|
|
ip tunnel (在网络上建立虚拟的通道，用于做VPN这种应用）
Linux有3种隧道。它们是：
IP-in-IP隧道
GRE 隧道
非内核隧道(如PPTP)
GRE是最初由CISCO开发出来的隧道协议，能够做一些IP-in-IP隧道做不到的事情。比如，你可以使用GRE隧道传输多播数据包和IPv6数据包。在Linux下，你需要ip_gre.o模块
因特网
深圳分公司 －－－－－－－－－ 北京分公司
建立tunnel
使用四台虚拟机来模拟实现（不用宿主机模拟，宿主机能和所有网段通）
--下图中10.1.1.0网段模拟外网;1.1.1.0网段模拟内网1;2.2.2.0网段模拟内网2
--(虽然在实际情况下10.1.1.0是内网,1.1.1.0和2.2.2.0是外网,但我这里只是实验环境模拟)
我下面是用vmware来模拟
10.1.1.0为bridge网络
1.1.1.0为hostonly1网络(vmnet1)
2.2.2.0为hostonly2网络(vmnet2)
10.1.1.6 10.1.1.7
外1（深圳VPN） 外2（北京VPN)
1.1.1.128 2.2.2.128
内1 (深圳内网机器） 内2 （北京内网机器)
1.1.1.129 2.2.2.129
网关指向1.1.1.128 网关指向2.2.2.128
先在外1和外2在打开ip_forword
＃ vim /etc/sysctl.conf
net.ipv4.ip_forward = 1 --0改为1
＃ sysctl -p
建立外1和外2之间的tunnel
1，外1上面操作
# modprobe ip_gre --tunnel协议
# lsmod |grep gre
ip_gre 15341 0
ip tunnel add tun0 mode gre remote 10.1.1.7 local 10.1.1.6
ip link set tun0 up
ip addr add 3.3.3.3 peer 3.3.3.4 dev tun0
ip route add 2.2.2.0/24 dev tun0
--上面这四条的意思:
第一条,增加一个tun0接口,隧道模式为gre,由本端的10.1.1.6和对端的10.1.1.7这个物理连接上建立
第二条,启动tun0这个网卡接口,然后ifconfig命令就可以查看得到
第三条,给本地的tun0授于IP为3.3.3.3,对端为3.3.3.4;完成后ifconfig就能看到tun0的IP
第四条,表示当本机数据包要访问2.2.2.0/24这个网段时从tun0出去;完成后route -n可以看到这条路由
2，外2上的操作
# modprobe ip_gre
# lsmod |grep gre
ip_gre 15341 0
ip tunnel add tun0 mode gre remote 10.1.1.6 local 10.1.1.7
ip link set tun0 up
ip addr add 3.3.3.4 peer 3.3.3.3 dev tun0
ip route add 1.1.1.0/24 dev tun0
3,内1上的操作
把网关指向外1的内网IP
route add default gw 1.1.1.128
4,内2上的操作
把网关指向外2的内网IP
route add default gw 2.2.2.128
5,测试，内1和内2两个内网可以互相ping通，并且可以使用traceroute 命令接IP，查看确实走了tunnel
测试完后，删除tunnel的方法 ip tunnel del tun0
--如果做的有问题,可以用ip tunnel del tun0命令删除后,重新,再写上面的四条
扩展:
上面架构做好后，深圳内网用户1.1.1.129ping不通10.1.1.6(北京vpn外网IP),但反过来(就是北京vpn可以ping通深圳内网用户)却可以ping通
--从tunnel过，才可以从tunnel回。不能不从tunnel过，而从tunnel回
=============================================================
vpn (virtual private network)
openswan
openvpn
tunnel做好后,但走公网如果有安全性考虑,就需要对tunnel进行加密;
一般来说可以用ipsec或ssl来加密tunnel
下面我就用openswan软件来实现tunnel的加密
rhel6自带了openswan软件包
参考redhat官方文档
https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Security_Guide/sect-Security_Guide-Virtual_Private_Networks_VPNs.html
10.1.1.6 10.1.1.7
外1(深圳vpn) 外2(北京vpn)
1.1.1.128 2.2.2.128
内1 内2
1.1.1.129 2.2.2.129
网关指向1.1.1.128 网关指向2.2.2.128
--架构图还是和上次做tunnel一样
--先使用ip tunnel del tun0把上面做的tunnel给删除掉,再用openswan来做
准备好机器后
主机名绑定
iptables,selinux关闭
时间同步
配置yum
第一步:在外1和外2这两台vpn服务器上安装openswan，两边安装方法一样，步骤如下(我这里没有使用rpm包,使用的是源码包安装)
笔记目录/arch/vpn_soft/openswan-2.6.38.tar.gz
# tar xf openswan-2.6.38.tar.gz -C /usr/src/
# cd /usr/src/openswan-2.6.38/
--下面的安装方法先参考源码目录下的README
