OpenVPN介绍

  • VPN

    虚拟专用网络(VPN)的功能是:在公用网络上建立专用网络专用网络,进行加密通讯。在企业网络中有广泛应用。VPN网关通过对数据包的加密和数据包目标地址的转换实现远程访问。VPN可通过服务器、硬件、软件等多种方式实现。

    简单来说,就是提供企业之间或者个人与公司之间的安全数据传输的隧道

  • OpenVPN

    VPN直译就是虚拟专用通道,是提供给企业之间或者个人与公司之间安全数据传输的隧道,OpenVPN无疑是Linux下开源VPN的先锋,提供了良好的性能和友好的用户GUI。

    OpenVPN大量使用了OpenSSL加密库中的SSLv3/TLSv1协议函数库。

    OpenVPN 是一个基于 OpenSSL 库的应用层 VPN 实现。和传统 VPN 相比,它的优点是简单易用。

 

OpenVPN应用场景

  • Peer-to-Peer VPN(点对点连接)

    将Internet两台机器(公网地址)使用VPN连接起来,比如上海服务器和北京服务器之间的数据需要相互调用,但是数据有比较敏感,直接通过http公共传输,容易被窃取。如果拉一条专线成本又太高。那么我们可以通过VPN使用现有网络,将两台主机逻辑上捆绑在一个虚拟网络中,这样既保证了数据安全传输,同时又节省了成本。

  • Site-to-Site VPN(站点到站点连接)

    用于连接两个或者多个地域上不同的局域网LAN,每个LAN有一台OpenVPN服务器作为接入点,组成虚拟专用网络,使得不同LAN里面的主机和服务器都能够相互通讯(比如国内公司与海外分公司的连接)

  • Remote Access VPN(远程访问)

    应用于外网用户访问内部网络。在这个场景中远程访问者一般通过公网IP连接VPN服务,然后通过分配后的内网地址与内网网段进行通信。

 

OpenVPN部署

环境规划

主机名 外网IP 内网IP 角色
openvpn 10.0.0.61 172.16.1.61 OpenVPN服务端
web-01 172.16.1.7 内网主机
web-02 172.16.1.8 内网主机
10.0.0.1 OpenVPN客户端

生成证书

  • 下载证书生成工具 easy-rsa

    yum -y install easy-rsa
  • 创建证书环境目录

    mkdir -p /opt/easy-rsa
    cp -a /usr/share/easy-rsa/3.0.7/* /opt/easy-rsa/
    cp -a /usr/share/doc/easy-rsa-3.0.7/vars.example /opt/easy-rsa/vars
  • 生成秘钥前,准备 vars 文件

    修改文件 /opt/easy-rsa/vars 中的如下配置(要取消注释)

    set_var EASYRSA_DN      "cn_only"
    set_var EASYRSA_REQ_COUNTRY "CN"
    set_var EASYRSA_REQ_PROVINCE "Shanghai"
    set_var EASYRSA_REQ_CITY "Shanghai"
    set_var EASYRSA_REQ_ORG "whb"
    set_var EASYRSA_REQ_EMAIL "whb@qq.com"
    set_var EASYRSA_NS_SUPPORT "yes"
  • 初始化

