1、OPENVPN 服务端完全配置手册一 OPENVPN1. 下载 openvpn 最新版本2. 上传到 linux 下并解压3. 编译文件cd /home/chenlong/tool/openvpn-2.3.0./configuremakemake install4. 新建目录mkdir /etc/openvpn5. 将配置文件拷贝到新建目录下cp -r /home/chenlong/tool/openvpn-2.3.0/sample/ /etc/openvpn/6. 配置文件修改cp /etc/openvpn/sample/sample-config-files/server.conf /et
2、c/openvpn/在此配置文件里修改如下项：local 114.112.50.242 #vpn 接入网口 IP 地址port 1194proto udpdev tunca /etc/openvpn/ca.crtcert /etc/openvpn/server.crtkey /etc/openvpn/server.keydh /etc/openvpn/dh.pemserver 10.8.0.0 255.255.255.0ifconfig-pool-persist ipp.txtpush “route 192.168.1.0 255.255.255.0“push “redirect-gatewa
3、y def1 bypass-dhcp“push “dhcp-option DNS 10.8.0.1“push “dhcp-option DNS 8.8.8.8“client-to-clientkeepalive 10 120comp-lzomax-clients 200persist-keypersist-tunstatus openvpn-status.logverb 37. 启动 openvpn 服务openvpn /etc/openvpn/server.conf &二 easy-rsa 配置（easy-rsa3）1. 下载 easy-rsa2. 上传到 linux 下并解压3. 将解压得
4、到的文件夹重命名并拷贝到相应目录下mv easy-rsa-mater/ easy-rsa/cp -R easy-rsa/ /etc/openvpn/4. 环境配置cd /etc/openvpn/easy-rsa/easyrsa3/mv vars.example vars在该文件里修改下面的字段，然后保存5. 初始化cd /etc/openvpn/easy-rsa/easyrsa3./easyrsa init-pki6. 创建根证书./easyrsa build-ca在此过程中需要输入根名称及根密码，需要记住根密码，在以后创建新用户时需要用到。7. 创建服务器端证书./easyrsa gen-r
5、eq server nopass在此需要输入服务端名称8. 签约服务端证书./easyrsa sign server server在此步骤需要输入根密码9. 创建 Diffie-Hellman./easyrsa gen-dh10. 将相关文件拷贝到根目录下cp /etc/openvpn/easy-rsa/easyrsa3/pki/ca.crt /etc/openvpncp /etc/openvpn/easy-rsa/easyrsa3/pki/private/server.key /etc/openvpncp /etc/openvpn/easy-rsa/easyrsa3/pki/issued/s
6、erver.crt /etc/openvpncp /etc/openvpn/easy-rsa/easyrsa3/pki/dh.pem /etc/openvpn三 新增用户1. 在根目录下用户目录Mkdir /root/chenlong/2. 将 easy-rsa 拷贝到该目录下cp -r /home/chenlong/tool/easy-rsa/ /root/chenlong/3. 初始化cd /root/chenlong/easy-rsa/easyrsa3/./easyrsa init-pki4. 创建客户端 key 及生成证书./easyrsa gen-req dewei在该过程中需要输入
7、该用户的密码及用户名5. 将的到的 qingliu.req 导入然后签约证书cd /etc/openvpn/easy-rsa/easyrsa3/./easyrsa import-req /root/chenlong/easy-rsa/easyrsa3/pki/reqs/chenlong.req chenlong./easyrsa sign client dewei （此处需要输入根密码）6. 将相应文件拷贝到用户目录下cp /etc/openvpn/easy-rsa/easyrsa3/pki/ca.crt /root/chenlong/cp /etc/openvpn/easy-rsa/easy
8、rsa3/pki/issued/dewei.crt /root/chenlong/cp /root/chenlong/easy-rsa/easyrsa3/pki/private/dewei.key /root/chenlong/四 iptable 配置1. 停止防火墙Service firewalld stop2. 关闭防火墙systemctl disable firewalld3. 编辑 sysctl.conf 文件vim /etc/sysctl.conf在该文件里增加如下项：net.ipv4.ip_forward = 14. 编辑 iptablesvim /etc/sysconfig/ip
9、tables在该文件里增加如下项：-A INPUT -p tcp -dport 22 -j ACCEPT #对 ssh 的支持-A INPUT -p udp -dport 1194 -j ACCEPT #对 vpn 的支持，1194 为 openvpn 配置端口号-A INPUT -p tcp -dport 1194 -j ACCEPT #对 vpn 的支持，1194 为 openvpn 配置端口号在该文件中去掉如下两项，否则 VPN 不能连接：#-A INPUT -j REJECT -reject-with icmp-host-prohibited#-A FORWARD -j REJECT
10、-reject-with icmp-host-prohibited5. 启动 iptables 服务Service iptables start可使用命令查看iptables -L -n6. 增加 NAT 配置，该配置只能直接执行，可保存在/etc/rc.local 文件里，以便服务器启动时即执行iptables -t nat -A POSTROUTING -d 192.168.1.0/24 -o eno1 -j SNAT -to-source 192.168.1.9其中，192.168.1.0/24 为内网 ip 地址网段，eno1 为内网网卡，192.168.1.9 为内网 ip 地址。该命令用于访问内网其他服务器iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno2 -j SNAT -to-source 114.112.50.242其中，10.8.0.0/24 为 vpn 分配的 ip 地址网段，eno2 为外网网卡，114.112.50.242 为外网 ip地址。该命令用于访问互联网可使用命令进行查看iptables -t nat -L POSTROUTING -nv
