OpenVPN下载、安装、配置及使用详解

OpenＶＰN下载、安装、配置及使用详解————————————————————————————————作者：————————————————————————————————日期：ﻩOpenＶPN下载、安装、配置及使用详解OpenVPN简介OpeｎVPN是一个用于创建虚拟专用网络(VirｔualPriｖaｔeNetwork）加密通道的免费开源软件。使用OpenＶPN可以方便地在家庭、办公场所、住宿酒店等不同网络访问场所之间搭建类似于局域网的专用网络通道。OｐｅnＶPN使用方便,运行性能优秀，支持Sｏｌaris、Linux２.2＋（Linｕx2.2+表示Liｎux2.2及以上版本,下同）、OpenBSD3.0+、FreeBSD、NｅtＢSD、MaｃＯＳX、Ａｎdrｏid和Wｉndoｗs20０0+的操作系统,并且采用了高强度的数据加密,再加上其开源免费的特性，使得OpenVＰN成为中小型企业及个人的ＶPN首选产品。使用ＯpｅｎＶＰN配合特定的代理服务器，可用于访问Ｙoutube、FaｃeBook、Twittｅr等受限网站,也可用于突破公司的网络限制。由于OpｅnVPN支持ＵDP协议，还可以配合HＴTＰ代理(ＨTＴPPrｏxy）使用，使得只要是能够打开网站或上ＱQ的地方,就可以访问外部的任何网站或其他网络资源。OpeｎＶPＮ的官方最新版本是ＯpenVＰN２.3.０(发布于２０1３年０1月０8日),你可以点击此处查看HYPERLＩNK"ｈttp://www.３６5minｉ.cｏm/paｇe／１5.htｍ"OｐｅnVPN2.3．0的更新日志内容。OpeｎＶＰN下载你可以点击下列链接直接从3６０云盘下载OpeｎVPN２.3.0的官方正式版Windowｓ安装文件(特别值得注意的是:由于Wiｎdoｗs自身的限制,Wｉndows版本的OpenVPN只有具备管理员权限的用户才能成功安装。当前最新版本的OpｅnＶＰＮ2.3.0

只能在ＷｉｎdowsＸP及以上版本的操作系统上安装)。HYPＥRLINK"ｈttp://wwｗ.ｓoftoｗn.cｎ/sofｔ/ｏpenvｐｎ／wiｎdows/２.3.0－32bit"ＯpｅnVＰＮ2．3.0Wｉnｄows32位安装文件(1.６MB)HＹPEＲＬINK"http://www．ｓoｆtown.ｃn／soft／openvpn/ｗindows／2.3.0-64ｂit"OpeｎＶPＮ2．3.0Windows６４位安装文件(1．６ＭB）OpenＶPN安装在这里笔者以同一个局域网内的两台电脑A(IP:1９2.１６8.0.2,操作系统:Ｗｉndowｓ7SP164位旗舰版)和B(ＩＰ:１92．１68.0.3，操作系统：WｉnｄｏwsXＰSP3３２位专业版)为例，将电脑A作为VPN服务器、电脑B作为ＶPN客户端,进行安装、配置、连通测试。在这里，笔者将统一安装OpeｎVＰN2.3.0Wiｎdows32位版本的安装文件。在安装之前,先给读者们介绍一下OｐenVＰN的大致工作原理,以便于更好地理解后面的安装和使用操作。在OｐｅnVPN中，服务器端和客户端使用的是同一个安装文件,安装方法也是一样的,只是配置方法不一样。其主要区别是，在安装目录的ｃonｆｉｇ文件夹下，服务器端配置的文件叫做server．ovpn，客户端配置的文件叫做ｃlient.ovｐｎ,当然，配置文件中的内容也不相同。OpｅnＶPN通过不同的设置来决定该程序是充当服务器端还是客户端。OｐenVPＮ的大致工作原理就是在服务器端和客户端之间搭建一个独立于当前网络环境的加密通道,将服务器端和多个客户端组建成一个独立的虚拟局域网,从而实现服务器端和客户端、客户端和客户端之间的相互通信。例如,我们的电脑A和电脑Ｂ的局域网网段是19２．１６8.0.＊，OpenVPN可以在它们之间搭建一个独立的虚拟局域网，并且网段配置为1０.0.0.*(网段可以由用户随意配置，只要不和它们自身的网段１92．16８．0.*冲突即可)。此时：电脑Ａ在本地局域网中的IP地址是１，在虚拟局域网中的ＩP地址是；

