linux 安装 openvpn

网上那些安装openvpn的文档我就不说了，都瞎搞。来看看我的吧，刚给公司安装了一个。

1 准备工作：
 
#grep 'net.ipv4.ip_forward = 1' /etc/sysctl.conf || echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf
# sysctl -p
# firewall-cmd --zone=public --add-port=5678/udp --permanent
# firewall-cmd --permanent --add-masquerade
 
2 依赖下载
 
#yum install lzo lzo-devel pam pam-devel
 
3 安装包下载：
 
# mkdir /usr/local/openvpn_source
 
#wget https://github.com/OpenVPN/easy-rsa/archive/refs/tags/v3.1.2.tar.gz
 
#tar -zxf easy-rsa-3.1.2.tar.gz  -C  /usr/local/openvpn_source/
 
#cd /usr/local/openvpn_source/easy-rsa-3.1.2
 
#yum install openvpn -y
 
#mkdir /etc/openvpn/easy-rsa
 
#cp -r -a easyrsa3/*  /etc/openvpn/easy-rsa/
 
#cd /etc/openvpn/easy-rsa/
 
#cp vars.example vars
修改vars文件
 
set_var EASYRSA_REQ_COUNTRY     "CN"
set_var EASYRSA_REQ_PROVINCE    "BeiJing"
set_var EASYRSA_REQ_CITY        "BeiJing"
set_var EASYRSA_REQ_ORG         "xxxxx"
set_var EASYRSA_REQ_EMAIL       "xxx@qq.com"
set_var EASYRSA_REQ_OU          "xxxxx"
 
set_var EASYRSA_KEY_SIZE        2048
set_var EASYRSA_ALGO            rsa
set_var EASYRSA_CA_EXPIRE       3650
set_var EASYRSA_CERT_EXPIRE     3650
 
##############重点来了
 
4 清理证书和私钥
#cd /etc/openvpn/easy-rsa/
#./easyrsa clean-all
 
5 生产ca证书
#./easyrsa build-ca   注意：这个地方前两次是输入密码： 第三次是用户名称：
 
 
6 服务端生产证书私钥
 
#./easyrsa build-server-full server  注意：这个地方输入的密码必须记住，因为在启动openvpn的时候需要输入这个密码才能启动。否则gg
 
7 生成Diffie-Hellman算法需要的密钥文件
 
#./easyrsa gen-dh
 
8 防止ddos攻击，生成tls-auth key
 
#cd /etc/openvpn/
#openvpn --genkey --secret ta.key
 
###############证书完事了开始修改配置文件
 
9 #mkdir -p /etc/openvpn/server/
 
10 #cd /etc/openvpn/easy-rsa
 
11  #cp -a pki/ca.crt /etc/openvpn/server/
	#cp -a pki/private/server.key /etc/openvpn/server/
	#cp -a pki/issued/server.crt /etc/openvpn/server/
	#cp -a pki/dh.pem /etc/openvpn/server/
	#cp -a /etc/openvpn/ta.key /etc/openvpn/server/
 
12 vim /etc/openvpn/server/server.conf
 
 
port 5678
proto udp
dev tun
ca /etc/openvpn/server/ca.crt
cert /etc/openvpn/server/server.crt
key /etc/openvpn/server/server.key
dh /etc/openvpn/server/dh.pem
server 10.8.0.0 255.255.255.0
push "route 一般是服务器的网关地址 子网掩码"
;client-to-client
;duplicate-cn
keepalive 10 120
tls-auth /etc/openvpn/server/ta.key 0
cipher AES-256-CBC
compress lz4-v2
push "compress lz4-v2"
max-clients 1000
;user nobody
;group nobody
persist-key
persist-tun
status openvpn-status.log
log  /var/log/openvpn.log
verb 3
;explicit-exit-notify 1
 
13 启动服务端：openvpn
 
 
#  openvpn --config /etc/openvpn/server/server.conf
 
 
 
14 配置客户端：
 
 
# openvpn client windows configuration sample
	client
	dev tun
	proto udp
	remote 服务器 端口号
	route 网关地址 子网掩码
	resolv-retry infinite
	nobind
	persist-key
	persist-tun
	ca ca.crt
	cert xxx.crt
	key xxx.key
	tls-auth ta.key 1
	auth-user-pass
	cipher AES-256-CBC
	compress lz4-v2
	mssfix 1400
 
15 服务器上生成账号密码，crt,key即可：
 
例如创建张三：
 
./easyrsa build-client-full zhangsan
自定义密码
确定自定义密码
高级密码
 
16 总共五个文件：ca.crt  ta.key  xxx.ovpn  xxx.crt  xxx.key
 
拷贝到客户端电脑即可
 
17 注意firewalld必须开启转发功能，必要时服务器可以添加一些转发路由规则 route