CentOS 7 安装 OpenVP*

转载

lenglingx 2023-05-13 00:47:22 博主文章分类：Linux服务器

一、安装

1、安装 openvpn 和 easy-rsa（该包用来制作 ca 证书）

# 安装 epel 源
yum install epel-release -y
 
# 安装
yum install openvpn easy-rsa

2、配置 /etc/openvpn/easy-rsa 目录

mkdir -p /etc/openvpn/easy-rsa
 
cp -r /usr/share/easy-rsa/3.0.7/* /etc/openvpn/easy-rsa/
 
# 拷贝 证书配置文件
cp /usr/share/doc/easy-rsa-3.0.7/vars.example /etc/openvpn/easy-rsa/vars
 
# 拷贝 openvpn 模版配置文件
cp /usr/share/doc/openvpn-2.4.8/sample/sample-config-files/server.conf /etc/openvpn/

3、编辑 vars

vim /etc/openvpn/easy-rsa/vars
 
# 修改内容
set_var EASYRSA_REQ_COUNTRY     "CN"
set_var EASYRSA_REQ_PROVINCE    "JiangSu"
set_var EASYRSA_REQ_CITY        "XUYI"
set_var EASYRSA_REQ_ORG         "MSH"
set_var EASYRSA_REQ_EMAIL       "mshxuyi@163.com"
set_var EASYRSA_REQ_OU          "IT"

二、创建根、服务器端证书和 key

1、初始化

cd /etc/openvpn/easy-rsa/
 
# 初始化，成功后出现 pki 目录
./easyrsa init-pki

2、创建根证书

./easyrsa build-ca
 
# 输入密码，这里输入 123456
Enter New CA Key Passphrase:
 
………
 
# 输入名称，这里输入 vpn-ca
Common Name (eg: your user, host, or server name) [Easy-RSA CA]:vpn-ca
 
 
# 成功后显示
CA creation complete and you may now import and sign cert requests.
Your new CA certificate file for publishing is at:
/etc/openvpn/easy-rsa/pki/ca.crt
 
 
# ca.crt 证书文件
# private 目录里面放的是所有密钥文件，ca.key 后面的 server.key 也会在这里

3、创建服务器端证书

./easyrsa build-server-full server nopass
 
 
# 输入前面定义的 ca 密码 123456
Enter pass phrase for /etc/openvpn/easy-rsa/pki/private/ca.key:123456
 
....
Signature ok
The Subject's Distinguished Name is as follows
commonName            :ASN.1 12:'server'
Certificate is to be certified until Jan 15 03:05:13 2025 GMT (825 days)
Write out database with 1 new entries
Data Base Updated

4、创建Diffie-Hellman，确保key穿越不安全网络的命令

./easyrsa gen-dh

5、生成 ta 密钥文件

openvpn --genkey --secret ta.key

三、创建客户端证书和 key

1、生成证书

# 生成 tomma 对应姓名的客户端证书
./easyrsa build-client-full tomma
 
...................
 
# 输入客户端的密码 654321 ，后面登陆会用到
Enter PEM pass phrase:
 
# 输入 ca 证书密码 123456
Enter pass phrase for /etc/openvpn/easy-rsa/pki/private/ca.key:123456
 
# 成功后显示
Signature ok
The Subject's Distinguished Name is as follows
commonName            :ASN.1 12:'tomma'
Certificate is to be certified until Jul 24 08:38:44 2022 GMT (825 days)

2、查看证书

find / -name tomma*
 
# 查看生成的客户端证书，这里要用到是 tomma.key，tomma.crt
/etc/openvpn/easy-rsa/pki/private/tomma.key
/etc/openvpn/easy-rsa/pki/reqs/tomma.req
/etc/openvpn/easy-rsa/pki/issued/tomma.crt

四、管理证书文件及配置

1、拷贝文件

# 拷贝根与服务器端的相关证书
cp pki/ca.crt /etc/openvpn/server
cp pki/private/server.key /etc/openvpn/server
cp pki/issued/server.crt /etc/openvpn/server
cp pki/dh.pem /etc/openvpn/server
cp /etc/openvpn/easy-rsa/ta.key /etc/openvpn/server
 
 
 
# 拷贝客户端相关证书
mkdir -p /etc/openvpn/client/tomma
 
cp pki/ca.crt /etc/openvpn/client/tomma
cp pki/issued/tomma.crt /etc/openvpn/client/tomma
cp pki/private/tomma.key /etc/openvpn/client/tomma
cp /etc/openvpn/easy-rsa/ta.key /etc/openvpn/client/tomma