电脑B在本地局域网中的IP地址是1９2.１6８.０.3，在虚拟局域网中的IＰ地址是10.０.0.6(笔者的OｐeｎＶＰＮ客户端的IＰ地址设置为由服务器自动分配）。电脑Ｂ可以通过IP地址1９２.1６8.０.１访问电脑A,也可以通过IP地址10.0.0.１访问电脑Ａ。虚拟局域网是独立存在的，不会和本地其他网络之间形成干扰,不过虚拟局域网之间的相互访问和操作方式与本地局域网的几乎完全相同。当然，笔者这里由于条件限制,电脑A和电脑B本身就在同一个局域网中，并且可以互相访问。可是在一些情况下，多台计算机不在同一个局域网内，并且它们之间无法直接互相访问,或者它们直接互相访问没有进行数据加密——不够安全，这个时候就轮到OｐenVPN出马了。ＯpｅnVＰＮ在安装的时候会在电脑上安装一个虚拟网卡驱动,并在网络连接里创建一个本地连接的图标(下图的【本地连接２】)。OpｅnVPＮ就是靠它来搭建虚拟局域网的。接下来，我们正式开始安装OpｅnVPN,在电脑Ａ和电脑Ｂ上分别双击安装程序进行安装（安装方式完全一致)。在安装的时候,必须注意的是:在OpenＶPN2.3．0中，默认是不安装eaｓy-ｒsa（一个加密证书生成程序)的,因此,我们必须手动勾选如下图所示的两个选项(在ＯｐenVPN２.2中是默认选中的)。然后一路Next(如果询问是否安装ＴAＰ－Win32驱动程序时，请选择“仍然继续”）,就安装成功了。OpenＶPN的配置OｐenＶPN的配置工作主要分为如下两步:第一步,创建加密证书和私钥，其中包括服务器端和客户端都要用到的核心CＡ证书和私钥，服务器端自身的加密证书（即公钥)和私钥,以及每个客户端对应的加密证书和私钥。第二步,为服务器和客户端编写对应的配置文件,然后将其与第一步中生成的相应证书、私钥放在ＯpenＶPN安装目录的cｏnｆiｇ文件夹下。ＯpeｎVPN支持基于加密证书的双向认证。在OpenVPN中,不管是服务器还是客户端，所有的证书和私钥都需要由服务器端生成,客户端要先获得服务器端分配给它的加密证书和密钥才能成功连接。这与使用网上银行有些类似，大多数银行网站都会要求你先下载并安装一个数字证书，才允许你进行网上付款或其他操作。下面我们开始具体配置:第一步:创建加密证书和私钥1、修改OpenVＰN服务器端的vａrs.bａt.sample文件(客户端的无需做任何修改)。使用记事本或其他文本编辑工具打开OｐenVPＮ安装目录＼eaｓｙ-ｒsa\vars.bat.sａｍｐle文件,如下图所示：变量HＯME表示eａsｙ－rｓa文件夹的路径(笔者的OpｅｎＶPN服务器端安装在D:\OpｅnVPN)。ﻭ变量ＫＥY_SIZＥ表示生成的私钥大小，一般填写为1０２４或２048,默认为102４位，你可以根据自己的需要进行修改,笔者这里使用默认值。由于稍后给客户端生成对应加密证书和私钥时,程序会要求我们输入一些注册信息。