OPENVPN搭建和配置(全)-.ppt

Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,Copyright 2009,Boobooke.All rights reserved.,Click to edit Master title style,1-,*,OpenVPN,实战,Linux,安全系列,试验内容,了解,VPN,技术原理,了解开源软件,OpenVPN,OpenVPN,在,Linux CentOS5,上架构,引言,X,美国有台,VPS,主机，,VPS,可以访问,但是在国内的网络是无法访问这个网站，但是能访问,VPS,主机,OpenVPN,OpenVPN,是一个用于创建虚拟专用网络加密通道的软件包，最早由,James,Yonan,编写。,OpenVPN,允许参与建立,VPN,的单点使用预设的私钥，第三方证书，或者用户名,/,密码来进行身份验证。它大量使用了,OpenSSL,加密库，以及,SSLv3/TLSv1,协议。,OpenVPN,能在,Linux,、,xBSD,、,Mac OS X,与,Windows 2000/XP,上运行。它并不是一个基于,Web,的,VPN,软件，也不与,IPsec,及其他,VPN,软件包兼容。,openVPN,OpenVPN,所有的通信都能基于一个单一的,IP,端口,.,OpenVPN,提供了两种虚拟网络接口,:,通用,tun,/Tap,驱动,通过它们,可以建立三层,IP,隧道,或者虚拟二层以太网,后者可以传送任何类型的二层以太网络数据,传送的数据可通过,LZO,算法压缩,.,IANA(Internet,Assigned Numbers Authority),指定给,OpenVPN,的官方端口为,1194.,OpenVPN,使用通用网络协议（,TCP,与,UDP,）的特点使它成为,IPsec,等协议的理想替代，尤其是在,ISP,（,Internet service provider,）过滤某些特定,VPN,协议的情况下。,实战拓朴图,实战操作,跟根网络拓朴图进行架构,操作步骤：,1,，前期准备工作（系统安装，软件下载）,2,在,Centos5,上安装,OpenVPN,(,一台服务端，一台做客户端,),3,进行服务端的配置,4,，进行客户端的配置,5,，测试,下载,OpenVPN,1,服务端的下载,,下载,OpenVPN,RPM,包下载,,OpenVPN,2,下载,OpenVPN,客户端,,openvpn.se,/,Linux,安装,OpenVPN,rootCentOS,root#,rpm-,ivh,lzo-2.02-3.el5.kb.i386.rpm,rootCentOS,root#,rpm-,ivh,openvpn-2.1-0.20.rc4.el5.kb.i386.rpm,为配置做准备，,copy,文件,rootCentOS,root#cp,-r/usr/share/openvpn/easy-rsa/2.0/etc/,openvpn,/,rootCentOS,root#cp,/usr/share/doc/openvpn-2.1/sample-config-files/server.conf/etc/,openvpn,/,配置,OpenVPN,1,生成证书,key,(1),初始化,PKI,rootCentOS,root#cd,/etc/openvpn/2.0,rootCentOS,2.0#vi,vars,修改下面几项,export KEY_COUNTRY=CNexport KEY_PROVINCE=SXexport KEY_CITY=XAexport KEY_ORG=VPN-TESTexport KEY_EMAIL=,ganxing888,配置,OpenVPN,rootCentOS,2.0#source./,vars,rootCentOS,2.0#./clean-all,rootCentOS,2.0#./build-ca,(2),建立,server key,rootCentOS,2.0#./build-key-server server,(3)#,生成客户端,key,rootCentOS,2.0#./build-key client1,配置,OpenVPN,2,生成,Diffie,Hellman,参数,rootCentOS,2.0#./build-dh,3,将,keys,下的所有文件打包下载到本地,其它客户机用,。,4,，创建服务端配置文件,将,keys,下的,ca.crt,server.crt,server.key,dh1024.pem,拷贝到,/etc/,openvpn,服务器配置文件,/etc/,openvpn/server.conf,配置,OpenVPN,port 1194proto,udp,dev,tun,ca,ca.crt,cert,server.crt,key,server.key,dh dh1024.pemserver 10.8.0.0 255.255.255.0client-to-client,keepalive,10 120comp-,lzo,persist-keypersist-,tun,status,openvpn-status.log,verb 4,push,dhcp,-option DNS 10.8.0.1push,dhcp,-option DNS 218.30.19.40push,dhcp,-option DNS 61.134.1.4,配置,OpenVPN,5,检查配置是否有误,启动,OpenVPN,服务器,rootCentOS,2.0#service,openvpn,restartShutting down,openvpn,:OK Starting,openvpn,:OK,rootCentOS,2.0#ifconfig,tun0 Link,encap:UNSPEC,HWaddr,00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00,inet,addr:10.8.0.1 