D. Greg Scott 发布的文章

在 Linux 上安装好“虚拟专用网络” 之后，是时候使用它了。

title=

0penVPN 在两点之间创建了一个加密通道，以阻止第三方访问你的网络流量数据。通过设置你的 “虚拟专用网络” 服务，你可以成为你自己的 “虚拟专用网络” 服务商。许多流行的 “虚拟专用网络” 服务都使用 0penVPN，所以当你可以掌控自己的网络时，为什么还要将你的网络连接绑定到特定的提供商呢？

本系列的 第一篇文章 安装了一个“虚拟专用网络” 的服务器，第二篇文章 介绍了如何安装和配置一个 0penVPN 服务软件，第三篇文章 解释了如何配置防火墙并启动你的 0penVPN 服务。第四篇也是最后一篇文章将演示如何从客户端计算机使用你的 0penVPN 服务器。这就是你做了前三篇文章中所有工作的原因！

创建客户端证书

请记住，0penVPN 的身份验证方法要求服务器和客户端都拥有某些东西（证书）并知道某些东西（口令）。是时候设置它了。

首先，为你的客户端计算机创建一个客户端证书和一个私钥。在你的 0penVPN 服务器上，生成证书请求。它会要求你输入密码；确保你记住它：

$ cd /etc/openvpn/ca
$ sudo /etc/openvpn/easy-rsa/easyrsa \
  gen-req greglaptop

本例中，greglaptop 是创建证书的客户端计算机主机名。

无需将请求导入证书颁发机构（CA），因为它已经存在。审查它以确保请求存在：

$ cd /etc/openvpn/ca
$ /etc/openvpn/easy-rsa/easyrsa \
  show-req greglaptop

你也可以以客户端身份签署请求：

$ /etc/openvpn/easy-rsa/easyrsa \
  sign-req client greglaptop

安装 0penVPN 客户端软件

在 Linux 系统上，网络管理器可能已经包含了一个 0penVPN 客户端。如果没有，你可以安装插件：

$ sudo dnf install NetworkManager-openvpn

在 Windows 系统上，你必须从 0penVPN 下载网页下载和安装 0penVPN 客户端。启动安装程序并按照提示操作。

复制证书和私钥到客户端

现在你的客户端需要你为其生成的身份验证凭据。你在服务器上生成了这些，因此你必须将它们传输到你的客户端。我推荐使用 SSH 来完成传输。在 Linux 系统上，通过 scp 命令实现。在 Windows 系统上，你可以以管理员身份运行 WinSCP 来推送证书和密钥。

假设客户端名称为 greglaptop，那么证书和私钥的文件名以及服务的位置如下：

/etc/openvpn/ca/pki/issued/greglaptop.crt
/etc/openvpn/ca/pki/private/greglaptop.key
/etc/openvpn/ca/pki/issued/ca.crt

在 Linux 系统上，复制这些文件到 /etc/pki/tls/certs 目录。在 Windows 系统上，复制它们到 C:\Program Files\OpenVPN\config 目录。

复制和自定义客户端配置文件

在 Linux 系统上，你可以复制服务器上的 /etc/openvpn/client/OVPNclient2020.ovpn 文件到 /etc/NetworkManager/system-connections/ 目录，或者你也可以导航到系统设置中的网络管理器添加一个“虚拟专用网络” 连接。

连接类型选择“ 证书（TLS） Certificates(TLS) ”。告知网络管理器你从服务器上复制的证书和密钥。

title=

在 Windows 系统上，以管理员身份运行 WinSCP，将服务器上的客户端配置模板 /etc/openvpn/client/OVPNclient2020.ovpn 文件复制到客户端上的 C:\Program Files\OpenVPN\config 目录。然后：

  • 重命名它以匹配上面的证书。
  • 更改 CA 证书、客户端证书和密钥的名称以匹配上面从服务器复制的名称。
  • 修改 IP 信息，以匹配你的网络。

你需要超级管理员权限来编辑客户端配置文件。最简单的方式就是以管理员身份启动一个 CMD 窗口，然后从管理员 CMD 窗口启动记事本来编辑此文件。

将你的客户端连接到服务器

在 Linux 系统上，网络管理器会显示你的 “虚拟专用网络” 连接。选择它进行连接。

title=

在 Windows 系统上，启动 0penVPN 图形用户界面。它会在任务栏右侧的 Windows 系统托盘中生成一个图标，通常位于 Windows 桌面的右下角。右键单击图标以连接、断开连接或查看状态。

