一：openvpn简介

1.OpenVPN是一个用于创建虚拟专用网络(Virtual Private Network)加密通道的免费开源软件。使用OpenVPN可以方便地在家庭、办公场所、住宿酒店等不同网络访问场所之间搭建类似于局域网的专用网络通道。OpenVPN使用方便，运行性能优秀，支持Solaris、Linux 2.2+(Linux 2.2+表示Linux 2.2及以上版本，下同)、OpenBSD 3.0+、FreeBSD、NetBSD、Mac OS X、Android和Windows 2000+的操作系统，并且采用了高强度的数据加密，再加上其开源免费的特性，使得OpenVPN成为中小型企业及个人的VPN首选产品。
使用OpenVPN配合特定的代理服务器，可用于访问Youtube、FaceBook、Twitter等受限网站，也可用于突破公司的网络限制。由于OpenVPN支持UDP协议，还可以配合HTTP代理(HTTP Proxy)使用，使得只要是能够打开网站或上QQ的地方，就可以访问外部的任何网站或其他网络资源。

2.openvpn基于ssl vpn的软件

使用了openssl及sslv3/Tlsv1协议
c/s架构的软件，需要单独安装openvpn客户端

3.openvpn和其他vpn的场景选择

a.个人拨号选择openvpn,功能强大，稳定可靠。
b.如果不希望单独安装客户端拨号，则可选择pptp.(pptp好多地方不支持)
c.多个企业之间或者多个IDC机房直接互联，选择ipsecvpn或者openvpn.

二.openvpn搭建架构图及环境准备

1.实验架构图

2.模拟环境ip准备

vpserver:
eth0      Link encap:Ethernet  HWaddr 00:0C:29:09:9C:5F  
          inet addr:10.0.0.72 
GW:10.0.0.2
eth1      Link encap:Ethernet  HWaddr 00:0C:29:09:9C:69  
          inet addr:192.168.112.129
app client server
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.112.130
本机windows客户端ip:10.20.23.24

3.开启路由转发

[root@client ~]# echo "net.ipv4.ip_forward=1" >>/etc/sysctl.conf
[root@client ~]# sysctl -p
net.ipv4.ip_forward = 1

4.linux系统环境

[root@master ~]# cat /etc/redhat-release 
CentOS release 6.5 (Final)
[root@master ~]# uname -r
2.6.32-696.10.1.el6.x86_64
[root@master ~]# uname -m
x86_64
时间同步：
ntpdate 10.0.2.2

二：openvpn生产环境部署

1.安装openvpn

cd  /usr/local/src
wget http://www.oberhumer.com/opensource/lzo/download/lzo-2.10.tar.gz
tar  zxf  lzo-2.10.tar.gz 
yum install -y gcc
cd lzo-2.10
./configure 
make &&make install 
cd ..
[root@master openvpn-2.3.6]# rpm -qa openssl
openssl-1.0.1e-15.el6.x86_64
yum install -y openssl* 
yum install -y lzo lzo-devel
yum install -y  gcc gcc-c++ openssl openssl-devel lzo lzo-devel pam pam-devel automake 
wget https://swupdate.openvpn.org/community/releases/openvpn-2.3.6.tar.gz
tar -zxf  openvpn-2.3.6.tar.gz
cd openvpn-2.3.6
./configure  --with-lzo-headers=/usr/local/lzo/include    --with-lzo-lib=/usr/local/lzo/lib  --with-ssl-headers=/usr/include/openssl --with-ssl-lib=/usr/lib
 make &&make install

2.OpenVPN 配置文件配置:

yum install -y git 
git clone https://github.com/OpenVPN/easy-rsa
mkdir /etc/openvpn 
cp sample/sample-config-files/server.conf /etc/openvpn/

3.密钥生成工具

wget https://github.com/OpenVPN/easy-rsa/archive/release/2.x.zip
 unzip 2.x.zip 
cp -ra easy-rsa-release-2.x/easy-rsa/2.0 /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa

修改vars

vi vars
export KEY_COUNTRY="CN"
export KEY_PROVINCE="Shanghai"
export KEY_CITY="Shanghai"
export KEY_ORG="gtj"
export KEY_EMAIL="258818040@qq.com"
export KEY_OU="IT"

# X509 Subject Field
export KEY_NAME="gtj"

root@master easy-rsa]# source vars 
NOTE: If you run ./clean-all, I will be doing a rm -rf on /etc/openvpn/easy-rsa/keys
清除没用的 keys 文件,确认当前目录下已经没有可用的 key 文件
 ./clean-all 
建立根 CA 证书
 ./build-ca 