2、修改 server.conf 配置文件

vim /etc/openvpn/server.conf
 
# 修改内容
local 0.0.0.0
port 1194
proto tcp
dev tun
ca /etc/openvpn/server/ca.crt
cert /etc/openvpn/server/server.crt
key /etc/openvpn/server/server.key
dh /etc/openvpn/server/dh.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
;push "redirect-gateway def1 bypass-dhcp"
push "route 192.168.0.0 255.255.255.0"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
tls-auth /etc/openvpn/server/ta.key 0
cipher AES-256-GCM
compress lz4-v2
push "compress lz4-v2"
max-clients 100
persist-key
persist-tun
status     /var/log/openvpn/openvpn-status.log
log        /var/log/openvpn/openvpn.log
verb 3

3、说明

# 监听地址
local 0.0.0.0  
 
# 监听端口
port 1194  
 
# 监听协议
proto tcp  
 
# 采用路由隧道模式
dev tun  
 
# ca证书路径
ca /etc/openvpn/ca.crt  
 
# 服务器证书
cert /etc/openvpn/server.crt  
 
# This file should be kept secret 服务器秘钥
key /etc/openvpn/server.key  
 
# 密钥交换协议文件
dh /etc/openvpn/dh.pem  
 
# VPN服务端为自己和客户端分配IP的地址池，服务端自己获取网段的第一个地址（这里为10.8.0.1），后为客户端分配其他的可用地址。以后客户端就可以和10.8.0.1进行通信。注意：该网段地址池不要和已有网段冲突或重复
server 10.8.0.0 255.255.255.0  
 
#使用一个文件记录已分配虚拟IP的客户端和虚拟IP的对应关系，以后openvpn重启时，将可以按照此文件继续为对应的客户端分配此前相同的IP。也就是自动续借IP的意思
ifconfig-pool-persist ipp.txt 
 
# 客户端所有流量都通过 openvpn 转发，类似于代理
push "redirect-gateway def1 bypass-dhcp"
 
# 注意：客户端配置，当服务端开启上面一条流量转发后，客户端需要配置如下2条，客户端只有访问192.168.0.0/24的地址才会走vpn隧道，也就是会使用vpn服务端的IP地址，访问其他地址还是会走本地网络
route-nopull
route 192.168.0.0 255.255.255.0 vpn_gateway
 
# 将服务器端的内网地址推给客户端，添加到客户端的路由表中，可以添加多条
push "route 192.168.0.0 255.255.255.0" 
 
# 服务端推送客户端dhcp分配dns
push "dhcp-option DNS 8.8.8.8"  
 
# 客户端之间互相通信
client-to-client
 
# 存活时间，10秒ping一次,120 如未收到响应则视为断线
keepalive 10 120 
 
# openvpn 2.4版本的vpn才能设置此选项。表示服务端启用lz4的压缩功能，传输数据给客户端时会压缩数据包。Push后在客户端也配置启用lz4的压缩功能，向服务端发数据时也会压缩。如果是2.4版本以下的老版本，则使用用comp-lzo指令
compress lz4-v2
push "compress lz4-v2"
 
# 启用lzo数据压缩格式。此指令用于低于2.4版本的老版本。且如果服务端配置了该指令，客户端也必须要配置
comp-lzo
 
# 最多允许 100 客户端连接
max-clients 100  
 
# 用户
user openvpn  
 
# 用户组  
group openvpn  
 
# 参数 0 可以省略，如果不省略，那么客户端配置相应的参数该配成 1；如果省略，那么客户端不需要 tls-auth 配置
tls-auth /etc/openvpn/server/ta.key 0

4、创建日志目录

mkdir -p /var/log/openvpn/

五、设置路由

# 如果不设置，连上 VPN 后将无法正常上网
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j MASQUERADE
 
service iptables save
 
vim /etc/sysctl.conf
net.ipv4.ip_forward = 1
 
# 生效
sysctl -p

六、启动

systemctl start openvpn@server.service
 
# 查看
netstat -lntp | grep 1194
tcp        0      0 0.0.0.0:1194       0.0.0.0:*     LISTEN      1470/openvpn

七、客户端连接

1、下载，安装在 D盘

链接：https://pan.baidu.com/s/19TzFko54Et5OQA6fsA3uKQ 
提取码：hhct

2、在安装目录 config下创建 client.ovpn 文件

client
dev tun
proto tcp
remote 192.168.1.71 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert tomma.crt
key tomma.key
remote-cert-tls server
tls-auth ta.key 1
cipher AES-256-GCM
compress lz4-v2
verb 3
auth-nocache