如果你需要配置多个客户端,并且许多信息都相同(比如国家、省市、地址、公司名称等)你还可以修改vars.baｔ.sample文件后面的一些相关变量的默认值,这样在稍后生成客户端证书的时候，如果该信息项不输入就会采用默认值。2、运行DＯS命令，初始化执行环境。在作为服务器端的电脑Ａ上打开ＤOS命令窗口，并进入到%OpｅnVPN的安装目录％\eaｓy－rｓa目录。笔者的服务器端安装目录是D:＼OpenVPN，因此这里进入D：\OpenVＰＮ\eaｓy-rsａ。然后依次输入并执行以下命令(括号内的是笔者附加的注释)：ｉｎit-confｉg(初始化配置，将ｖars.bat.samplｅ文件的内容复制到vars.bat。实际上，你也可以直接双击执行easｙ-rsａ目录下的ｉnｉｔ-cｏｎfｉg.baｔ文件来代替这一步。)vars（设置相应的局部环境变量,就是我们在vars．ｂat.ｓample文件中设置的内容）clean-all(相关设置和清理工作）3、创建CA根证书：buｉld－ca如上图所示，在bｕild-cａ的时候需要输入一些注册信息。在输入信息的时候,如果你不输入任何信息,就表示采用默认值（前面[]中的内容就是默认值）；如果你输入.,则表示当前信息项留空白。值得注意的是,上图中红色矩形框中的OpenＶPN_CA是证书的通用名称(CommｏnＮame),相当于我们常说的账号,你也可以自行输入其他名称。４、创建服务器端证书：buiｌd-key-serverserｖer如上图所示,命令中的参数seｒver指的是生成的证书文件名称，你可以按照自己的需要进行修改,不过后面的CommｏnName也应保持一致。第二个红色矩形框中是输入的密码，你也可以根据意愿自行输入。最后程序会询问你是否注册并提交证书，两次均输入y即可。5、创建迪菲·赫尔曼密钥:bｕild-dh迪菲·赫尔曼密钥交换（Diffie–Ｈｅllmａnkｅyexｃｈａnｇｅ,简称“D–H”)是一种安全协议。它可以让双方在完全没有对方任何预先信息的条件下通过不安全信道创建起一个密钥。这个密钥可以在后续的通讯中作为对称密钥来加密通讯内容。6、创建客户端证书:ｂuilｄ－keyｃlient如上图所示，命令中的参数clieｎt表示生成的证书文件名称,你可以按照自己的需要进行修改，不过后面的ComｍｏｎNamｅ也应保持一致。第二个红色矩形框中是输入的密码,你也可以根据意愿自行输入。最后程序会询问你是否注册并提交证书,两次均输入ｙ即可。如果你想创建多个不同的客户端证书,只需要重复此步骤即可。切记,CommonＮａｍe不要重复,这是ＯｐenVPN用来区分不同客户端的关键所在。7、生成ta．ｋey:opｅｎｖpn–gｅnｋey–ｓecrｅtｋｅys／ta.key（可选操作)这一步其实是可选操作,生成的ta．keｙ主要用于防御DoS、UDP淹没等恶意攻击。命令中的第３个参数keｙs／ta.key表示生成的文件路径(含文件名)。

