目录

1      安装

2     配置

2.1      CA证书

2.2      Server证书

2.3      客户端证书

2.4      归档证书

3      配置

3.1      配置服务端

3.2      windows客户端配置

前言：openvpn不符合博客内容要求，所以标题不对。

VPN直译就是虚拟专用通道，是提供给企业之间或者个人与公司之间安全数据传输的隧道，OpenVPN无疑是Linux下开源VPN的先锋，提供了良好的性能和友好的用户GUI。

1      安装

（1）       配置epel源

mkdir /tmp/openvpn
cd /tmp/openvpn
wget https://repo.huaweicloud.com/epel/epel-release-latest-7.noarch.rpm
rpm -ivh epel-release-latest-7.noarch.rpm
yum update

（2）       安装依赖

yum install -y openssl lzo pam easy-rsa

yum源安装openvpn

yum install openvpn

（3）       源码安装openvpn（可选）

wget http://mirror.centos.org/centos/7/os/x86_64/Packages/lzo-2.06-8.el7.x86_64.rpm
wget http://mirror.centos.org/centos/7/os/x86_64/Packages/lzo-devel-2.06-8.el7.x86_64.rpm
wget http://mirror.centos.org/centos/7/os/x86_64/Packages/lzo-minilzo-2.06-8.el7.x86_64.rpm
yum update lzo-2.06-8.el7.x86_64.rpm lzo-minilzo-2.06-8.el7.x86_64.rpm
yum install lzo-devel-2.06-8.el7.x86_64.rpm
yum install -y lz4-devel
 
wget https://swupdate.openvpn.org/community/releases/openvpn-2.4.6.tar.gz
tar -zxvf openvpn-2.4.6.tar.gz
cd openvpn-2.4.6
./configure
make 
make install

默认安装位置：/usr/local/sbin/openvpn

2     配置

2.1      CA证书

查看easy-rsa路径，以3.0版本为例，

whereis easy-rsa

cd /usr/share/easy-rsa/3
./easyrsa init-pki

./easyrsa build-ca

记住输入的密码（pass phrase），后续签名需要使用。

2.2      Server证书

下面的$EntityName就是给server取个名字，注意前后统一就行，比如都叫server。

cd /usr/share/easy-rsa/3
./easyrsa gen-req $EntityName nopass

签名证书

./easyrsa sign-req server $EntityName

生成Diffie-Hellman

./easyrsa gen-dh

最终目录结构如下：

2.3      客户端证书

另外创建一个目录用于存放client证书

mkdir -p /tmp/openvpn/client1
cd /tmp/openvpn/client1
/usr/share/easy-rsa/3/easyrsa init-pki
/usr/share/easy-rsa/3/easyrsa gen-req client1

记录输入的密码，client登录时使用

签名client证书：

cd /usr/share/easy-rsa/3/
./easyrsa import-req /tmp/openvpn/client1/pki/reqs/client1.req client1

./easyrsa sign-req client client1

这里输入的制作CA证书时的密码。

客户端证书pki目录如下：

2.4      归档证书

将server证书放在同一个目录下

mkdir /etc/openvpn
cp /usr/share/easy-rsa/3/pki/ca.crt /etc/openvpn/
cp /usr/share/easy-rsa/3/pki/private/server.key /etc/openvpn/
cp /usr/share/easy-rsa/3/pki/issued/server.crt /etc/openvpn/
cp /usr/share/easy-rsa/3/pki/dh.pem /etc/openvpn/

客户端需要的文件：

mkdir /tmp/client1
cp /usr/share/easy-rsa/3/pki/ca.crt /tmp/client1/
cp /usr/share/easy-rsa/3/pki/issued/client1.crt /tmp/client1/
cp /tmp/openvpn/client1/pki/private/client1.key /tmp/client1/

3      配置

3.1      配置服务端

如果没有默认配置文件可以从源码包拷贝一份

cp /tmp/openvpn/openvpn-2.4.6/sample/sample-config-files/server.conf /etc/openvpn

vim /etc/openvpn/server.conf

如果是yum源安装则配置路径在这
/usr/share/doc/openvpn-2.4.6/sample/sample-config-files/server.conf

server.conf配置文件如下

local 192.168.1.5 #云主机内网ip
port 11094
proto tcp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
auth SHA512
#tls-crypt tc.key
topology subnet
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
ifconfig-pool-persist ipp.txt
push "dhcp-option DNS 192.168.1.2"
client-to-client
keepalive 10 120
cipher AES-256-CBC
user nobody
group nobody
persist-key
persist-tun
verb 3
#crl-verify crl.pem

service openvpn@server start

源码安装的可能没有启动脚本，可以从源码里面拷贝一份：

cp /tmp/openvpn/openvpn-2.4.6/distro/systemd/openvpn-server@.service.in /usr/lib/systemd/system/openvpn-server.service
vim /usr/lib/systemd/system/openvpn-server.service

