CentOS 7 openvpn 服务搭建

一、安装软件

yum install -y openvpn easy-rsa supervisor #（openvpn 版本为 3）

二、使用 easy-rsa 生成 server 端证书

1. 拷贝 easy-rsa 到一个新目录

cp -R /usr/share/easy-rsa/ /etc/openvpn/key_server # 生成服务器端证书是会污染easy-rsa目录
#因此，服务器端证书和和客户端证书要放到不同的目录

easy-rsa 目录结构

2. 配置 vars 文件，文件位置在 /etc/openvpn/key_server/3.0.3 下，各参数自行修改

export KEY_COUNTRY="CN"
export KEY_PROVINCE="Zhe Jiang"
export KEY_CITY="Hang Zhou"
export KEY_ORG="Organization Name"
export KEY_EMAIL="admin@xxx.com"   
export KEY_CN=admin@xxx.cc
export KEY_NAME=server
export KEY_OU=server

3. 生成证书

cd /etc/openvpn/key_server/3.0.3

./easyrsa init-pki   #建立一个空的pki结构，生成一系列的文件和目录
./easyrsa build-ca   #创建 ca 密码 和 cn 密码需要记住
./easyrsa gen-req server nopass  #创建服务端证书 
./easyrsa sign server server   #签约服务端证书，会用到刚才输入的密码
./easyrsa gen-dh  # 创建Diffie-Hellman，时间较长

生成 pki 目录 生成 ca，记住输入的密码 创建服务器端证书
签约服务端证书，输入刚才使用的密码

三、使用 easy-rsa 生成 client 端证书

1. 拷贝 easy-rsa 到一个新目录

cp -R /usr/share/easy-rsa/ /etc/openvpn/key_client

2. 拷贝刚才使用的 vars 文件
3. 生成客户端证书

#开始生成
./easyrsa init-pki
./easyrsa gen-req lcs# 用自己的名字，嫌麻烦的话可以设置为和服务器端一样的密码
# Common Name 不能和服务器端设置的一样，否则第四步会报以下错误 "failed to update database"

四、客户端和服务端证书进行签约

cd /etc/openvpn/key_server/3
./easyrsa import-req /etc/openvpn/key_client/3/pki/reqs/lcs.req lcs
./easyrsa sign client lcs

五、VPN Server端配置

复制证书文件到配置目录

cp /etc/openvpn/key_server/3/pki/ca.crt /etc/openvpn/keys
cp /etc/openvpn/key_server/3/pki/private/server.key /etc/openvpn/keys
cp /etc/openvpn/key_server/3/pki/issued/server.crt /etc/openvpn/keys
cp /etc/openvpn/key_server/3/pki/dh.pem /etc/openvpn/keys/dh2048.pem

# /etc/openvpn/server.conf
local {listen address}
port 1194
proto udp
dev tun
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key  # This file should be kept secret
dh /etc/openvpn/keys/dh2048.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
keepalive 10 120
cipher AES-256-CBC
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
verb 3
explicit-exit-notify 

启动 openvpn 服务端

/usr/sbin/openvpn --status /var/log/openvpn-server/server.log --status-version 2 --suppress-timestamps --config /etc/openvpn/server.conf

用 supervisor 控制服务器端的启动

[program:vpn]
command=/usr/sbin/openvpn  --status-version 2 --suppress-timestamps --config /etc/openvpn/server.conf

startsecs = 5     
autorestart = true 
startretries = 3    
user = root          
redirect_stderr = true
stdout_logfile_maxbytes = 20MB 
stdout_logfile_backups = 5    
stdout_logfile = /var/log/supervisord/vpn_stdout.log

六、服务器端防火墙配置（防火墙要开启，不然连不到局域网中的服务器）

systemctl start firewalld.service
systemctl enable firewalld.service
firewall-cmd --add-service openvpn
firewall-cmd --permanent --add-service
firewall-cmd --list-services 
firewall-cmd --add-masquerade 
firewall-cmd --permanent --add-masquerade
firewall-cmd --query-masquerade 

# 防火墙用 iptables 时使用以下配置
iptables -A INPUT -p tcp --destination-port 1194 -j ACCEPT
iptables -A INPUT -i tun0 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.85.0/24 -j SNAT --to-source 10.10.10.167

开启 IP 转发

# vi  /etc/sysctl.conf
net.ipv4.ip_forward = 1

sysctl -p

七、客户端配置

• Linux 客户端配置

1. 复制客户端使用的秘钥文件

mkdir client && cd client
cp /etc/openvpn/key_server/3/pki/issued/lcs.crt . 
cp /etc/openvpn/key_server/3/pki/ca.crt . 
cp /etc/openvpn/key_client/3/pki/private/lcs.key . 
mv lcs.crt client.crt 
mv lcs.key client.key 
cp -a ./* /etc/openvpn/client

2. 配置客户端使用的配置文件

client
dev tun
proto udp
remote {address} {port}
resolv-retry infinite
nobind
user nobody
group nobody
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
remote-cert-tls server
cipher AES-256-CBC
verb 3

启动客户端

/usr/sbin/openvpn --suppress-timestamps --nobind --config /etc/openvpn/client/client.ovpn

• Windows 客户端配置

1. 下载Windows版openvpn进行安装 https://swupdate.openvpn.org/community/releases/openvpn-install-2.4.6-I602.exe（地址被墙了，使用Linux香港主机wget下载）
2. 打包下载 Linux 服务器端的配置目录 /etc/openvpn/client

3. 打开 Windows 上的 openvpn，看下配置目录在哪里，然后把 client 目录下的文件全部拷贝到那个目录里

   
   
4. 退出重新启动 vpn 即可进行连接