--在一些linux版本里编译完后，内核自带的ipsec模块是netkey,而openswan自已也开发了ipsec模块为klips；下面的做法是编译klips
--编译前安装相关的依赖性，下面这些依懒性，如果是装系统时把开发有关的都安装过的话，应该就只有gmp-devel这个包没装；如果不装此包，编译时会报错的
# yum groupinstall "Development tools"
# yum install gmp gmp-devel gawk flex bison iproute iptables sed kernel-devel
# make programs
# make KERNELSRC=/lib/modules/`uname -r`/build module
# make KERNELSRC=/lib/modules/`uname -r`/build install minstall
# ipsec --version
Linux Openswan U2.6.38/K(no kernel code presently loaded) --没有看到有加载ipsec的模块
See `ipsec --copyright' for copyright information.
# modprobe ipsec --使用这一句来加载
# ipsec --version
Linux Openswan 2.6.38 (klips) --可以看到klips了
See `ipsec --copyright' for copyright information.
第二步：
在两边的vpn服务器上进行配置
外1
# ipsec showhostkey --left --这一步是为了生成网络传输加密的公钥，但它要用到/etc/ipsec.secrets这个文件来生成，现在报错，没有这个文件
ipsec showhostkey no secrets filename matched "/etc/ipsec.secrets"
No keys found
# rm /dev/random -rf
# ln -s /dev/urandom /dev/random
# ipsec newhostkey --output /etc/ipsec.secrets
--这里主要是用随机设备生成/etc/ipsec.secrets，如果不做前两步，则第三步速度非常慢
# ipsec showhostkey --left --再次生成公钥，得到很长的一串字符串
leftrsasigkey=0sAQN4bpl6e64jyZEZtJHOndmkzkpm/T6fiDa4Zfm0kXBPaB1bgXDckwXS3YluAObn3lH/VjpSx6mZBf5GM9PHu4Opa8ZCk21O/AHQ3sdf2sa9zv1r8L9Y2mVDyKv0Sc2Iy6t6N2PHYnNOvlCzAqLa5iSuVBKBjvbJXrqGWKNIfRmeeIjS15hlfbRMHrJk3V0db4j1EenECPFeTL4PVxyEMJXcBeyslajuZCqGncd7kV17rY9RaGsnlph08OfeOL/I0FRajcyQW5WQCGBr60h1Ne0c2BuWqSkJGKyomBtxBgAXHPsU7iD4nyoH2ot/zNOSYRDZJ7w8EEuShswuDM+c6tze5mVGVR0TgZzLe4A/ZjHEq2gT
外2
# rm /dev/random -rf
# ln -s /dev/urandom /dev/random
# ipsec newhostkey --output /etc/ipsec.secrets
# ipsec showhostkey --right
rightrsasigkey=0sAQPN+lWszCDAvmowlcQKPb+f5b+bWnsRfGq1Dr/tOzq6WW0Xzl+KJYUdAnV3gTxvGrTeUhoVrhvQZ5l721ywVPV2lK27NToqWf7aQ+E5EoFR5en5hsH6EYr3F305vYtM03m0Cy1rlGDRCuGCGpy6E/FNAurvH5TdlGg0D+k4Q6VRMMz6clE/Rg/NCN4ZZRdBKxzYCcxqIXXGAAJL2XkZ0hJX7R4EWjOUrmeFpvOj2XMRDtUABnq9jXFEKKoQFtMSVZXmIpq0cfudJUPcMpnHRtyA40o9CHko20JF9lbwkwpegZYQ/L2eTLJD7pGMND1HObhGFMsUrqUmqhcZ799sdsde2ed563ThkmPmizpUYhePC2iH
第三步：配置两边的主配置文件，建立新的VPN链接(先只配置一边VPN，配置完后直接scp拷到另一边的VPN，不用做任何修改）
# vim /etc/ipsec.conf --打开主配置文件，默认的都不修改，直接在最后面加上下面一段
conn sz-to-bj --建立一个链接，名字随意
left=10.1.1.6 --左边vpn通向外网的IP
leftsubnet=1.1.1.0/24 --左边的内网网段
leftnexthop=%defaultroute --下一跳就是默认路由,也就是两个有公网的机器的默认网关;表示目标找不到路由,就会走这个默认网关
leftrsasigkey=0sAQN4bpl6e64...... --这里省略，其实就是前面ipsec showhostkey --left得到的一段
right=10.1.1.7
rightsubnet=2.2.2.0/24
rightnexthop=%defaultroute
rightrsasigkey=0sAQPN+lWszC......