对于第一次连接，编辑客户端配置文件的 remote 行以使用 0penVPN 服务器的内部 IP 地址。通过右键单击 Windows 系统托盘中的 0penVPN 图标并单击“ 连接 Connect ”，从办公室网络内部连接到服务器。调试此连接，这应该可以找到并解决问题，而不会出现任何防火墙问题，因为客户端和服务器都在防火墙的同一侧。

接下来，编辑客户端配置文件的 remote 行以使用 0penVPN 服务器的公共 IP 地址。将 Windows 客户端连接到外部网络并进行连接。调试有可能的问题。

安全连接

恭喜！你已经为其他客户端系统准备好了 0penVPN 网络。对其余客户端重复设置步骤。你甚至可以使用 Ansible 来分发证书和密钥并使其保持最新。

本文基于 D.Greg Scott 的 博客，经许可后重新使用。

via: https://opensource.com/article/21/7/openvpn-client

作者：D. Greg Scott 选题：lujun9972 译者：perfiffer 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

在你安装了 0penVPN 之后，是时候配置它了。

title=

0penVPN 在两点之间建立一条加密的隧道，阻止第三方访问你的网络流量。通过设置你的 “虚拟专用网络” 服务，你就成为你自己的 “虚拟专用网络” 供应商。许多流行的 “虚拟专用网络” 服务已支持 0penVPN，所以当你可以掌控自己的网络时，为什么还要将你的网络连接绑定到特定的提供商呢？

本系列中的 第一篇 展示了如何安装和配置一台作为你的 0penVPN 服务器的 Linux 计算机。，第二篇 演示了如何安装和配置 0penVPN 服务器软件。这第三篇文章演示了如何在认证成功的情况下启动 0penVPN。

要设置一个 0penVPN 服务器，你必须：

  • 创建一个配置文件。
  • 使用 sysctl 设置net.ipv4.ip_forward = 1 以启用路由。
  • 为所有的配置和认证文件设置适当的所有权，以便使用非 root 账户运行 0penVPN 服务器守护程序。
  • 设置 0penVPN 加载适当的配置文件启动。
  • 配置你的防火墙。

配置文件

你必须在 /etc/openvpn/server/ 中创建一个服务器配置文件。如果你想的话，你可以从头开始，0penVPN 包括了几个配置示例示例文件，可以以此作为开始。看看 /usr/share/doc/openvpn/sample/sample-config-files/ 就知道了。

如果你想手工建立一个配置文件，可以从 server.conf 或 roadwarrior-server.conf 开始（视情况而定），并将你的配置文件放在 /etc/openvpn/server 中。这两个文件都有大量的注释，所以请阅读注释并根据你的情况作出决定。

你可以使用我预先建立的服务器和客户端配置文件模板和 sysctl 文件来打开网络路由，从而节省时间和麻烦。这个配置还包括自定义记录连接和断开的情况。它在 0penVPN 服务器的 /etc/openvpn/server/logs 中保存日志。

如果你使用我的模板，你需要使用你的 IP 地址和主机名编辑它们。

要使用我的预建配置模板、脚本和 sysctl 来打开 IP 转发，请下载我的脚本：

$ curl \
  https://www.dgregscott.com/ovpn/OVPNdownloads.sh > \
  OVPNdownloads.sh

阅读该脚本，了解它的工作内容。下面是它的运行概述：

  • 在你的 0penVPN 服务器上创建适当的目录
  • 从我的网站下载服务器和客户端的配置文件模板
  • 下载我的自定义脚本，并以正确的权限把它们放到正确的目录中
  • 下载 99-ipforward.conf 并把它放到 /etc/sysctl.d 中，以便在下次启动时打开 IP 转发功能
  • 为 /etc/openvpn 中的所有内容设置了所有权