创建完证书后，我们会发现easy-rsa目录下多了一个ｋeys文件夹。现在我们将keys文件夹中对应的文件复制到OｐｅｎVPN服务器或客户端的安装目录的config文件夹下。服务器端confｉg目录需要的文件包括：cａ.crt

ca.ｋeｙ(核心CＡ证书和私钥)ﻭdh10２4．ｐem(如果最初的变量KＥＹ_ＳIＺE设为2048,这里就是dh20４８.ｐｅm)ﻭseｒｖer.crt

sｅrver．keｙ(名称server根据个人设置可能有所不同）

ｔa.key(名称也可自行设置,如果不需要防御攻击,可以不创建或复制此文件)客户端config目录需要的文件包括:ca.cｒt

client.crtﻭclieｎt.key(名称cｌieｎt根据个人设置可能有所不同)

ta.ｋey(如果服务器端具备此文件，客户端也应具备)非常重要的提醒:以上命令都是在同一个DOS窗口中执行的，如果你以后需要打开新窗口来执行命令(比如创建新的客户端证书):你不需要再执行ｉnit-config命令,除非你再次改动了vars.baｔ．sａmple文件;每一次打开新窗口时都需要先执行varｓ命令，后面才能执行其他命令。第二步:编写对应的配置文件上面我们已经创建了OpeｎVＰN配置所需要的各种证书和私钥，现在我们开始为服务器和客户端编写对应的配置文件。对于一个刚刚接触OｐenVPN的人来说，我们应该配置些什么呢,又该从哪里入手呢?别着急,ＯpenVPN已经考虑到了这一点。在ＯpｅｎVPN的安装目录的sample-coｎｆig文件夹中存放有3个示例模板文件：seｒver.ｏvpn、cｌient.ovｐn、ｓaｍplｅ.ovpn。其中，sｅrveｒ.ovpｎ是服务器的配置模板，ｃｌient.ｏｖpn是客户端的配置模板(sampｌe.ovpｎ也可用作客户端配置模板，不过配置比较简单，不够全面。按照官方的说法，client.ｏvpn可用于连接具有多个客户端的服务器端配置文件)。现在，我们就复制serｖer.ovpn到服务器的conｆiｇ目录，clienｔ．ovｐn到客户端的cｏnfｉｇ目录,并在此基础上进行修改。在ＯpenVPＮ的配置文件中,前面带“＃”或“;”的表示注释内容。1、编辑服务器端配置文件。serｖer.ovpn的英文注释中已经比较清楚地解释了每一个设置的作用，笔者对配置文件的英文注释作了全文翻译，你可以点击查看sｅrver.ｏvpn的配置内容详解,在此不再赘述,下面只提取所有用到的命令。ｌｏcａl1９2.168.０.2

#指定监听的本机ＩP(因为有些计算机具备多个IP地址）,该命令是可选的,默认监听所有IP地址。ﻭport１19４

#指定监听的本机端口号ﻭｐrｏｔouｄp

#指定采用的传输协议，可以选择ｔｃp或udp

deｖtun

#指定创建的通信隧道类型，可选tun或ｔａp

cａcａ．crt

＃指定ＣA证书的文件路径ﻭcertsｅrｖer．crt

#指定服务器端的证书文件路径

kｅyseｒveｒ．ｋeｙ

#指定服务器端的私钥文件路径

dhdh10２4.pem

#指定迪菲赫尔曼参数的文件路径ﻭｓｅrｖer1０.0．0.0255.255.２５5．0

＃指定虚拟局域网占用的IP地址段和子网掩码,此处配置的服务器自身占用10.0．0.1。ﻭiｆｃonｆiｇ-pool－ｐｅrsｉstｉpｐ.txt

#服务器自动给客户端分配ＩP后，客户端下次连接时,仍然采用上次的IＰ地址(第一次分配的IP保存在ｉpp.txｔ中，下一次分配其中保存的IP)。ﻭｔｌs-ａuthta.key0

#开启TLS,使用ｔa.ｋeｙ防御攻击。服务器端的第二个参数值为0，客户端的为1。ﻭｋeeｐalive101２０

#每10秒ｐｉng一次，连接超时时间设为1２0秒。ﻭcomp-ｌｚo

＃开启VPN连接压缩，如果服务器端开启，客户端也必须开启ﻭｃｌieｎt-tｏ-ｃｌieｎt

＃允许客户端与客户端相连接，默认情况下客户端只能与服务器相连接ﻭｐerｓisｔ-keｙﻭpersｉｓt－tｕn

#持久化选项可以尽量避免访问在重启时由于用户权限降低而无法访问的某些资源。statusoｐenvｐn－staｔus．log

#指定记录ＯpenVＰN状态的日志文件路径ﻭveｒｂ3

＃指定日志文件的记录详细级别,可选0－9,等级越高日志内容越详细实际修改内容参见下面的截图。

2、编辑客户端配置文件。ｃlｉent.ovpｎ中所有用到的命令如下:client

＃指定当前VＰN是客户端

ｄeｖtun

#必须与服务器端的保持一致ﻭｐｒoｔouｄp

#必须与服务器端的保持一致

rｅｍote192.168.０．211９4

#指定连接的远程服务器的实际ＩP地址和端口号ﻭresolｖ－ｒetryinfinitｅ

#断线自动重新连接，在网络不稳定的情况下（例如:笔记本电脑无线网络)非常有用。

noｂind

＃不绑定特定的本地端口号ﻭｐersｉst－key

ｐersisｔ-tun

caｃa.crt

#指定ＣA证书的文件路径

ｃerｔclient.ｃ