4.建立 server key

./build-key-server server


参考：

5.生成客户端 key,和 server key 类似

非加密认证的产生key的方式。

6.build-dh 生成 dh 文件

生成传输进行秘钥交换时用到的交换秘钥协议文件
./build-dh

7.生产防ddos攻击文件：

openvpn --genkey --secret keys/ta.key
[root@master easy-rsa]# ls keys/ta.key 
keys/ta.key
cp -ap keys ./../

8.服务端 server.conf 配置如下：

mkdir /etc/openvpn 
cp sample/sample-config-files/server.conf /etc/openvpn/
cp /usr/local/src/openvpn-2.3.6/sample/sample-config-files/client.conf /etc/openvpn/
[root@master openvpn]# tree
├── keys
│   ├── 01.pem
│   ├── 02.pem
│   ├── 03.pem
│   ├── ca.crt
│   ├── ca.key
│   ├── client.crt
│   ├── client.csr
│   ├── client.key
│   ├── dh2048.pem
│   ├── gtj.crt
│   ├── gtj.csr
│   ├── gtj.key
│   ├── index.txt
│   ├── index.txt.attr
│   ├── index.txt.attr.old
│   ├── index.txt.old
│   ├── serial
│   ├── serial.old
│   ├── server.crt
│   ├── server.csr
│   ├── server.key
│   └── ta.key
└── server.conf

cp server.conf server.conf.ori 

参考：

[root@master openvpn]# grep -vE '^#|^;|^$' /etc/openvpn/server.conf 
local 10.0.0.72
port 1194
proto tcp
dev tun
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key  
dh /etc/openvpn/keys/dh2048.pem
server 10.8.0.0 255.255.255.0
push "route 192.168.122.0  255.255.255.0"
ifconfig-pool-persist ipp.txt
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3
client-to-client
duplicate-cn
log /var/log/openvpn.log

9.设置 OpenVPN 服务器 reboot 后自动启动 openvpn

 vi /etc/rc.local
 /usr/local/sbin/openvpn --config /etc/openvpn/server.conf &
启动 OpenVPN
 /usr/local/sbin/openvpn --config /etc/openvpn/server.conf &

[root@master openvpn]# ifconfig

三：openvpn客户端

1.安装windows客户端

http://swupdate.openvpn.org/community/releases/openvpn-install-2.3.6-I603-x86_64.exe

双击安装，默认即可。

[root@master keys]# sz -y ca.crt ./../client.conf client.crt  client.key 
放在C:\Program Files\OpenVPN\config下
[root@master openvpn]# egrep -v "^#|^;|^$" client.conf 
client
dev tun
proto tcp
remote 10.0.0.72 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
remote-cert-tls server
comp-lzo
verb 3

配置文件client.ovpn

客户端已经连上

2.测试

目前本机ip是ping能ping到内容192.168.112.130,但是没有返回。
tcpdump -nnn -s 10000 |grep -i icmp
现在可以在appserver上添加默认网关为vpnserver内网地址的方式
[root@client ~]# route add default gw 192.168.112.129


第二种方式：
当vpn客户端的gw不是vpnserver内网地址的时候，所有的vpn客户端都要加网络路由，命令如下
route add -net 10.8.0.0/24 gw 192.168.122.129,如果当vpn客户端的gw是vpnserver内网地址的时候，无需加路由了。
第三种方式（推荐这种方式）：
适用于APPclient的网关不是vpnserver的场景。
可以在vpnserver上把10.8.0.6的地址转化为192.168.122.129地址，然后就可以访问了，

/etc/init.d/iptables stop
/etc/init.d/iptables stop
/sbin/iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth1 -j SNAT --to-source 192.168.122.129
/sbin/iptables -t nat  -I POSTROUTING -s 10.8.0.0/255.255.255.0 -o eth1 -j MASQUERADE  #动态ip转化为静态IP
iptables -t nat -L -n

window客户端10.20.23.24可以直接ping 192.168.112.130的地址。


通过tcpdump -nnn -s 10000 |grep -i icmp查看ping的过程


搭建成功。
四：本次架构关于linux端演示就不在描述了。相关OpenVPN实现双IDC互联,及多机房互联架构和本实验类似，调整下参数等就能实现了。

AD：让我们在it的道路上越行越远!