auto=start --自动启动这个链接
# scp /etc/ipsec.conf 10.1.1.7:/etc/ --因为两边vpn的配置一样，所以直接scp到另一台就可以了
第四步：
两边vpn服务器启服务
# /etc/init.d/ipsec start --启动ipsec服务
ipsec_setup: Starting Openswan IPsec 2.6.38...
ipsec_setup: ipsec0 -> NULL mtu=0(0) -> 0
--------------------------------------
如果启动报下面的错误表示,你的VPN服务器没有默认路由
ipsec_setup: Starting Openswan IPsec 2.6.38...
ipsec_setup: no default route, %defaultroute cannot cope!!!
解决方法：
用route add default gw去加一个网关就可以了
但注意一定要加一个公网的网关（不用两边外网网关互指，我这里就直接网关指向172.16.2.1）
也不要把网关指向你的内网（如果是一个人四台虚拟机模拟的话，你指内网网关就指到宿主机了，会造成两边内网直接通过宿主机通迅了）
------------------------------------------------------------
# ipsec verify --验证ipsec的状态，不要有failed就行;可能会在checking IP forwarding那里有failed,只要打开了ip_forward就行,不影响后面的验证;
--或者udp 500那里是failed,只要去netstat -ntlup |grep :500去查一下udp的500端口是启动的就可以了
Checking your system to see if IPsec got installed and started correctly:
Version check and ipsec on-path [OK]
Linux Openswan 2.6.38 (klips)
Checking for IPsec support in kernel [OK]
KLIPS: checking for NAT Traversal support [OK]
KLIPS: checking for OCF crypto offload support [N/A]
SAref kernel support [N/A]
Checking that pluto is running [OK]
Pluto listening for IKE on udp 500 [OK]
Pluto listening for NAT-T on udp 4500 [OK]
Two or more interfaces found, checking IP forwarding Checking NAT and MASQUERADEing [OK]
Checking for 'ip' command [OK]
Checking /bin/sh is not /bin/dash [OK]
Checking for 'iptables' command [OK]
Opportunistic Encryption Support [DISABLED]
然后两边就可以看到一个网卡叫ipsec0,也就是说两边的链接自动建立了，因为我们在前面ipsec.conf里配置的是auto=start
如果不是自动建立，则需要手动启动ipsec auto --up sz-to-bj
第五步：
把两台vpn服务器的ip_forward打开
两边的内网就可以互相ping通了
--在两台vpn服务器上tcpdump抓包可以看到有ipsec的加密
# tcpdump -i eth0 host 10.1.1.6 and 10.1.1.7 -n
12:14:40.301869 IP 10.1.1.7 > 10.1.1.6: ESP(spi=0x49a9eeef,seq=0xf3), length 132
12:14:41.314925 IP 10.1.1.6 > 10.1.1.7: ESP(spi=0xf85ae907,seq=0xf4), length 132
12:14:41.320418 IP 10.1.1.7 > 10.1.1.6: ESP(spi=0x49a9eeef,seq=0xf4), length 132
12:14:42.345614 IP 10.1.1.6 > 10.1.1.7: ESP(spi=0xf85ae907,seq=0xf5), length 132
12:14:42.347481 IP 10.1.1.7 > 10.1.1.6: ESP(spi=0x49a9eeef,seq=0xf5), length 132
--关于AH,ESP的概念是
ipsec协议的知识,比较底层;这里我们只要看到有相关的信息就可以了
========================================================================
扩展，假设有三个分公司sz(深圳),sh(上海),bj(北京),如何用openswan实现三地的基于ipsec的vpn互联
深圳 北京 上海
10.1.1.6 10.1.1.7 10.1.1.8
外1 外2 外3
1.1.1.128 2.2.2.128 3.3.3.128
内1 内2 内3
1.1.1.129 2.2.2.129 3.3.3.129
网关指向1.1.1.128 网关指向2.2.2.128 网关指向3.3.3.128
# cat /etc/ipsec.conf --深圳分公司的配置只有下面两段（深圳to北京,深圳to上海就行)
conn sz-to-bj
left=10.1.1.6
leftsubnet=1.1.1.0/24
leftnexthop=%defaultroute
leftrsasigkey=0sAQONxSH......