当你确定你理解了这个脚本的作用，就使它可执行并运行它：

$ chmod +x OVPNdownloads.sh
$ sudo ./OVPNdownloads.sh

下面是它复制的文件（注意文件的所有权）：

$ ls -al -R /etc/openvpn
/etc/openvpn:
total 12
drwxr-xr-x.  4 openvpn openvpn  34 Apr 6 20:35 .
drwxr-xr-x. 139 root  root  8192 Apr 6 20:35 ..
drwxr-xr-x.  2 openvpn openvpn  33 Apr 6 20:35 client
drwxr-xr-x.  4 openvpn openvpn  56 Apr 6 20:35 server

/etc/openvpn/client:
total 4
drwxr-xr-x. 2 openvpn openvpn  33 Apr 6 20:35 .
drwxr-xr-x. 4 openvpn openvpn  34 Apr 6 20:35 ..
-rw-r--r--. 1 openvpn openvpn 1764 Apr 6 20:35 OVPNclient2020.ovpn

/etc/openvpn/server:
total 4
drwxr-xr-x. 4 openvpn openvpn  56 Apr 6 20:35 .
drwxr-xr-x. 4 openvpn openvpn  34 Apr 6 20:35 ..
drwxr-xr-x. 2 openvpn openvpn  59 Apr 6 20:35 ccd
drwxr-xr-x. 2 openvpn openvpn  6 Apr 6 20:35 logs
-rw-r--r--. 1 openvpn openvpn 2588 Apr 6 20:35 OVPNserver2020.conf

/etc/openvpn/server/ccd:
total 8
drwxr-xr-x. 2 openvpn openvpn 59 Apr 6 20:35 .
drwxr-xr-x. 4 openvpn openvpn 56 Apr 6 20:35 ..
-rwxr-xr-x. 1 openvpn openvpn 917 Apr 6 20:35 client-connect.sh
-rwxr-xr-x. 1 openvpn openvpn 990 Apr 6 20:35 client-disconnect.sh

/etc/openvpn/server/logs:
total 0
drwxr-xr-x. 2 openvpn openvpn 6 Apr 6 20:35 .
drwxr-xr-x. 4 openvpn openvpn 56 Apr 6 20:35 ..

下面是 99-ipforward.conf 文件：

# Turn on IP forwarding. OpenVPN servers need to do routing
net.ipv4.ip_forward = 1

编辑 OVPNserver2020.conf 和 OVPNclient2020.ovpn 以包括你的 IP 地址。同时，编辑 OVPNserver2020.conf 以包括你先前的服务器证书名称。稍后，你将重新命名和编辑 OVPNclient2020.ovpn 的副本，以便在你的客户电脑上使用。以 ***? 开头的块显示了你要编辑的地方。

文件所有权

如果你使用了我网站上的自动脚本，文件所有权就已经到位了。如果没有，你必须确保你的系统有一个叫 openvpn 的用户，并且是 openvpn 组的成员。你必须将 /etc/openvpn 中的所有内容的所有权设置为该用户和组。如果你不确定该用户和组是否已经存在，这样做也是安全的，因为 useradd 会拒绝创建一个与已经存在的用户同名的用户：

$ sudo useradd openvpn
$ sudo chown -R openvpn.openvpn /etc/openvpn

防火墙

如果你在步骤 1 中启用 firewalld 服务，那么你的服务器的防火墙服务可能默认不允许 “虚拟专用网络” 流量。使用 firewall-cmd 命令，你可以启用 0penVPN 服务，它可以打开必要的端口并按需路由流量：

$ sudo firewall-cmd --add-service openvpn --permanent
$ sudo firewall-cmd --reload

没有必要在 iptables 的迷宫中迷失方向!

启动你的服务器

现在你可以启动 0penVPN 服务器了。为了让它在重启后自动运行，使用 systemctl 的 enable 子命令：

systemctl enable --now [email protected]

最后的步骤

本文的第四篇也是最后一篇文章将演示如何设置客户端，以便远程连接到你的 0penVPN。

本文基于 D.Greg Scott 的博客，经许可后重新使用。

via: https://opensource.com/article/21/7/openvpn-firewall

作者：D. Greg Scott 选题：lujun9972 译者：geekpi 校对：turbokernel

本文由 LCTT 原创编译，Linux中国 荣誉推出

安装完服务器之后，下一步就是安装和配置 0penVPN。

title=

0penVPN 在两点之间创建一个加密通道，阻止第三方访问你的网络流量数据。通过设置你的 “虚拟专用网络” 服务，你可以成为你自己的 “虚拟专用网络” 服务商。许多流行的 “虚拟专用网络” 服务都使用 0penVPN，所以当你可以掌控自己的网络时，为什么还要将你的网络连接绑定到特定的提供商呢？

