状态: 已弃用

本文介绍了不再受支持的 CentOS 版本。如果您当前正在运行运行 CentOS 6 的服务器,我们强烈建议您升级或迁移到受支持的 CentOS 版本。

原因:CentOS 6 已于 2020 年 11 月 30 日结束生命周期 (EOL)并且不再接收安全补丁或更新。因此,不再维护本指南。

请参阅:

本指南可能仍可用作参考,但可能不适用于其他 CentOS 版本。如果可用,我们强烈建议使用为您正在使用的 CentOS 版本编写的指南。

以下 DigitalOcean 教程可能会立即引起人们的兴趣,因为它概述了在 CentOS 7 服务器上安装和配置 OpenVPN:

• 如何在 CentOS 7 上设置和配置 OpenVPN 服务器

简介

本文将指导您在 CentOS 6 云服务器上设置和配置 OpenVPN 服务器。我们还将介绍如何配置您的 Windows、OS X 或 Linux 客户端以连接到您新安装的 OpenVPN 服务器。

在开始之前,您需要在云服务器上启用 Extra Packages for Enterprise Linux (EPEL) Repository。这是 Fedora 项目提供的第三方存储库,它将提供 OpenVPN 包。

wget http://dl.fedoraproject.org/pub/epel/6/i386/epel-release-6-8.noarch.rpm

rpm -Uvh epel-release-6-8.noarch.rpm

初始 OpenVPN 配置

首先,从 EPEL 安装 OpenVPN 包:

百胜安装openvpn -y

OpenVPN 仅附带一个示例配置,因此我们将配置文件复制到其目标位置:

cp /usr/share/doc/openvpn-*/sample/sample-config-files/server.conf /etc/openvpn

现在我们将文件放在正确的位置,打开它进行编辑:

纳米 -w /etc/openvpn/server.conf

我们的第一个更改是取消注释“push”参数,该参数会导致我们客户端系统上的流量通过 OpenVPN 路由。

推送“重定向网关 def1 旁路 dhcp”

我们还希望更改紧随将 DNS 查询路由到 Google 的公共 DNS 服务器的部分。

推送“dhcp-option DNS 8.8.8.8”

推送“dhcp-option DNS 8.8.4.4”

此外,为了增强安全性,请确保 OpenVPN 在启动后放弃特权。取消注释相关的“用户”和“组”行。

用户没有人

组没人

使用easy-rsa生成密钥和证书

现在我们已经完成了配置文件的修改,我们将生成所需的密钥和证书。与配置文件一样,OpenVPN 默认将所需的脚本放在文档文件夹中。创建所需的文件夹并将文件复制过来。

mkdir -p /etc/openvpn/easy-rsa/keys

cp -rf /usr/share/openvpn/easy-rsa/2.0/* /etc/openvpn/easy-rsa

使用所需位置的文件,我们将编辑“vars”文件,该文件为 easy-rsa 脚本提供所需的信息。

纳米 -w /etc/openvpn/easy-rsa/vars

我们正在寻找修改位于文件底部的“KEY_”变量。变量名称具有相当的描述性,应填写适用的信息。

完成后,“vars”文件的底部应类似于以下内容:

出口 KEY_COUNTRYu003d"US"

导出 KEY_PROVINCEu003d"NY"

出口 KEY_CITYu003d"纽约"

export KEY_ORGu003d"组织名称"

导出 KEY_EMAILu003d"administrator@example.com"

导出 KEY_CNu003ddroplet.example.com

导出 KEY_NAMEu003d服务器

导出 KEY_OUu003d服务器

OpenVPN 可能无法正确检测 CentOS 6 上的 OpenSSL 版本。作为预防措施,请手动复制所需的 OpenSSL 配置文件。

cp /etc/openvpn/easy-rsa/openssl-1.0.0.cnf /etc/openvpn/easy-rsa/openssl.cnf

我们现在将切换到我们的工作目录并根据上面提供的信息构建我们的证书颁发机构或 CA。

cd /etc/openvpn/easy-rsa

来源 ./vars

./clean-all

./build-ca

现在我们有了 CA,我们将为 OpenVPN 服务器创建证书。当 build-key-server 询问时,回答是提交。

./build-key-server 服务器

我们还需要使用 build-dh 脚本生成我们的 Diffie Hellman 密钥交换文件,并将我们所有的文件复制到 /etc/openvpn 中,如下所示:

./build-dh

cd /etc/openvpn/easy-rsa/keys

cp dh1024.pem ca.crt server.crt server.key /etc/openvpn

为了允许客户端进行身份验证,我们需要创建客户端证书。您可以根据需要重复此操作,为每个客户端或设备生成唯一的证书和密钥。如果您计划拥有多个证书对,请务必使用描述性文件名。

cd /etc/openvpn/easy-rsa

./build-key 客户端

路由配置和启动OpenVPN服务器

创建一个 iptables 规则以允许正确路由我们的 VPN 子网。

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

服务 iptables 保存

然后,在 sysctl 中启用 IP 转发:

纳米 -w /etc/sysctl.conf

控制 IP 数据包转发

net.ipv4.ip_forward u003d 1

最后,应用我们的新 sysctl 设置。启动服务器并确保它在引导时自动启动:

sysctl -p

服务 openvpn 启动

chkconfig openvpn on

您现在拥有一个正常工作的 OpenVPN 服务器。在以下步骤中,我们将讨论如何正确配置您的客户端。

配置OpenVPN客户端

现在您的 OpenVPN 服务器已在线,让我们配置您的客户端进行连接。无论您使用什么操作系统,这些步骤都基本相同。

为了继续,我们需要从远程服务器检索 ca.crt、client.crt 和 client.key 文件。只需使用您最喜欢的 SFTP/SCP(安全文件传输协议/安全复制)客户端并将它们移动到本地目录。您也可以在 nano 中打开文件并手动将内容复制到本地文件。请注意,client.crt 和 client.key 文件将根据之前与“./build-key”一起使用的参数自动命名。所有必要的文件都位于 /etc/openvpn/easy-rsa/keys

nano -w /etc/openvpn/easy-rsa/keys/ca.crt

nano -w /etc/openvpn/easy-rsa/keys/client.crt

nano -w /etc/openvpn/easy-rsa/keys/client.key

我们的证书现在在我们的客户端系统上,我们将创建另一个名为 client.ovpn 的新文件,其中“client”应与正在部署的客户端的名称匹配(来自 build-key),内容应如下所示,替换为“ x.x.x.x" 与您的云服务器 IP 地址,并将适当的文件粘贴到指定区域。仅包括从“BEGIN”标题行到“END”行的内容,如下所示。请确保将这些文件与任何身份验证令牌一样保密。

客户

开发屯

原型 udp

远程 x.x.x.x 1194

无限重试

无拘无束

持久键

坚持顿

comp-lzo

动词 3

<ca>

ca.crt 的内容

</ca>

<证书>

client.crt 的内容

</cert>

<键>

client.key 的内容

</key>

由于建立连接所需的所有信息现在都集中在 .ovpn 文件中,我们现在可以将其部署在我们的客户端系统上。

在 Windows 上,无论版本如何,您都需要官方的OpenVPN 社区版二进制文件,它与 GUI 一起预先打包。安装后唯一需要的步骤是将您的 .ovpn 配置文件放入正确的目录 (C:\Program Files\OpenVPN\config) 并单击 GUI 中的连接。 Windows 上的 OpenVPN GUI 必须以管理权限执行。

在 Mac OS X 上,开源应用程序"Tunnelblick"提供了一个类似于 Windows 上的 OpenVPN GUI 的界面,并预装了 OpenVPN 和所需的 TUN/TAP 驱动程序。与 Windows 一样,唯一需要的步骤是将 .ovpn 配置文件放入 ~/Library/Application Support/Tunnelblick/Configurations 目录。

在 Linux 上,您应该从您的发行版官方存储库安装 OpenVPN。然后,您只需执行以下命令即可调用 OpenVPN:

sudo openvpn --config ~/path/to/client.ovpn

恭喜!如果你做到了这一步,你现在应该在你的云服务器上运行一个完全可操作的 VPN。您可以通过检查 Google 以显示您的公共 IP 来验证您的流量是否通过 VPN 路由。