right=10.1.1.7
rightsubnet=2.2.2.0/24
rightnexthop=%defaultroute
rightrsasigkey=0sAQNzwN......
auto=start
conn sz-to-sh
left=10.1.1.6
leftsubnet=1.1.1.0/24
leftnexthop=%defaultroute
leftrsasigkey=0sAQONxSH......
right=10.1.1.8
rightsubnet=3.3.3.0/24
rightnexthop=%defaultroute
rightrsasigkey=0sAQOL07......
auto=start
# cat /etc/ipsec.conf --北京分公司的配置只有下面两段（深圳to北京,上海to北京就行)
conn sz-to-bj
left=10.1.1.6
leftsubnet=1.1.1.0/24
leftnexthop=%defaultroute
leftrsasigkey=0sAQONxSH......
right=10.1.1.7
rightsubnet=2.2.2.0/24
rightnexthop=%defaultroute
rightrsasigkey=0sAQNzwN......
auto=start
conn sh-to-bj
left=10.1.1.8
leftsubnet=3.3.3.0/24
leftnexthop=%defaultroute
leftrsasigkey=0sAQOL07......
right=10.1.1.7
rightsubnet=2.2.2.0/24
rightnexthop=%defaultroute
rightrsasigkey=0sAQNzw......
auto=start
# cat /etc/ipsec.conf --上海分公司的配置只有下面两段（深圳to上海,上海to北京就行)
conn sz-to-sh
left=10.1.1.6
leftsubnet=1.1.1.0/24
leftnexthop=%defaultroute
leftrsasigkey=0sAQONxSH......
right=10.1.1.8
rightsubnet=3.3.3.0/24
rightnexthop=%defaultroute
rightrsasigkey=0sAQOL07......
auto=start
conn sh-to-bj
left=10.1.1.8
leftsubnet=3.3.3.0/24
leftnexthop=%defaultroute
leftrsasigkey=0sAQOL07......
right=10.1.1.7
rightsubnet=2.2.2.0/24
rightnexthop=%defaultroute
rightrsasigkey=0sAQNzw......