P-t-P:10.8.0.2 Mask:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 RX bytes:0(0.0 b)TX bytes:0(0.0 b),Client,配置,1,OpenVPN,GUI For Windows,A:,安装,-next-,完成（再菜的鸟都会）,B:,将服务器上生成的客户机证书文件放到,config,方件夹下，,将,sample-,config,下的范例,client.ovpn,拷到,config,下,Client,配置,c,lient.ovpn,文件内容,client,dev,tun,proto,udp,remote,a,b,c,d,1194#,工作单位外网,IP,persist-key persist-,tun,ca,ca.crt,cert client1.crt key client1.key ns-cert-type server comp-,lzo,verb 3,redirect-gateway def1,服务器端口映射,在路由器上映射,1194,端口到,OpenVPN,服务器上,/,sbin/iptables,-t,nat,-A PREROUTING-p,udp,-d,a.b.c.d,-,dport,1194-j DNAT-to 192.168.0.2:1194,如果不是,Linux,路由，做相应的端口映射即可,Windows,客户端连,OpenVPN,Linux Client,配置,2,Linux,客户端配置,A:,安装软件包,rootCentOS,root#,rpm-,ivh,lzo-2.02-3.el5.kb.i386.rpm,rootCentOS,root#,rpm-,ivh,openvpn-2.1-0.20.rc4.el5.kb.i386.rpm,B:,配置,将在,VPN,服务器上生成的,client,证书等文件拷贝到,/etc/,openvpn,目录下,rootCentOS,openvpn,#,ls,ca.crt,client2.crt client2.csr client2.key,client.conf,C:client.conf,是,Windwos,客户端的,client.ovpn,内容改写来的,Linux Client,配置,c,lient.conf,文件内容,client,dev,tun,proto,udp,remote 192.168.0.2 1194,persist-key persist-,tun,ca,ca.crt,cert client2.crt key client2.key ns-cert-type server comp-,lzo,verb 3,redirect-gateway def1,Linux Client,配置,D:,启动,Openvpn,客户服务,rootCentOS,openvpn,#service,openvpn,restartShutting down,openvpn,:OK Starting,openvpn,:OK,OpenVPN,访问外网的设置,在,Openvpn,服务器上打开路由,VPN,连接成功后,还需要设置路由,才能透过,VPN,访问,Internet.,在,linux,vpn,服务器上添加路由,echo 1 /proc/sys/net/ipv4/ip_forward,iptables,-t,nat,-A POSTROUTING-s 10.8.0.0/24-o eth0-j SNAT-to-source192.168.0.2,为了以后系统重新启动，自动打开路由转发功能，将上面二行代码写到,/etc/,rc.d/rc.loal,文件中,.,收尾工作：将要启动的服务，脚本加入自启动,测试工作,1,，,Windows client,与,OpenVPN,server,通信,2,，,Linux VPN client,与,OpenVPN,server,通信,3,，,Windows client,与,Linux VPN client,互通,Windows client,与,OpenVPN,server,连接前后各上,查看,IP,为三个,VPN,clinet,分配固定,IP,server.confi,添加如下行：,client-,config,-dir,ccd,ccd/client1,ifconfig,-push 10.0.0.5 10.0.0.6,ccd/client2,ifconfig,-push 10.0.0.9 10.0.0.10,ccd/client3,ifconfig,-push 10.0.0.13 10.0.0.14,(,一,),vpn,client,访问,vpn,server,所在,192.168.10.0/24,网段内计算机,第一种方法,，添加如下行到,server.conf,push route 192.168.10.0 255.255.255.0“,第二种方法,，如果不改变,server.conf,，在,vpn,client1,里,route add net 192.168.10.0 10.0.0.6 255.255.255.0,效果一样，也可,route add net 192.168.10.0 10.0.0.1 255.255.255.0,直接路由到,vpn,server,的本端,IP,也可,client2 client3,也如此法。