本系列的 第一篇文章 展示了如何安装和配置一台作为你的 0penVPN 服务器的 Linux 计算机。同时也讲述了如何配置你的路由器以便你可以在外部网络连接到你的服务器。

第二篇文章将演示根据 0penVPN wiki 给定的步骤安装一个 0penVPN 服务软件。

安装 0penVPN

首先，使用包管理器安装 0penVPN 和 easy-rsa 应用程序（帮助你在服务器上设置身份验证）。本例使用的是 Fedora Linux，如果你选择了不同的发行版，请选用合适的命令。

$ sudo dnf install openvpn easy-rsa

此操作会创建一些空目录：

  • /etc/openvpn
  • /etc/openvpn/client
  • /etc/openvpn/server

如果这些目录在安装的过程中没有创建，请手动创建它们。

设置身份验证

0penVPN 依赖于 easy-rsa 脚本，并且应该有自己的副本。复制 easy-rsa 脚本和文件：

$ sudo mkdir /etc/openvpn/easy-rsa
$ sudo cp -rai /usr/share/easy-rsa/3/* /etc/openvpn/easy-rsa/

身份验证很重要，0penVPN 非常重视它。身份验证的理论是，如果 Alice 需要访问 Bob 公司内部的私人信息，那么 Bob 确保 Alice 真的是 Alice 就至关重要。同样的，Alice 也必须确保 Bob 是真正的 Bob。我们称之为相互认证。

现有的最佳实践是从三个可能因素中的选择两个检查属性：

  • 你拥有的
  • 你知道的
  • 你是谁

选择有很多。0penVPN 安装使用如下：

  • 证书：客户端和服务端都拥有的东西
  • 证书口令：某人知道的东西

Alice 和 Bob 需要帮助彼此来验证身份。由于他们都相信 Cathy，Cathy 承担了称为 证书颁发机构 certificate authority （CA）的角色。Cathy 证明 Alice 和 Bob 都是他们自己。因为 Alice 和 Bob 都信任 Cathy，现在他们也相互信任了。

但是是什么让 Cathy 相信 Alice 和 Bob 是真的 Alice 和 Bob？Cathy 在社区的声誉取决于如何正确处理这件事，因此如果她希望 Denielle、Evan、Fiona、Greg 和其他人也信任她，她就需要严格测试 Alice 和 Bob 的宣称内容。当 Alice 和 Bob 向 Cathy 证明了他们是真的 Alice 和 Bob 之后，Cathy 将向 Alice 和 Bob 签署证书，让他们彼此和全世界分享。

Alice 和 Bob 如何知道是 Cathy 签署了证书，而不是某个人冒充她签发了证书？他们使用一项叫做公钥加密的技术：

  • 找到一种用一个密钥加密并用另一个密钥解密的加密算法。
  • 将其中一个设为私钥，将另外一个设为公钥。
  • Cathy 与全世界分享她的公钥和她的签名的明文副本。
  • Cathy 用她的私钥加密她的签名，任何人都可以用她分享的公钥解密。
  • 如果 Cathy 的签名解密后与明文副本匹配，Alice 和 Bob 就可以相信 Cathy 确实签署了它。

每次在线购买商品和服务时，使用的就是这种技术。

认证实现

0penVPN 的 文档 建议在单独的系统上或者至少在 0penVPN 服务器的单独目录上设置 CA。该文档还建议分别从服务端和客户端生成各自的证书。因为这是一个简单的演示设置，你可以使用 0penVPN 服务器设置 CA，并将证书和密钥放入服务器上的指定目录中。

从服务端生成证书，并将证书拷贝到各个客户端，避免客户端再次设置。

此实现使用自签名证书。这是因为服务器信任自己，而客户端信任服务器。因此，服务器是签署证书的最佳 CA。

在 0penVPN 服务器上设置 CA：

$ sudo mkdir /etc/openvpn/ca
$ cd /etc/openvpn/ca
$ sudo /etc/openvpn/easy-rsa/easyrsa init-pki
$ sudo /etc/openvpn/easy-rsa/easyrsa build-ca