    在当前目录下创建 pki 目录,用于存储证书

    cd /opt/easy-rsa/
    /opt/easy-rsa/easyrsa init-pki

    openvpn-1.png

  • 创建根证书

    根证书用于ca对之后生成的server和client证书签名时使用。

    /opt/easy-rsa/easyrsa build-ca

    openvpn-2.png

  • 创建server端证书和私钥文件

    nopass表示不加密私钥文件,生成过程中直接回车默认

    /opt/easy-rsa/easyrsa gen-req server nopass

    openvpn-3.png

  • 给server证书签名

    /opt/easy-rsa/easyrsa sign server server

    openvpn-4.png

  • 创建Diffie-Hellman文件,秘钥交换时的Diffie-Hellman算法

    /opt/easy-rsa/easyrsa gen-dh
  • 创建server端证书和私钥文件

    nopass表示不加密私钥文件,生成过程中直接回车默认

    /opt/easy-rsa/easyrsa gen-req client nopass

    openvpn-5.png

  • 给client端证书签名

    /opt/easy-rsa/easyrsa sign client client

    openvpn-6.png

OpenVPN 服务端部署

  • 安装 openvpn 软件

      yum -y install openvpn 

    - 修改配置文件

    自行创建配置文件 `/etc/openvpn/server.conf `,并加入如下配置

    ```bash
    [root@openvpn ~]# cat /etc/openvpn/server.conf
    port 1194 #端口
    proto udp #协议
    dev tun #采用路由隧道模式tun
    ca ca.crt #ca证书文件位置
    cert server.crt #服务端公钥名称
    key server.key #服务端私钥名称
    dh dh.pem #交换证书
    server 10.8.0.0 255.255.255.0 #给客户端分配地址池,注意:不能和VPN服务器内网网段有相同
    push "route 172.16.1.0 255.255.255.0" #允许客户端访问内网172.16.1.0网段
    ifconfig-pool-persist ipp.txt #地址池记录文件位置
    keepalive 10 120 #存活时间,10秒ping一次,120 如未收到响应则视为断线
    max-clients 100 #最多允许100个客户端连接
    status openvpn-status.log #日志记录位置
    verb 3 #openvpn版本
    client-to-client #客户端与客户端之间支持通信
    log /var/log/openvpn.log #openvpn日志记录位置
    persist-key #通过keepalive检测超时后,重新启动VPN,不重新读取keys,保留第一次使用的keys。
    persist-tun #检测超时后,重新启动VPN,一直保持tun是linkup的。否则网络会先linkdown然后再linkup
    duplicate-cn
  • 拷贝证书到 openvpn 主配置文件目录下

    cp -a /opt/easy-rsa/pki/ca.crt /etc/openvpn/
    cp -a /opt/easy-rsa/pki/issued/server.crt /etc/openvpn/
    cp -a /opt/easy-rsa/pki/private/server.key /etc/openvpn/
    cp -a /opt/easy-rsa/pki/dh.pem /etc/openvpn/
  • 启动 openvpn

    systemctl -f enable openvpn@server.service
    systemctl start openvpn@server.service

OpenVPN 客户端部署

  • 安装 OpenVPN 客户端软件

    这里是在windows环境下部署 OpenVPN 的客户端的,首先需要下载安装 OpenVPN 客户端软件

  • 配置客户端

    拷贝服务端生成的证书到OpenVPN安装目录的 config 目录下

    分别拷贝以下几个文件

    /opt/easy-rsa/pki/ca.crt 
    /opt/easy-rsa/pki/issued/client.crt
    /opt/easy-rsa/pki/private/client.key
  • 编写客户端配置文件

    在 OpenVPN 安装目录的 config 目录下,新建一个 client.ovpn 文件,在文件中添加如下配置:

    client #指定当前VPN是客户端
    dev tun #使用tun隧道传输协议
    proto udp #使用udp协议传输数据
    remote 10.0.0.61 1194 #openvpn服务器IP地址端口号
    resolv-retry infinite #断线自动重新连接,在网络不稳定的情况下非常有用
    nobind #不绑定本地特定的端口号
    ca ca.crt #指定CA证书的文件路径
    cert client.crt #指定当前客户端的证书文件路径
    key client.key #指定当前客户端的私钥文件路径
    verb 3 #指定日志文件的记录详细级别,可选0-9,等级越高日志内容越详细
    persist-key #通过keepalive检测超时后,重新启动VPN,不重新读取keys,保留第一次使用的keys
    persist-tun #检测超时后,重新启动VPN,一直保持tun是linkup的。否则网络会先linkdown然后再linkup
  • 启动 openvpn 客户端软件

    双击安装好后的 openvpn 软件,然后右键点击连接。

    连接成功后,在托任务栏位置的 OpenVPN 图标会变绿色,则说明 OpenVPN 已经连接成功。

    openvpn-7.png

    OpenVPN会分配一个IP地址给客户端,客户端会使用该虚拟网络IP地址与服务端进行通信。

 

