|
Centos单网卡内网搭建openvpn服务
拓扑图如下
概述： 1. 实现的功能：... 1 2. 安装前准备:1 3. 安装openvpn. 2 4. 生成证书文件：... 2 5. 创建服务端配置文件... 2 6. 配置内核路由转发和iptables转发：... 3 7. 创建客户端配置文件：... 4 8. 客户端的安装及配置:4
1. 实现的功能：通过openvpn客户端连接上vpn,能够获取ip，能够访问内网工作区PC
2. 安装前准备:关闭selinux 将外网ip地址端口映射到openvpn服务器的1194端口
3. 安装openvpn# rpm -ivh http://mirrors.sohu.com/fedora-epel/6/x86_64/epel-release-6-8.noarch.rpm # yum -y install openssl openssl-devel lzo openvpn easy-rsa
4. 生成证书文件：# cd /usr/share/easy-rsa/2.0/ # rm -rf vars&& vi vars exportEASY_RSA="`pwd`" exportOPENSSL="openssl" exportPKCS11TOOL="pkcs11-tool" exportGREP="grep" exportKEY_CONFIG=`$EASY_RSA/whichopensslcnf $EASY_RSA` exportKEY_DIR="$EASY_RSA/keys" echo NOTE: If you run./clean-all, I will be doing a rm -rf on $KEY_DIR exportPKCS11_MODULE_PATH="dummy" exportPKCS11_PIN="dummy" export KEY_SIZE=2048 export CA_EXPIRE=3650 exportKEY_EXPIRE=3650 exportKEY_COUNTRY="CN" exportKEY_PROVINCE="GD" exportKEY_CITY="Zhuhai" exportKEY_ORG="smartsoft" exportKEY_EMAIL="me@myhost.mydomain" exportKEY_OU="smartsoft" exportKEY_NAME="EasyRSA" # source vars //重新初始化证书信息环境变量 # ./clean-all //清除keys目录下所有与证书相关的文件 # ./build-ca //生成根证书ca.crt和根密钥ca.key（一路按回车即可） # ./build-key-server server //为服务端生成证书和密钥（一路按回车，直到提示需要输入y/n时，输入y再按回车，一共两次） # ./build-key smartsoft //为客户端生成证书和密钥（一路按回车，直到提示需要输入y/n时，输入y再按回车，一共两次） # ./build-dh //创建迪菲·赫尔曼密钥，会生成dh2048.pem文件 # openvpn –genkey –secret keys/ta.key //生成ta.key文件（防DDos攻击、UDP淹没等恶意攻击）
5.创建服务端配置文件# mkdir /etc/openvpn/keys # cp /usr/share/easy-rsa/2.0/keys/{ca.crt,server.{crt,key},dh2048.pem,ta.key} /etc/openvpn/keys/ # vim /etc/openvpn/server.conf
;mode server ;tls-server port 1194 proto tcp ;topology subnet dev tun ca keys/ca.crt cert keys/server.crt key keys/server.key dh keys/dh2048.pem script-security 3 username-as-common-name ;plugin /usr/lib64/openvpn/plugin/lib/openvpn-auth-ldap.so "/etc/openvpn/server/ldap.conf" server 10.10.10.0 255.255.255.0 ifconfig-pool-persist ipp.txt push "redirect-gateway" push "route 172.16.112.0 255.255.255.0" push "route 0.0.0.0 0.0.0.0" push "dhcp-option DNS 192.168.21.2" push "dhcp-option DNS 114.114.114.114" duplicate-cn client-to-client keepalive 10 120 comp-lzo persist-key persist-tun status openvpn-status.log #通过使用用户验证密码文件来验证vpn登录用户 auth-user-pass-verify /etc/openvpn/users/checkpsw.sh via-env ;client-cert-not-required username-as-common-name verb 5 mute 10 reneg-sec 1800
6. 配置内核路由转发和iptables转发：# sed -i '/net.ipv4.ip_forward/s/0/1/' /etc/sysctl.conf # sysctl -p //可以先去熟悉如何定义iptables策略 # vi /etc/sysconfig/iptables（红色部分表示重要的策略） # Generated by iptables-save v1.4.7 on Mon Nov 2 19:19:12 2015 *nat :PREROUTING ACCEPT [0:0] :POSTROUTING ACCEPT [0:0] :OUTPUT ACCEPT [0:0] #不允许访问10.0.9/8/7/6.