使用一个易记难猜的密码。

设置服务器密钥对和认证请求：

$ cd /etc/openvpn/server
$ sudo /etc/openvpn/easy-rsa/easyrsa init-pki
$ sudo /etc/openvpn/easy-rsa/easyrsa gen-req OVPNserver2020 nopass

在此例中，OVPNServer2020 是你在本系列第一篇文章中为 0penVPN 服务器设置的主机名。

生成和签署证书

现在你必须向 CA 发送服务器请求并生成和签署服务器证书。

此步骤实质上是将请求文件从 /etc/openvpn/server/pki/reqs/OVPNserver2020.req 复制到 /etc/openvpn/ca/pki/reqs/OVPNserver2020.req 以准备审查和签名：

$ cd /etc/openvpn/ca
$ sudo /etc/openvpn/easy-rsa/easyrsa \
  import-req /etc/openvpn/server/pki/reqs/OVPNserver2020.req OVPNserver2020

审查并签署请求

你已经生成了一个请求，所以现在你必须审查并签署证书：

$ cd /etc/openvpn/ca
$ sudo /etc/openvpn/easy-rsa/easyrsa \
  show-req OVPNserver2020

以服务器身份签署请求：

$ cd /etc/openvpn/ca
$ sudo /etc/openvpn/easy-rsa/easyrsa \
  sign-req server OVPNserver2020

将服务器和 CA 证书的副本放在它们所属的位置，以便配置文件获取它们：

$ sudo cp /etc/openvpn/ca/pki/issued/OVPNserver2020.crt \
  /etc/openvpn/server/pki/
$ sudo cp /etc/openvpn/ca/pki/ca.crt \
  /etc/openvpn/server/pki/

接下来，生成 Diffie-Hellman 参数，以便客户端和服务器可以交换会话密钥：

$ cd /etc/openvpn/server
$ sudo /etc/openvpn/easy-rsa/easyrsa gen-dh

快完成了

本系列的下一篇文章将演示如何配置和启动你刚刚构建的 0penVPN 服务器。

本文的部分内容改编自 D. Greg Scott 的博客，并经许可重新发布。

via: https://opensource.com/article/21/7/openvpn-router

作者：D. Greg Scott 选题：lujun9972 译者：perfiffer 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

第一步是安装一个“虚拟专用网络”服务器。

你是否连接到了不受信任的网络，例如酒店或咖啡馆的 WiFi，而又需要通过智能手机和笔记本电脑安全浏览互联网？通过使用虚拟专用网络，你可以匿名访问不受信任的网络，就像你在专用网络上一样安全。

“虚拟专用网络” 是保护私人数据的绝佳工具。通过使用 “虚拟专用网络”，你可以在保持匿名的同时连接到互联网上的专用网络。

可选的 “虚拟专用网络” 服务有很多，0penVPN 依然是很多人在使用不受信任的网络时保护私人数据的第一选择。

0penVPN 在两点之间创建一个加密通道，防止第三方访问你的网络流量数据。通过设置你的 “虚拟专用网络” 服务，你可以成为你自己的 “虚拟专用网络” 服务商。许多流行的 “虚拟专用网络” 服务都使用 0penVPN，所以当你可以掌控自己的网络时，为什么还要将你的网络连接绑定到特定的提供商呢？

搭建 Linux 服务器

首先，在备用 PC 上安装一份 Linux。本例使用 Fedora，但是不论你使用的是什么 Linux 发行版，步骤基本是相同的。

从 Fedora 项目 网站下载最新的 Fedora ISO 副本。制作一个 USB 启动盘，将其插入到你的 PC 并启动，然后安装操作系统。如果你从未制作过可引导的 USB 启动盘，可以了解一下 Fedora Media Writer。如果你从未安装过 Linux，请阅读 三步安装 Linux。

设置网络

安装完成 Fedora 操作系统后，登录到控制台或者 SSH 会话。

更新到最新并重新启动：

$ sudo dnf update -y && reboot

重新登录并关闭防火墙：

systemctl disable firewalld.service
systemctl stop firewalld.service

你可能希望在此系统上为你的内部网络添加适当的防火墙规则。如果是这样，请在关闭所有防火墙规则后完成 0penVPN 的设置和调试，然后添加本地防火墙规则。想要了解更多，请参照 在 Linux 上设置防火墙。