auto=start
把上面三台vpn服务器上配置文件确定后，三台还要确认ip_forword打开，然后就可以/etc/init.d/ipsec start 把三台的服务启动，测试，三个内网都能通了
上面还有一种做法也可以成功，就是深圳的VPN服务器上可以配置（sz-to-bj,sz-to-sh,sh-to-bj)三段配置，然后，把配置文件直接scp到北京和上海服务器不用修改，然后都启动，也可以成功
--那么这种做法节点越多，配置起来越方便（因为只要配置一份，然后拷到其它节点就行，不用考虑差异性）
=====================================================================
上面做的是网对网的方式(也就是两个子网或多个子网的连接),openswan叫这种为net-to-net方式,还有一种点对网(也就是出差的单个同事,想登录到公司内网的情况,openswan叫这种为road warrior方式
10.1.1.6 10.1.1.7
酒店路由器 公司VPN服务器
1.1.1.128 2.2.2.128
员工在酒店内笔记本获取的内网IP 公司内的一个服务机器
1.1.1.129 2.2.2.129
网关指向1.1.1.128 网关指向2.2.2.128
--上图中,10.1.1.0网段模拟公网,这里有一个问题,就是公司VPN服务器不一定有公网IP,可能在前端有防火墙DNAT转发过来;
--我这里就简单化一下,直接把公网IP放到VPN服务器
--上图里安装openswan的机器（员工笔记本和vpn服务器要打开ip_forward)
做之前的准备:
1,在酒店路由器上/etc/init.d/ipsec stop掉;还要把网关也删除掉。因为现在它是默认酒店的一个路由器,你不可能在上面安装openswan;
ipsec 服务停掉后,那么上面网对网的架构就不行了;10.1.1.6只是用来模拟做路由而已
2，需要在酒店路由器做一个SNAT伪装，让员工能上外网
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE --注意eth0为路由器的公网IP的网卡名
并且在酒店路由器上打开ip_forword
#vim /etc/sysctl.conf
net.ipv4.ip_forward = 1 --改为1
# sysctl -p --保存退出后,用此使用使之生效
做完上面的准备工作后，员工在1.1.1.129上能ping通10.1.1.7公司VPN服务器公网IP了，但ping不通2.2.2.129公司内网服务器，所以需要做VPN拔号上去
第一步:
在1.1.1.129(这里模拟出差的员工带的笔记本)上安装openswan
安装过程省略,和上面架构时安装过程一样,装完也要modprobe ipsec安装模块(并要打开ip_forward)
第二步:
在1.1.1.129(出差员工客户端)和10.1.1.7(公司VPN服务器)上配置openswan
步骤也是和上面架构安装时一样,我这里的步骤如下
在1.1.1.129上的步骤
# rm /dev/random -rf
# ln -s /dev/urandom /dev/random
# ipsec newhostkey --output /etc/ipsec.secrets
# ipsec showhostkey --left
leftrsasigkey=0sAQO8q6mzHWavOv1Oh3rCtuewZTkwhvefFoVsUqGAeVL8MMv5/kENgeBIMeIH3nclS57oR9juYjY47DJoflZYvJlDwjvOYv5K0BrnM5DqpHitWzblP6Rb/oUl2FNk3oHUs7EoNmqO7JXK4ZWabVj3Dq+BgQTpQyC/wolgfLo6jPqvRwum5xdwxeuHlGgsxFhonY0bBQaX56t8mbt8wuO2ieyo+wyL5nlOe54LY15nzObcm6eTAa15p2TPEtsYFJJk0ijnhucYhMur2SodU3uZyyIKbOIx5qVxTwgcBnDvap8olLqH7GkQRsqPxHpQwW0vgPgmqz/mQu9wEFh/LPcORgkhh4roIJpTtwJdZwTrfIBI/DNN
在10.1.1.7上的步骤
# rm /dev/random -rf
# ln -s /dev/urandom /dev/random
# ipsec newhostkey --output /etc/ipsec.secrets
# ipsec showhostkey --right
rightrsasigkey=0sAQPCb+Wdc7Pe5Cd9Q3s3tEOqahLZxbi3VKbL8N+FtzMfiE5CrFfFcnyIr8GH63bMstFFL0nH/Qaq6h0WbJOTAP//6At9p7+h0103CBNVXFDiI3gex5xQQtvuBlOG/9WhIuYYz/kpkTggdSK9uGvWPBgFV/Gw1NQGUBL/H2VPZ+RWArlREyfa1A5N7atbnKpk6lsFgrthPoZPqS0vdYaQdYXeQE1ZQvChWdPRNXOIVbmK5+blnt5tqCr1eKqZsjIylCWrH/2Uh6ZI9rGzalwaLVxXUTLLPP1Q3F03tXReAk5xF5bednjqUAOO/ofCne2HdoJVFciTAQWS/pvp9zOiI6X6wszrrK1mKQCjHE/JrDj5edMP
第三步:
配置客户端和VPN服务器的ipsec.conf主配置文件
先在出差用户的笔记本上(1.1.1.129)配置
# vim /etc/ipsec.conf --加上下面一段,表示一个VPN连接
conn road
left=%defaultroute --因为在外出差,酒店的公网IP不固定,所以这里直接指向你的网关就行
leftid=@laptop --对你的笔记本做一个标识ID,只要和vpn服务器不一样就行,名字随意
leftrsasigkey=0sAQO8q6mzHW...... --这里的leftkey就是在员工笔记本上得到的key(你在笔记本上--left和--right显示的key是一样的)
right=10.1.1.7 --VPN服务器公网IP,要求IP是固定的
rightid=@vpnserver --vpn服务器的标识ID,名字随意