OpenVPN 客户端访问内网

开启内核转发

在 openvpn 服务端开启内核转发。

[root@openvpn ~]# echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf

注意:

无论用哪种方式访问内部网络,都必须开启内核转发。

添加路由规则方式访问内部网络

在内网主机 web-01 上添加一条路由规则,让 web-01 有回到 openvpn 客户端的路由。如果不添加,那 web-01 只能接受到来自客户端的包,但是没法把响应的包传回去。

弊端:如果有成白上千台主机时,每一台主机都要添加路由规则,这样任务量是比较大的。

[root@web-01 ~]# route add -net 10.8.0.0/24 gw 172.16.1.61

开启防火墙方式访问内部网络

在服务端开启防火墙,放行 openvpn 服务,并且开启 masquerade

优点:只需在OpenVPN服务端配置防火墙规则,内部网络主机无需配置。

systemctl start firewalld
firewall-cmd --add-masquerade --permanent
firewall-cmd --add-service=openvpn --permanent
firewall-cmd --reload

 

双重验证登录

使用 OpenVPN 秘钥和用户名密码双重身份验证登录。

为什么需要用户名密码验证登录?

我们已经使用了 CA 证书、交换秘钥这几种方式进行加密了,可以说已经很安全了,为什么还要需要用户名密码呢?

首先安全还是很重要的,其次就是管理这些秘钥和证书还是比较麻烦的,如果用户量比较多,我们不可能为每个用户都创建一套加密,每个用户创建一个秘钥比较麻烦,但多人使用一个秘钥又不具有唯一性,比如说有用户不在需要 VPN 的时候,我们就只能吊销证书。但是如果多人使用一个秘钥的情况下,吊销证书了,其他的用户也登录不了。所以我们就需要秘钥加用户名和密码,这样就可以多个用户使用同一个证书,使用不同的用户名和密码。

新用户加入的时候,只需要添加一个用户名和密码,如果有人不需要 VPN 时,直接删除用户名和密码就可以了。

修改 Server 端配置

  • 修改配置文件

    在配置文件 /etc/openvpn/server.conf 中添加以下配置

    script-security 3              #允许使用自定义脚本
    auth-user-pass-verify /etc/openvpn/check.sh via-env
    username-as-common-name #用户密码登陆方式验证

    注意:

如果加上 client-cert-not-required 则代表只使用用户名密码方式验证登录,如果不加,则代表需要证书和用户名密码双重验证登录!

  • 添加脚本

    [root@openvpn ~]# vim /etc/openvpn/check.sh
    #!/bin/sh
    ###########################################################
    PASSFILE="/etc/openvpn/openvpnfile"
    LOG_FILE="/var/log/openvpn-password.log"
    TIME_STAMP=`date "+%Y-%m-%d %T"`

    if [ ! -r "${PASSFILE}" ]; then
    echo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >> ${LOG_FILE}
    exit 1
    fi

    CORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}' ${PASSFILE}`

    if [ "${CORRECT_PASSWORD}" = "" ]; then
    echo "${TIME_STAMP}: User does not exist: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
    exit 1
    fi
    if [ "${password}" = "${CORRECT_PASSWORD}" ]; then
    echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}
    exit 0
    fi

    echo "${TIME_STAMP}: Incorrect password: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}
    exit 1

    给脚本添加执行权限

    chmod +x /etc/openvpn/check.sh 
  • 编写用户密码文件

    [root@openvpn ~]# cat /etc/openvpn/openvpnfile
    whb 123456
  • 重启 openvpn 服务

    systemctl restart openvpn@server.service

修改客户端配置

在安装目录下 config 目录下的 client.ovpn 文件中添加如下配置

auth-user-pass

然后重启 openvpn 客户端软件。

再次使用就会跳出用户登录窗口了

openvpn-8.png

输入用户名和密码后登录成功。