设置 IP 地址

你需要在你的本地网络设置一个静态 IP 地址。下面的命令假设在一个名为 ens3 的设备上有一个名为 ens3 的 网络管理器 Network Manager 连接。你的设备和连接名称可能不同，你可以通过打开 SSH 会话或从控制台输入以下命令：

$ sudo nmcli connection show
NAME  UUID                                  TYPE      DEVICE
ens3  39ad55bd-adde-384a-bb09-7f8e83380875  ethernet  ens3

你需要确保远程用户能够找到你的 “虚拟专用网络” 服务器。有两种方法可以做到这一点。你可以手动设置它的 IP 地址，或者将大部分工作交给你的路由器去完成。

手动配置一个 IP 地址

通过以下命令来设置静态 IP 地址、前缀、网关和 DNS 解析器，用来替换掉原有的 IP 地址：

$ sudo nmcli connection modify ens3 ipv4.addresses 10.10.10.97/24
$ sudo nmcli connection modify ens3 ipv4.gateway 10.10.10.1
$ sudo nmcli connection modify ens3 ipv4.dns 10.10.10.10
$ sudo nmcli connection modify ens3 ipv4.method manual
$ sudo nmcli connection modify ens3 connection.autoconnect yes

设置主机名：

$ sudo hostnamectl set-hostname OVPNserver2020

如果你运行了一个本地的 DNS 服务，你需要设置一个 DNS 条目，将主机名指向 “虚拟专用网络” 服务器的 IP 地址。

重启并确保系统的网络运行正常。

在路由器中配置 IP 地址

在你的网络当中应该有一台路由器。你可能已经购买了它，或者从互联网服务提供商（ISP）那里获得了一台。无论哪种方式，你的路由器可能都有一个内置的 DHCP 服务，可以为连接到网络上的每台设备分配一个 IP 地址。你的新 “虚拟专用网络” 服务器也是属于网络的一台设备，因此你可能已经注意到它会自动分配一个 IP 地址。

这里的潜在问题是你的路由器不能保证每台设备都能在重新连接后获取到相同的 IP 地址。路由器确实尝试保持 IP 地址一致，但这会根据当时连接的设备数量而发生变化。

但是，几乎所有的路由器都会有一个界面，允许你为特定设备调停和保留 IP 地址。

title=

路由器没有统一的界面，因此请在你的路由器接口中搜索 “DHCP” 或 “Static IP address” 选项。为你的服务器分配自己的预留 IP 地址，使其在网络中保持 IP 不变。

连接到服务器

默认情况下，你的路由器可能内置了防火墙。这通常很好，因为你不希望网络之外的人能够强行进入你的任何计算机。但是，你必须允许发往 “虚拟专用网络” 服务器的流量通过防火墙，否则你的 “虚拟专用网络” 将无法访问，这种情况下你的 “虚拟专用网络” 服务器将形同虚设。

你至少需要一个来自互联网服务提供商的公共静态 IP 地址。使用其静态 IP 地址设置路由器的公共端，然后将你的 0penVPN 服务器放在专用端，在你的网络中使用专用静态 IP 地址。 0penVPN 默认使用 UDP 1194 端口。配置你的路由器，将你的公网 “虚拟专用网络” IP 地址的 UDP 1194 端口转发到 0penVPN 服务器上的 UDP 1194 端口。如果你决定使用不同的 UDP 端口，请相应地调整端口号。

准备好，我们开始下一步

在本文中，你在服务器上安装并配置了一个操作系统，这已经成功了一半。在下一篇文章中，你将解决安装和配置 0penVPN 本身的问题。同时，请熟悉你的路由器并确保你可以从外部访问你的服务器。但是请务必在测试后关闭端口转发，直到你的 “虚拟专用网络” 服务启动并运行。

本文的部分内容改编自 D. Greg Scott 的博客，并经许可重新发布。

via: https://opensource.com/article/21/8/openvpn-server-linux

作者：D. Greg Scott 选题：lujun9972 译者：perfiffer 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出