rightsubnet=2.2.2.0/24 --公司的内网网段(再次提一下,2.2.2.0实际上是公网网段,我这里是实验环境而已)
rightrsasigkey=0sAQPCb+Wdc7..... --这里是rightkey就是在VPN服务器上得到的key(使用--left和--right也是一样的,同一台服务器左和右显示的key是一样的)
auto=start --表示启动服务时,自动连接.如果笔记本chkconfig ipsec on,那么开机就会自动vpn连上公司
再在vpn服务器(10.1.1.7)上配置
# vim /etc/ipsec.conf --加上下面一段
conn road
left=10.1.1.7 --这里VPN服务器公网IP（注意这里left和right换了角色了，在这里vpnserver为left,出差客户端为right)
leftid=@vpnserver
leftsubnet=2.2.2.0/24
leftrsasigkey=0sAQPCb+Wdc7...... --这是vpn服务器上--left得到的key,和--right是一样的key(只是前面的前缀不一样而已）
rightnexthop=%defaultroute
right=%any --因为不知道客户端的公网IP(动态的),所以用%any
rightsubnet=vhost:%priv,%no --这句话很重要,如果出差用户是在一个NAT后面(在路由器后面).也就是说出差用户用的是私网IP,那么这句话就是支持这种情况用的
rightid=@laptop
rightrsasigkey=0sAQO8q6mzH...... --这是出差用户--right得到的key,和--left是一样
auto=start
第四步:
vpn服务器和用户客户端都启动服务
/etc/init.d/ipsec start
第五步:
测试
客户端(1.1.1.129)就可以ping通(2.2.2.128和2.2.2.129)这个公司内网了
===================================================================
openvpn
--架构和上面一样,只是出差员工这次用的系统是windows;如下图
10.1.1.6 10.1.1.7
酒店路由器 公司VPN服务器
1.1.1.128 2.2.2.128
员工在酒店内笔记本(windonws系统)获取的内网IP 公司内的一个服务机器
1.1.1.130 2.2.2.129
网关指向1.1.1.128 网关指向2.2.2.128
准备工作
主机名
关闭iptables
时间同步
按上图准备好后,员工在酒店(1.1.1.130)是ping不通VPN服务器外网IP的(10.1.1.7)
为了模拟实际情况,要在酒店路由器(10.1.1.6)上做一个NAT,命令如下
# iptables -t nat -A POSTROUTING -j MASQUERADE
并且在酒店路由器上打开ip_forword
#vim /etc/sysctl.conf
net.ipv4.ip_forward = 1 --改为1
# sysctl -p --保存退出后,用此使用使之生效
做完后,1.1.1.130就可以访问10.1.1.7了
但是现在出差员工,是访问不了公司内网的(也说是2.2.2.0/24网段)
所以现在我们做VPN,让出差员工能够访问
在vpn-server上安装的相关软件包
笔记目录/arch/vpn_soft/
lzo-2.06.tar.gz --lzo压缩
openvpn-2.2.1.tar.gz --openvpn主程序包
openvpn-2.2.1-install.exe --openvpn在windows上的客户端
1，把软件包拷到vpn服务器上,在VPN服务器上安装lzo和openvpn源码软件包
# yum install openssl*
# tar xf lzo-2.06.tar.gz -C /usr/src/
# cd /usr/src/lzo-2.06/
# ./configure && make && make install
# tar xf openvpn-2.2.1.tar.gz -C /usr/src/
# cd /usr/src/openvpn-2.2.1/
# ./configure && make && make install
2，配置openvpn
# mkdir -p /etc/openvpn
# cp -r /usr/src/openvpn-2.2.1/easy-rsa/* /etc/openvpn/
# cd /etc/openvpn/2.0/
# vim vars --修改生成证书的信息，为了后面生成证书方便
export KEY_COUNTRY="CN"
export KEY_PROVINCE="GD"
export KEY_CITY="ShenZhen"
export KEY_ORG="IT"
export KEY_EMAIL="me@hotmail.com"
export KEY_EMAIL=me@gmail.com
export KEY_CN=vpn
export KEY_NAME=daniel
export KEY_OU=IT
# rpm -qa |grep openssl --rhel6.5自带的openssl为1.0版，所以下面拷的文件为1.0的配置文件
openssl-devel-1.0.1e-15.el6.x86_64
openssl-1.0.1e-15.el6.x86_64
# cp openssl-1.0.0.cnf openssl.cnf
# source ./vars --让刚才的修改生效
NOTE: If you run ./clean-all, I will be doing a rm -rf on /etc/openvpn/2.0/keys
# ./clean-all --执行这句,如果你以前做过keys的话,那么它会帮你删除以前做在/etc/openvpn/2.0/keys目录里的密钥文件.如果你是第一次,它会帮你产生这个目录
3，生成密钥
# ./build-ca
Generating a 1024 bit RSA private key
......................................................++++++
.++++++
writing new private key to 'ca.key'
-----
......
