配置一个功能强大的VPN机场需要一步步规划和设置。以下是详细的步骤指南

安装OpenVPN

1. 下载OpenVPN源代码

   • 访问 OpenVPN官网。
   • 下载最新的源代码文件，openvpn-2.6.7.tar.gz。

2. 编译并安装OpenVPN

   • 解压源代码文件：tar -xzf openvpn-2.6.7.tar.gz。
   • 进入构建目录：cd openvpn-2.6.7。
   • 执行编译命令：./configure --prefix=/usr/local/openvpn --with-tun --with-tap。
   • 安装命令：make install。

生成VPN证书和密钥

1. 安装EasyRSA工具

   • 下载并安装 easy-rsa 工具：

     wget https://github.com/OpenVPN/easy-rsa/releases/download/3.2.4/easy-rsa-3.2.4.tgz
     tar -xzf easy-rsa-3.2.4.tgz
     cd easy-rsa-3.2.4
     ./install.sh

2. 生成证书和密钥

   • 初始化证书请求文件：./easyrsa --init-pki --key-file私钥文件名.pem --cert-file 服务器证书文件名.crt --days 365
   • 生成CA私钥和证书：./easyrsa --ca-file ca.crt --key-file ca.key.pem --days 365
   • 生成服务器私钥和证书：./easyrsa --server --key-file server.key.pem --cert-file server.crt --days 365
   • 生成客户端私钥和证书：./easyrsa --client --key-file client.key.pem --cert-file client.crt --days 365

3. 设置文件权限

   • 确保证书和密钥文件权限正确：

     chmod 600 *key.pem
     chmod 640 *cert.pem

配置OpenVPN服务器

1. 编辑服务器配置文件

   • 打开vi /etc/openvpn/server.conf,添加以下内容：

     # 服务器配置
     local
     proto udp
     dev eth
     server
     setenv PUSH "YES"
     setenv FORCE_UPDOWN "YES"
     setenv TUNNEL_ALL "YES"
     setenv IPRedirect "YES"
     push "route 192.168.255. 255.255.255."
     push "route 10.10.10. 255.255.255."
     # 允许IP转换
     if xconnectip a.b.c.d is not defined, then set xconnectip a.b.c.d.

2. 设置管理用户

   • 打开vi /etc/openvpn/server.conf，添加管理用户：

     # 管理用户
     user admin 192.168.255.1
     group admin
     perm_users = "admin"

3. 启动OpenVPN服务

   • 启动服务：systemctl start openvpn@server.service
   • 设置服务自动启动：systemctl enable openvpn@server.service

4. 设置防火墙规则

   • 使用iptables配置：

     iptables -A INPUT -p udp --dport 1194 -j ACCEPT
     iptables -A INPUT -p tcp --dport 1194 -j ACCEPT
     # 允许IP转换
     iptables -A POSTROUTING -o eth -j MASQUERADE

配置IP转换（NAT）

1. 安装IP转换工具

   • 使用netfilter和iptables配置：

     sudo apt-get install iptables

2. 配置iptables规则

   • 允许本地访问：iptables -A INPUT -i lo -j ACCEPT
   • 允许本地端口转发：iptables -A FORWARD -d 192.168.255./24 -j ACCEPT
   • 允许路由器访问：iptables -A FORWARD -d 10.10.10./24 -j ACCEPT
   • MASQUERADE规则：iptables -A POSTROUTING -o eth -j MASQUERADE
   • 保存规则：iptables-save > /etc/iptables.ipv4.nat

3. 配置防火墙脚本

   • 创建firewall.rules文件：

     # Allow all traffic on eth
     iptables -A INPUT -i eth -j ACCEPT
     # NAT规则
     iptables -A INPUT -p udp --dport 1194 -j ACCEPT
     iptables -A INPUT -p tcp --dport 1194 -j ACCEPT
     iptables -A POSTROUTING -o eth -j MASQUERADE

4. 启用防火墙脚本

   • 打开vi /etc/rc.local，添加：

     iptables-restore < /etc/iptables.ipv4.nat

测试VPN连接

1. 配置客户端

   • 在客户端设备上安装OpenVPN并添加以下配置：

     # 服务器地址
     remote 192.168.255.1 1194
     # 证书路径
     ca ca.crt
     cert client.crt
     key client.key.pem

2. 连接测试

   • 启动客户端服务：sudo openvpn --connect "server"
   • 输入服务器证书和密码,确认连接成功。

确认配置

1. 检查服务状态

   • 查看服务状态：systemctl status openvpn@server.service

2. 检查防火墙规则

   • 查看iptables规则：iptables -L -n

3. 检查路由

   • 查看是否有正确的路由：ip route

额外配置

1. 设置DNS

   • 在服务器配置中添加DNS设置：

     setenv DNS 192.168.1.1

2. 启用SSL/TLS

   • 在服务器配置中添加SSL选项：

     ssl --verify

定期维护

• 定期检查日志文件：tail -f /var/log/openvpn/server.log
• 更新软件：sudo apt-get update && sudo apt-get upgrade openvpn
• 定期备份证书和配置文件。

通过以上步骤，您可以成功配置一个高效的VPN机场，支持多个客户端连接,并管理内部网络。