修改启动命令:

systemctl enable openvpn@server
systemctl start openvpn@server

ifconfig 可以看到多了一个tun0的网卡设备，ip是10.8.0.1

netstat -unlp可以查看监听的端口，我这里没有使用默认的1194端口

3.2      windows客户端配置

下载安装包 如openvpn-install-2.4.9-I601-Win10.exe

安装后，将ca.crt、client1.crt、client1.key拷贝到openvpn安装目录下的config目录下；

然后将安装目录sample-config/client.ovpn拷贝到config目录下，

client.ovpn内容如下：

client
dev tun
proto tcp
remote 175.6.40.67 11094
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
auth SHA512
cipher AES-256-CBC
#ignore-unknown-option block-outside-dns  #注释该行，解决开启vpn不能外网的问题
#block-outside-dns   #注释该行，解决开启vpn不能外网的问题
verb 3
route-nopull  #解决开启vpn不能外网的问题
ca ca.crt
cert client1.crt
key client1.key

然后打开./bin/openvpn-gui.exe，输入制作client证书时输入的密码即可连接成功

给其它同事开通vpn权限：从2.3开始生成证书即可

2020是不平凡的一年，全国上下都沉浸在抗击新冠状病毒的浪潮中。受疫情的影响，春节假期无限制延长，很多返工的人不能及时到岗，企业因此只能停工。为了降低损失，尤其是互联网/it类公司就需要及时开通远程办公，所以我研究了一下vpn网络的构建，好我们直接步入正题。

网络拓扑

公司电脑ip段192.168.0.0
公司vpn服务分配的ip段10.9.0.0
公司vpn服务网关端口1194，需要在出口（公网ip）路由器上做端口映射（我的是映射到192.168.91.45:1194）
家里ip段10.12.0.0

安装openvpn的证书制作工具

我是在centerOS7上执行的证书制作。（为什么没直接选win10环境，大家也不要多问，直接干就是了。）

git clone https://github.com/OpenVPN/easy-rsa.git

在release上下载一个linux版本的（我使用的EasyRSA-unix-v3.0.6.tgz）,解压到这里。/home/gary/easy-rsa

生成CA

首先先进入easyrsa的脚本目录：

cd easy-rsa/easyrsa3
然后将其中vars.example的文件复制一份：

cp vars.example vars
接着用文本编辑器打开vars文件：

nano vars

这个文件很长，包含了很多注释和说明，这些我们都不用管，直接翻到图中所示部分，然后按照自己的需求进行修改，但是不能留空，修改完成后保存文件。

修改配置文件

然后用下面的命令生成公钥体系，此外easyrsa还有一些其他命令和参数，有些参数下面还会用到：

./easyrsa init-pki

会生成如下的信息，这样就成功了：

Note: using Easy-RSA configuration from: ./vars

init-pki complete; you may now create a CA or requests.
Your newly created PKI dir is: /home/gary/easy-rsa/easyrsa3/pki

之后就是最后一步创建CA证书了，如果不想每次都输入一个密码，可以用nopass参数来取消密码。在输出中还会提示你输入CA的公共名称，直接默认即可，当然你想改也随意。

./easyrsa build-ca nopass
会生成如下的信息，这样一来就完成了：

Note: using Easy-RSA configuration from: ./vars
Generating RSA private key, 2048 bit long modulus
....................................................................................+++
..............................................+++
e is 65537 (0x010001)
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Common Name (eg: your user, host, or server name) [Easy-RSA CA]:

CA creation complete and you may now import and sign cert requests.
Your new CA certificate file for publishing is at:
/home/gary/easy-rsa/easyrsa3/pki/ca.crt

这样一来，在pki和pki/private文件夹中会生成ca.crt和ca.key文件，正是SSL证书所用的公私钥对。

生成服务器证书和加密文件

生成私钥

首先输入下面的命令，这里的server是服务器的名称，可以修改，但是由于接下来好几处命令以及生成的文件都受这个名称影响，所以还是用默认的server省事一点：

./easyrsa gen-req server nopass

输出如下：

Note: using Easy-RSA configuration from: ./vars
Generating a 2048 bit RSA private key
......................................................................+++
...................................................................+++
writing new private key to '/home/gary/easy-rsa/easyrsa3/pki/private/server.key.IuKiwcpofq'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Common Name (eg: your user, host, or server name) [server]:

Keypair and certificate request completed. Your files are:
req: /home/gary/easy-rsa/easyrsa3/pki/reqs/server.req
key: /home/gary/easy-rsa/easyrsa3/pki/private/server.key