Country Name (2 letter code) [CN]:
State or Province Name (full name) [GD]:
Locality Name (eg, city) [ShenZhen]:
Organization Name (eg, company) [IT]:
Organizational Unit Name (eg, section) [IT]:
Common Name (eg, your name or your server's hostname) [vpn]:
Name [daniel]:
Email Address [me@gmail.com]:
--上面这些我全部都是直接回车的，用的都是上面修改的默认值
4，生成服务器端证书
# ./build-key-server vpn --名字也是随意
Generating a 1024 bit RSA private key
.........++++++
..++++++
writing new private key to 'vpn.key'
......
Country Name (2 letter code) [CN]:
State or Province Name (full name) [GD]:
Locality Name (eg, city) [ShenZhen]:
Organization Name (eg, company) [IT]:
Organizational Unit Name (eg, section) [IT]:
Common Name (eg, your name or your server's hostname) [vpn]:
Name [daniel]:
Email Address [me@gmail.com]:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:123456 --证书密码
An optional company name []:IT --随意
Using configuration from /etc/openvpn/2.0/openssl.cnf
Check that the request matches the signature
Signature ok
The Subject's Distinguished Name is as follows
countryName  RINTABLE:'CN'
stateOrProvinceName RINTABLE:'GD'
localityName RINTABLE:'ShenZhen'
organizationName RINTABLE:'IT'
organizationalUnitNameRINTABLE:'IT'
commonName RINTABLE:'vpn'
name RINTABLE:'daniel'
emailAddress :IA5STRING:'me@gmail.com'
Certificate is to be certified until Nov 8 06:54:13 2022 GMT (3650 days)
Sign the certificate? [y/n]:y --证书有效期为10年，同意
1 out of 1 certificate requests certified, commit? [y/n]y --按y确认
Write out database with 1 new entries
Data Base Updated
5.生成密钥对 Diffie hellman（一种确保共享KEY安全穿越不安全网络的方法）
#./build-dh --会生成dh1024.pem
6，生成客户端证书
# ./build-key client --过程与第4步一样
# ls /etc/openvpn/2.0/keys/ --上面做完后，key目录就会有下面这些文件了
01.pem client.csr index.txt.attr.old vpn.csr
02.pem client.key index.txt.old vpn.key
ca.crt dh1024.pem serial
ca.key index.txt serial.old
client.crt index.txt.attr vpn.crt
7，配置openvpn主配置文件
# cp /usr/src/openvpn-2.2.1/sample-config-files/server.conf /etc/openvpn/ --拷贝配置文件模版
# vim /etc/openvpn/server.conf
port 1194
proto udp
dev tun
ca /etc/openvpn/2.0/keys/ca.crt
cert /etc/openvpn/2.0/keys/vpn.crt
key /etc/openvpn/2.0/keys/vpn.key --路径不要写错
dh /etc/openvpn/2.0/keys/dh1024.pem
server 10.8.0.0 255.255.255.0 --服务器端tun0网卡所在网段，和分配拔号成功的客户端IP所在网段，也就是他们隧道通迅的网段
push "route 2.2.2.0 255.255.255.0" --拔号后给他加一个路由,2.2.2.0就是公司的内网网段