3、拷贝服务器客户端上的相关文件

[root@vm71 easy-rsa]# ll /etc/openvpn/client/tomma
 
 
-rw------- 1 root root 1151 Apr 20 17:12 ca.crt
-rw------- 1 root root  636 Apr 20 17:12 ta.key
-rw------- 1 root root 4405 Apr 20 17:12 tomma.crt
-rw------- 1 root root 1834 Apr 20 17:12 tomma.key
 
 
# 需要拷贝的文件有 4个 ca.crt  ta.key  tomma.crt  tomma.key

4、win10 下面显示如下

CentOS 7 安装 OpenVP*_vim

5、输入密码连接

CentOS 7 安装 OpenVP*_vim_02

6、成功

CentOS 7 安装 OpenVP*_客户端_03

CentOS 7 安装 OpenVP*_vim_04

八，脚本管理

1、创建一个模版文件

vim /etc/openvpn/client/sample.ovpn
 
# 内容
client
dev tun
proto tcp
remote 192.168.1.71 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert admin.crt
key admin.key
remote-cert-tls server
tls-auth ta.key 1
cipher AES-256-GCM
compress lz4-v2
verb 3

2、创建脚本

vim add_vpnuser.sh
 
# 内容
#!/bin/bash
 
set -e
 
keys_dir=/etc/openvpn/client/keys
easyras_dir=/etc/openvpn/easy-rsa
pki_dir=$easyras_dir/pki
 
for user in "$@"
 
do
    if [ -d "$keys_dir/$user" ]; then
        rm -rf $keys_dir/$user
        rm -rf $pki_dir/reqs/$user.req
        sed -i '/'"$user"'/d' $pki_dir/index.txt
    fi
    
    cd $easyras_dir
 
    ./easyrsa build-client-full $user nopass
 
    mkdir -p $keys_dir/$user
 
    cp $pki_dir/ca.crt $keys_dir/$user/
    cp $pki_dir/issued/$user.crt $keys_dir/$user/
    cp $pki_dir/private/$user.key $keys_dir/$user/
    cp /etc/openvpn/client/sample.ovpn $keys_dir/$user/$user.ovpn
    sed -i 's/admin/'"$user"'/g' $keys_dir/$user/$user.ovpn
    cp $easyras_dir/ta.key $keys_dir/$user/ta.key
 
    cd $keys_dir
    zip -r $user.zip $user
 
done
 
exit 0

3、执行脚本创建

bash /etc/openvpn/easy-rsa/add_vpnuser.sh tomma
 
# 输入 ca 密码
Enter pass phrase for /etc/openvpn/easy-rsa/pki/private/ca.key:
 
.................
 
Data Base Updated
 
  adding: tomma/ (stored 0%)
  adding: tomma/ca.crt (deflated 25%)
  adding: tomma/tomma.crt (deflated 45%)
  adding: tomma/tomma.key (deflated 23%)
  adding: tomma/tomma.ovpn (deflated 27%)
  adding: tomma/ta.key (deflated 40%)

4、查看证书

ll /etc/openvpn/client/keys/tomma
 
# 成功创建
-rw------- 1 root root 1151 Apr 23 09:10 ca.crt
-rw------- 1 root root  636 Apr 23 09:10 ta.key
-rw------- 1 root root 4405 Apr 23 09:10 tomma.crt
-rw------- 1 root root 1704 Apr 23 09:10 tomma.key
-rw-r--r-- 1 root root  218 Apr 23 09:10 tomma.ovpn

九、清理客户端账号

1、手动清理

./easyrsa revoke tomma
 
./easyrsa gen-crl
 
vim /etc/openvpn/server.conf
 
# 加入
crl-verify /etc/openvpn/easy-rsa/pki/crl.pem
 
# 查看 tomma 状态 为 R 
cat pki/index.txt
V	220727022607Z		9CC82E18AE4C7D1C26E29B4ED858A535	unknown	/CN=server
R	220727023807Z	200423075824Z	557C6DCC5A4363F10960C1D1102A14E4	unknown	/CN=tomma
 
# 重启后，客户端就连不上了
systemctl restart openvpn@server

2、创建脚本

vim del_vpnuser.sh
 
# 内容
# ! /bin/bash
 
set -e
 
keys_dir=/etc/openvpn/client/keys
 
easyras_dir=/etc/openvpn/easy-rsa/
 
for user in "$@"
 
	do
		cd $easyras_dir
		
        echo -e 'yes\n' | ./easyrsa revoke $user
		
        ./easyrsa gen-crl
		
        if [ -d "$keys_dir/$user" ]; then
			rm -rf $keys_dir/${user}*
		fi
	
		systemctl restart openvpn@server
 
	done
 
exit 0

转自：https://blog.csdn.net/mshxuyi/article/details/105578705