这样就生成了服务器私钥server.key和证书请求文件server.req。

然后将服务器私钥复制到openvpn配置文件目录下：
sudo cp pki/private/server.key /etc/openvpn

生成公钥

由于我只有一台服务器，同时充当CA服务器和VPN服务器，所以需要自己给自己签发，会产生同名文件，所以首先先把服务请求文件server.req重命名一下：

mv pki/reqs/server.req pki/reqs/server2.req

然后导入请求，这里的server是前面指定的服务器名称：

./easyrsa import-req pki/reqs/server2.req server

成功之后，用下面的命令签发请求，注意这里的第一个server是请求类型，可以是client或者server，第二个server是前面指定的服务器名称：

./easyrsa sign-req server server

在这一步出了一点小问题，输出提示index.txt.attr文件不存在，导致出现了部分失误，所以生成的文件被保存到了pki/issued目录下，不过后来全弄完我发现这个小错误不影响VPN连接，但是如果你运行的时候没有错误，记得改一下这里的文件路径。

这样会生成server.crt文件，将它和ca.crt一起复制到openvpn中：

sudo cp pki/ca.crt pki/issued/server.crt /etc/openvpn/

生成加密文件

然后生成Diffie-Hellman密钥文件，这会让VPN更加安全，不过生成过程可能需要几分钟时间：

./easyrsa gen-dh

等待生成完成之后，生成Diffie-Hellman签名：

openvpn --genkey --secret ta.key

然后将生成的几个文件也复制给openvpn：

sudo cp ta.key pki/dh.pem /etc/openvpn/

这样一来，服务器端的所有文件就全部生成完毕，下面开始生成客户端所需文件。

生成客户端证书和密钥对

首先准备一个目录存放客户端文件：

mkdir -p ~/client-configs/keys

然后修改权限确保安全：

sudo chmod -R 700 ~/client-configs

然后生成客户端请求文件，考虑到可能会有几个客户端，所以这里叫client1，当然名称也可以修改：

./easyrsa gen-req client1 nopass

将其复制到存放目录中：

cp pki/private/client1.key ~/client-configs/keys/

和前面一样，首先修改一下客户端请求文件的名称：

mv pki/reqs/client1.req pki/reqs/client.req

然后导入请求文件：

./easyrsa import-req pki/reqs/client.req client1

再签发请求：

./easyrsa sign-req client client1
这样会生成client1.crt文件，最后将几个文件复制到存放目录中（这里注意一下文件路径，我前面出现错误，所以文件生成在issued文件夹中，如果你没错误记得改一下路径）：

cp pki/issued/client1.crt ta.key pki/ca.crt ~/client-configs/keys/

这样，所有证书文件就准备就绪了。

配置openvpn服务端

设置服务端网络共享
win10直接安装下载链接，在vpn安装目录根目录下新建config目录，新建server.ovpn，粘贴下面的配置，
同时把上面生成的服务端证书也放进来（ta.key,server.crt,dh.pem,server.key,ca.crt），双击运行vpn-gui程序（会看到是server模式启动，图标从黄变绿说明连接成功）

#绑定宿主机本地ip
local 192.168.91.45
port 1194
# TCP or UDP server?
proto udp
explicit-exit-notify 0
dev tun
ca ca.crt
cert server.crt
key server.key
tls-auth ta.key 0
dh dh.pem
# 配置vpn网段
server 10.9.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
# 为客户端打通全路由
push "route 0.0.0.0 0.0.0.0"
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
keepalive 10 120
auth SHA256
comp-lzo
max-clients 100
persist-key
persist-tun
status openvpn-status.log
verb 3

服务端的config目录

配置openvpn客户端

win10直接安装下载链接，在vpn安装目录根目录下新建config目录，新建client.ovpn，粘贴下面的配置，
同时把上面生成的服务端证书也放进来（ta.key,client1.crt,client1.key,ca.crt），运行vpn（会看到是client模式启动，图标从黄变绿说明连接成功）

client
dev tun
proto udp
#注意 这里的192.168.91.45为vpn服务宿主机的ip，而不是vpn服务的虚拟ip
remote 192.168.91.45 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
remote-cert-tls server
tls-auth ta.key 1
auth SHA256
key-direction 1
comp-lzo
verb 3

客户端上的config目录

客户端连接成功后可以在 cmd 输入 ipconfig ，看到能获取到vpn网关分发的ip地址，同时也可以ping通vpn服务宿主机所能访问的全部网络。

mac使用openvpn，使用tunnelblick（去github下载），和windows的客户端配置一样拿过来就可以用了。

相关vpn参数的配置介绍可以看这篇文章

纯脚本安装请移步这里