*网段，这是因为内网网络是跟另外一个网络建立了vpn连接，所以不想用Openvpn直接访问另外一个网络 -A PREROUTING -d 10.0.9.0/24 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.8.0/27 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.8.128/25 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.8.32/27 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.8.64/27 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.7.0/25 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.7.128/26 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.7.192/26 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.6.0/26 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.6.64/26 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.6.128/26 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 -A PREROUTING -d 10.0.6.192/26 -p tcp -m tcp --dport 22 -j DNAT --to-destination 127.0.0.1 #伪装10.10.10.0/24的数据 -A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE #地址转换 -A POSTROUTING -s 10.10.10.0/24 -d 172.16.112.0/24 -j SNAT --to-source 172.16.112.171 COMMIT # Completed on Mon Nov 2 19:19:12 2015 # Generated by iptables-save v1.4.7 on Mon Nov 2 19:19:12 2015 *filter :INPUT ACCEPT [603:48381] :FORWARD ACCEPT [594:717393] :OUTPUT ACCEPT [1777:901584] -A INPUT -i lo -j ACCEPT -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT -A INPUT -p tcp -m tcp --dport 389 -j ACCEPT -A INPUT -p tcp -m tcp --dport 943 -j ACCEPT -A INPUT -p tcp -m tcp --dport 8080 -j ACCEPT -A INPUT -p tcp -m tcp --dport 8088 -j ACCEPT -A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT -A INPUT -p tcp -m tcp --dport 3389 -j ACCEPT -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT -A INPUT -m state --state ESTABLISHED -j ACCEPT -A INPUT -s 172.16.112.0/24 -p tcp -j ACCEPT -A INPUT -s 172.16.113.0/24 -p tcp -j ACCEPT -A INPUT -s 172.16.114.0/24 -p tcp -j ACCEPT -A INPUT -s 192.168.21.0/24 -p tcp -j ACCEPT -A INPUT -s 10.10.10.0/24 -d 172.16.112.0/24 -i eth0 -p tcp -m tcp --dport 1194 -j ACCEPT -A INPUT -i tun0 -j ACCEPT -A FORWARD -i tun0 -j ACCEPT COMMIT # Completed on Mon Nov 2 19:19:12 2015 # service openvpn start # chkconfig openvpn on # chkconfig iptables on # service iptables restart
7. 创建客户端配置文件：
//创建文件命名为smartsoft.ovpn # vi client.ovpn client dev tun proto tcp remote 1.1.1.1 1010 resolv-retry infinite nobind persist-key persist-tun ca ca.crt cert smartsoft.crt key smartsoft.key ns-cert-type server comp-lzo verb 5
8. 客户端的安装及配置://OpenVPN 2.3.3 Windows 32位 安装文件： http://swupdate.openvpn.org/community/releases/openvpn-install-2.3.3-I002-i686.exe //OpenVPN 2.3.3 Windows 64位 安装文件： http://swupdate.openvpn.org/community/releases/openvpn-install-2.3.3-I002-x86_64.exe //将OpenVPN服务器上的smartsoft.ovpn、ca.crt、smartsoft.crt、smartsoft.key、ta.key上传到Windows客户端安装 目录下的config文件夹（C:\Program Files\OpenVPN\config） //打开服务管理器，启动openvpn服务
//启动OpenVPN GUI 在电脑右下角的openvpn图标上右击，选择“Connect”。正常情况下应该能够连接成功，分配正常的IP。
最终终于可以通过openvpn客户端连接openvpn服务了，并且终于可以访问公司内网了，不能访问公司内网与合作公司的网络建立的vpn网络，多多少少实现了对合作公司的网络安全 (责任编辑：IT) |