,现在,B,，,C,，,D,网络就可以访问,A,网络的所有机器,(,二,),vpn,server,访问,vpn,client,网段内计算机,添加如下行到,server.conf,route 192.168.11.0 255.255.255.0#,使,vpn,server,能访问,B,房间计算机,route 192.168.12.0 255.255.255.0#,使,vpn,server,能访问,C,房间计算机,route 192.168.13.0 255.255.255.0#,使,vpn,server,能访问,D,房间计算机,添加如下行到,vpn,server,里,/etc/openvpn/ccd/client1,iroute,192.168.11.0 255.255.255.0#B,房间计算机路由到,client1,添加如下行到,vpn,server,里,/etc/openvpn/ccd/client2,iroute,192.168.12.0 255.255.255.0#B,房间计算机路由到,client2,添加如下行到,vpn,server,里,/etc/openvpn/ccd/client3,iroute,192.168.13.0 255.255.255.0#B,房间计算机路由到,client3,A,网络的计算机能访问,B,，,C,，,D,网络的所有计算机了，,B,，,C,，,D,房间的计算机也能访问,A,房间的计算机了,(,三,),各个,vpn,client,之间的网段相互访问,s,erver.conf,加如下行,client-to-client,push route 192.168.11.0 255.255.255.0,push route 192.168.12.0 255.255.255.0,push route 192.168.13.0 255.255.255.0,常见小问题,1,如何添加,VPN,客户证书,A:,添加,VPN,证书和安装时添加差不多，一定要注意是，不要执行。,rootCentOS,2.0#./clear-all,B:,为,PVN CLIENT,产生证书,rootCentOS,2.0#source./,vars,rootCentOS,2.0#./build-kdy,clientx,C:,产生生成,Diffie,Hellman,参数,rootCentOS,2.0#./build-dh,常见小问题,2,，如何注销一个客户证书,A:,rootCentOS,2.0#source./,vars,rootCentOS,2.0#./revoke-full,clientx,B:,在,keys,下会生成一个,crl.pem,文件,.,将此文件移到,/etc/,openvpn,/,下,rootCentOS,2.0#cp keys/,crl.pem,/etc/,openvpn,C:,修写服务器配置文件,rootCentOS,2.0#vi/etc/,openvpn/server.conf,加上下面一条,crl,-verify,crl.pem,常见小问题,3,如何给客户机分配固定的,IP,A:,修改服务器配置文件,vi/etc/,openvpn/server.conf,/,加下机一条,指定客户机,IP,分配置文件。,c,lient-,config,-dir,ccd,B:,在,/etc/,openvpn,目录下建立一个,ccd,目录,在,ccd,目录下建立和每一个客户机对应的文件,如,client1,vi/etc/openvpn/ccd/,client1,内容如下,I,fconfig,-push 10.8.0.5 10.8.0.6,注：,IP,都是,/30,网,30=255.255.255.252,1,2 5,6 9,10 13,14 17,18 21,22 25,26 29,30 33,34 37,38 41,42 45,46 49,50 53,54 57,58 61,62 65,66 69,70 73,74 77,78 81,82 85,86 89,90 93,94 97,98101,102 105,106 109,110 113,114 117,118121,122 125,126 129,130 133,134 137,138141,142 145,146 149,150 153,154 157,158161,162 165,166 169,170 173,174 177,178181,182 185,186 189,190 193,194 197,198201,202 205,206 209,210 213,214 217,218221,222 225,226 229,230 233,234 237,238241,242 245,246 249,250 253,254,常见小问题,4,多台电脑如何同时使用一个客户,KEY,来登陆。,#,如果您希望有相同,Common Name,的客户端都可以登陆,#,也可以注释下面的语句,推荐每个客户端都使用不用的,Common Name;duplicate-,cn,常见小问题,5,前面提到的，都是由服务端先生成客户端证书，然后分发到客户端，让客户端通过证书连接到服务器上。但有时候，这样的分发是比较麻烦的（也不安全）。这样，我们可以考虑另外一种方式：只在服务端制作客户端证书，而客户端只需要有,ca.crt,文件，而不需要拿到客户端证书，当登陆服务器的时候是通过用户名和密码即可登陆,OpenVPN,服务器。,A:,服务端配置,OpenVPN,可以通过插件（,plugin,）方式支持上述的用户名认证，在,Linux,下以,PAM,为例，必须先增加用户：,useradd,-M test,passwd,test,B:,然后修改,server.conf,增加：,plugin,/,usr/lib/openvpn/plugin/lib/openvpn-auth-pam.so,login,client-cert-not-required,username-as-common-name,C:,客户端配置：,client.ovpn,增加：,#,激活登陆认证方式,auth-user-pass#,修改认证证书，保留,ca.crt,即可，客户端证书可以不要了,ca,ca.crt,#cert client1.crt#key client1.key,rootCentOS,openvpn,#AUTH-PAM:BACKGROUND:received command code:0AUTH-PAM:BACKGROUND:USER/PASS:test/123123AUTH-PAM:BACKGROUND:my_conv0 query=Password:style=1,