OPENVPN服务端完全配置手册.doc

OPENVPN服务端完全配置手册一 OPENVPN1. 下载openvpn最新版本2. 上传到linux下并解压3. 编译文件cd /home/chenlong/tool/openvpn-2.3.0./configuremakemake install4. 新建目录mkdir /etc/openvpn5. 将配置文件拷贝到新建目录下cp -r /home/chenlong/tool/openvpn-2.3.0/sample/ /etc/openvpn/6. 配置文件修改cp /etc/openvpn/sample/sample-config-files/server.conf /etc/openvpn/在此配置文件里修改如下项：local 114.112.50.242 #vpn接入网口IP地址port 1194proto udpdev tunca /etc/openvpn/ca.crtcert /etc/openvpn/server.crtkey /etc/openvpn/server.keydh /etc/openvpn/dh.pemserver 10.8.0.0 255.255.255.0ifconfig-pool-persist ipp.txtpush route 192.168.1.0 255.255.255.0push redirect-gateway def1 bypass-dhcppush dhcp-option DNS 10.8.0.1push dhcp-option DNS 8.8.8.8client-to-clientkeepalive 10 120comp-lzomax-clients 200persist-keypersist-tunstatus openvpn-status.logverb 37. 启动openvpn服务openvpn /etc/openvpn/server.conf &二 easy-rsa配置（easy-rsa3）1. 下载easy-rsa2. 上传到linux下并解压3. 将解压得到的文件夹重命名并拷贝到相应目录下mv easy-rsa-mater/ easy-rsa/cp -R easy-rsa/ /etc/openvpn/4. 环境配置cd /etc/openvpn/easy-rsa/easyrsa3/mv vars.example vars在该文件里修改下面的字段，然后保存5. 初始化cd /etc/openvpn/easy-rsa/easyrsa3./easyrsa init-pki6. 创建根证书./easyrsa build-ca在此过程中需要输入根名称及根密码，需要记住根密码，在以后创建新用户时需要用到。7. 创建服务器端证书./easyrsa gen-req server nopass在此需要输入服务端名称8. 签约服务端证书./easyrsa sign server server在此步骤需要输入根密码9. 创建Diffie-Hellman./easyrsa gen-dh10. 将相关文件拷贝到根目录下cp /etc/openvpn/easy-rsa/easyrsa3/pki/ca.crt /etc/openvpncp /etc/openvpn/easy-rsa/easyrsa3/pki/private/server.key /etc/openvpncp /etc/openvpn/easy-rsa/easyrsa3/pki/issued/server.crt /etc/openvpncp /etc/openvpn/easy-rsa/easyrsa3/pki/dh.pem /etc/openvpn三 新增用户1. 在根目录下用户目录Mkdir /root/chenlong/2. 将easy-rsa拷贝到该目录下cp -r /home/chenlong/tool/easy-rsa/ /root/chenlong/3. 初始化cd /root/chenlong/easy-rsa/easyrsa3/./easyrsa init-pki4. 创建客户端key及生成证书./easyrsa gen-req dewei在该过程中需要输入该用户的密码及用户名5. 将的到的qingliu.req导入然后签约证书cd /etc/openvpn/easy-rsa/easyrsa3/./easyrsa import-req /root/chenlong/easy-rsa/easyrsa3/pki/reqs/chenlong.req chenlong./easyrsa sign client dewei （此处需要输入根密码）6. 将相应文件拷贝到用户目录下cp /etc/openvpn/easy-rsa/easyrsa3/pki/ca.crt /root/chenlong/cp /etc/openvpn/easy-rsa/easyrsa3/pki/issued/dewei.crt /root/chenlong/cp /root/chenlong/easy-rsa/easyrsa3/pki/private/dewei.key /root/chenlong/四 iptable配置1. 停止防火墙Service firewalld stop2. 关闭防火墙systemctl disable firewalld3. 编辑sysctl.conf文件vim /etc/sysctl.conf在该文件里增加如下项：net.ipv4.ip_forward = 14. 编辑iptablesvim /etc/sysconfig/iptables在该文件里增加如下项：-A INPUT -p tcp -dport 22 -j ACCEPT #对ssh的支持-A INPUT -p udp -dport 1194 -j ACCEPT #对vpn的支持，1194为openvpn配置端口号-A INPUT -p tcp -dport 1194 -j ACCEPT #对vpn的支持，1194为openvpn配置端口号在该文件中去掉如下两项，否则VPN不能连接：#-A INPUT -j REJECT -reject-with icmp-host-prohibited#-A FORWARD -j REJECT -reject-with icmp-host-prohibited5. 启动iptables服务Service iptables start可使用命令查看iptables -L -n6. 增加NAT配置，该配置只能直接执行，可保存在/etc/rc.local文件里，以便服务器启动时即执行iptables -t nat -A POSTROUTING -d 192.168.1.0/24 -o eno1 -j SNAT -to-source 192.168.1.9其中，192.168.1.0/24为内网ip地址网段，eno1为内网网卡，192.168.1.9为内网ip地址。该命令用于访问内网其他服务器iptables -t nat -A POSTROUTING -s 10.8.0.0/