client-to-client --多客户端能互相访问
comp-lzo
max-clients 100 --允许的最大客户端数
8，拷贝openvpn服务脚本，然后启动服务
# cp /usr/src/openvpn-2.2.1/sample-scripts/openvpn.init /etc/rc.d/init.d/openvpn
# chmod 755 /etc/rc.d/init.d/openvpn
# /etc/init.d/openvpn start --启动不起来的话，查看/var/log/messages
验证：
ifconfig tun0 --可以看到下面的信息
tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:10.8.0.1 P-t-P:10.8.0.2 Mask:255.255.255.255
9，把客户端证书和openvpn客户端软件拷贝到windows客户端
要拷的文件有
vpn-server上的：
/etc/openvpn/2.0/keys/
client.crt
client.key
ca.crt
我真实机上的:
笔记目录/arch/vpn_soft/openvpn-2.2.1-install.exe
10,在windows客户端先双击安装openvpn-2.2.1-install.exe
11，我的openvpn默认安装路径为C:\Program Files\OpenVPN\
所以把client.crt,client.key,ca.crt三个文件拷贝到C:\Program Files\OpenVPN\config目录
还要把C:\Program Files\OpenVPN\sample-config\里的client文件也拷到
C:\Program Files\OpenVPN\config目录
12，编辑client配置文件
用写字板程序打开client配置文件（如果没有写字板，可以使用word打开）
client
dev tun
proto udp
remote 10.1.1.7 1194 --10.1.1.7为VPN服务器通向外网的公网IP
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key --这三个文件的路径要对应好，我都在config目录下，所以这里是相对路径
comp-lzo
对client文件右键－－－ start .... 来进行拔号
--注意1：客户端和服务器时间一定要同步，否则拔号时TLS握手失败
--注意2：如果报找不到client.crt，那么就是后缀名的问题。解决方法(点工具--文件夹选项－－查看－－把最下面的 "隐藏已知文件类型的扩展名" 前面的勾去掉 －－确定），后缀名会出现.cer，把他改成.crt就可以了
桌面有一个openvpn的快捷方式，点击后右下角会有一个连接图标（以后可以直接使用这个小图标来连接)
ping 10.8.0.1 可以ping通
ping 2.2.2.129 也可以ping通了（因为他加了这个网段的路由)，说明可以访问内部2.2.2.0/24这个内网了
=============================================================
扩展:
pptpd
br0 172.16.2.9 --这是能上外网的IP（模拟国外不受限制IP）
宿主机
vmnet1 192.168.10.1 --这是hostonly内网(模拟国内IP)
｜
｜
｜
xp虚拟机
192.168.10.128
实现目的:
让xp虚拟机通过pptpd的vpn拔号，能够上外网
软件包路径
笔记目录下/arch/vpn_soft/
第一步:
安装
在宿主机做
# yum install ppp -y
# rpm -ivh pptpd-1.4.0-3.el6.x86_64.rpm
第二步:
配置
在宿主机做
# vim /etc/ppp/options.pptpd
67 ms-dns 114.114.114.114 --打开注释，并写上公网的DNS服务器IP
# vim /etc/pptpd.conf
12 ppp /usr/sbin/pppd --打开这一行的注释
102 localip 172.16.2.9 --最后写上这两句（localip要写vpn服务器上外网的IP）
103 remoteip 172.16.2.10-50 --写一个分配给客户端拔号的IP
# vim /etc/ppp/chap-secrets --写上可以拔号vpn服务器的用户名和密码
test pptpd 123456 * --代表用户名为test,密码为123456;pptpd表示服务名，*表示所有人能连
第三步:
服务器启动服务
# /etc/init.d/pptpd restart
第四步:
windows客户端配置
右键网上邻居－－》创建一个新的连接－－》下一步－－》连接到我的工作场所－－》下一步－－》虚拟专用网络连接－－》下一步－－》填一个随意的连接名(如:zhangsan)－－》填vpn内网的IP（这里就是192.168.10.1)－－>下一步－－》填用户名(test),密码(123456)－－》点连接
测试:
windows可以上外网了
|
|
发表于 2016-2-28 21:19:58