù)器iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno2