Linux OpenVPN伺服器搭建總結

使用OpenVPN可以在Linux下，三步快速搭建一個VPN伺服器。
1.            安裝服務端程式
2.            佈建服務端
3.            安裝用戶端
一.安裝服務端軟體
下載lzo和openvpn：
http://www.oberhumer.com/opensource/lzo/download/
http://openvpn.net/release/

根據需要，下載需要的版本。我使用了lzo-1.08.tar.gz 和 openvpn-2.0.tar.gz。分別進行解壓和安裝：
# ./configure
# make && make install
二.佈建服務端
1. 產生認證
使用openvpn安裝包中的easy-rsa產生相應的服務端和用戶端認證。
根據需要，編輯easy-rsa目錄中的vars檔案：
export D=”`pwd`”
export KEY_CONFIG=”$D/openssl.cnf”
export KEY_DIR=”$D/keys”
export KEY_COUNTRY=”CN”
export KEY_PROVINCE=”SH”
export KEY_CITY=”PD”
export KEY_ORG=”test”
export KEY_EMAIL=”xx@xx.com”
# source vars
source與shell命令的不同在於，source會在當前shell下執行指定的命令。
執行完成後，查看一下環境變數，確保賦值成功。
第一次安裝時，可以運行./clean-all,會清除所有已產生的認證密鑰。
產生服務端認證：
# ./build-ca
根據提示填入相應資訊。
2. 產生密鑰
產生服務端密鑰：
# ./build-key-server server-name
根據提示填入相應資訊。
產生用戶端密鑰：
# ./build-key client-name
每個用戶端的Common Name（client name）必須不一樣。同理可以產生其他的用戶端密鑰。
3. 產生Diffie Hellman參數
# ./build-dh
4. 將 keys 下的所有檔案打包下載到本地
5. 建立、佈建服務端設定檔
/etc/openvpn/server.conf
dev tun
ifconfig 10.8.0.1 10.8.0.2
ca xx/ca.crt #指向產生的服務端認證
cert xx/server.crt #指向產生的伺服器憑證
key xx/server.key  #指向產生的伺服器密鑰
dh xx/dh1024.pem  #指向相應目錄下的檔案
user nobody ;降低執行許可權
group nobody
port 3389 ;改連接埠
comp-lzo ;開啟壓縮加速
;no-log ;關閉日誌
verb 0
status /dev/null
log /dev/null
log-append /dev/null6. 開啟Linux伺服器的路由功能，並配置iptables
在/etc/sysctl.conf中添加
net.ipv4.ip_forward = 1
# sysctl –p
# iptables -t nat -A POSTROUTING -o eth0 -s 10.8.0.0/24 -j MASQUERADE
# /etc/init.d/iptables save
7. 添加開機啟動
編輯/etc/rc.local，添加命令列：
使用nohup後台運行
nohup openvpn {path to server.conf} >/dev/null 2>&1 &
三.安裝用戶端
安裝用戶端相對要容易很多，直接在OpenVPN官網下載用戶端安裝即可。
安裝完成後，需要配置一下用戶端的設定檔，在/config檔案夾下：
dev tun
remote {ip} {port}
#指定相應的認證和用戶端密鑰（第二步中在服務端產生的）
ca "xxx\\sample-config\\key\\ca.crt"
cert "xxx\\sample-config\\key\\client.crt"
key "xxx\\sample-config\\key\\client.key"四.FAQ
安裝、配置和使用的過程中，可能還會遇到一些問題，下面是我遇到的一些問題和解決方案：
1. Win8系統中，用戶端程式的安裝使用。
前往http://openvpn.net/index.php/open-source/downloads.html下載最新版用戶端程式。安裝並配置用戶端設定檔，使用管理員權限啟動用戶端即可。
2. OpenVPN撥號連網，無法上網的問題。
首先查看服務端是否開啟了路由轉寄。
是否有acl策略阻止，檢查iptables。
檢查用戶端路由策略。用戶端路由策略需按以下規則配置：
靜態路由 vpn伺服器位址 255.255.255.255 用戶端網關地址 優先順序 最高
預設路由 0.0.0.0 0.0.0.0 vpn網關 優先順序 其次
預設路由 0.0.0.0 0.0.0.0 用戶端網關 優先順序 再次
Reference:
http://net.chinaunix.net/8/2008/10/10/1285095.shtml
http://www.vpntutorials.com/tutorials/openvpn-client-setup-tutorial-for-windows-8/
 http://www.bkjia.com/os/201312/268608.html
https://www.virtacoresupport.com/index.php?_m=knowledgebase&_a=viewarticle&kbarticleid=80