OpenVPN配置范例及配置文件说明

一、配置文件参考样例

我们提供的服务有：做网站、成都做网站、微信公众号开发、网站优化、网站认证、海丰ssl等。为成百上千企事业单位解决了网站和推广的问题。提供周到的售前咨询和贴心的售后服务，是有科学管理、有技术的海丰网站制作公司

1、Easy-***配置范例

1). easy-*** 证书认证 ***server的配置如下：

[root@master open***]# grep -P -v "^(#|;|$)" server.conf

local 202.102.1.1

port 1194

proto udp

dev tap

ca ca.crt

cert ***server.crt

key ***server.key # This file should be kept secret

dh dh2024.pem

server 10.8.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt

push "route 192.168.1.0 255.255.255.0"

keepalive 10 120

comp-lzo

user nobody

group nobody

persist-key

persist-tun

status open***-status.log

verb 3

2). easy-*** 证书认证 ***client的配置如下：

[root@slave2 open***]# grep -P -v "^(;|#|$)" client.conf

client

dev tap

proto udp

remote ***.example.com 1194 #此FQDN必须对应***server外网网卡的IP

resolv-retry infinite

nobind

user nobody

group nobody

persist-key

persist-tun

ca ca.crt

cert client.crt

key client.key

comp-lzo

verb 3

1). easy-*** 用户名密码认证 ***server的配置如下：

[root@master open***]# grep -P -v "^(;|#|$)" server.conf

auth-user-pass-verify /etc/open***/checkpsw.sh via-env

client-cert-not-required #本行表示不需要验证客户端证书，如果没有本行客户端必须提供证书

username-as-common-name

local 202.102.1.1

port 1194

proto udp

dev tap

ca ca.crt

cert ***server.crt

key ***server.key # This file should be kept secret

dh dh2024.pem

server 10.8.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt

push "route 192.168.1.0 255.255.255.0"

keepalive 10 120

comp-lzo

user nobody

group nobody

persist-key

persist-tun

status open***-status.log

verb 3

[root@master open***]# ll checkpsw.sh psw-file

-rwxr-x--- 1 nobody nobody 1191 9月 1 09:57 checkpsw.sh

-r-------- 1 nobody nobody 37 9月 1 09:59 psw-file

说明：以下两个文件的属主、属组必须是nobody； psw-file文件的权限必须是400

[root@master open***]# cat checkpsw.sh

#!/bin/sh

########################################################

# This script will authenticate Open*** users against

# a plain text file. The passfile should simply contain

# one row per user with the username first followed by

# one or more space(s) or tab(s) and then the password.

PASSFILE="/etc/open***/psw-file"

LOG_FILE="/var/log/open***-password.log"

TIME_STAMP=`date "+%Y-%m-%d %T"`

########################################################

if [ ! -r "${PASSFILE}" ]; then

echo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >> ${LOG_FILE}

exit 1

CORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}' ${PASSFILE}`

if [ "${CORRECT_PASSWORD}" = "" ]; then

echo "${TIME_STAMP}: User does not exist: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}

exit 1

if [ "${password}" = "${CORRECT_PASSWORD}" ]; then

echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}

exit 0

echo "${TIME_STAMP}: Incorrect password: username=\"${username}\", password=\"${password}\"." >> ${LOG_FILE}

exit 1

[root@master open***]# cat psw-file

robin123

marry123

#用户名密码

2). easy-*** 用户名密码认证 ***client的配置如下：

[root@slave2 open***]# grep -P -v "^(#|;|$)" client.conf

client

auth-user-pass

dev tap

proto udp

remote ***.example.com 1194

resolv-retry infinite

nobind

user nobody

group nobody

persist-key

persist-tun

ca ca.crt

comp-lzo

verb 3

2、Site-to-Site ***配置范例

1). site-to-site ***server 的配置文件如下：

[root@master open***]# grep -P -v "^(;|#|$)" server.conf

local 202.102.1.1

port 1194

proto udp

dev tun

ca ca.crt

cert ***server.crt

key ***server.key # This file should be kept secret

dh dh2024.pem

server 10.8.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt

push "route 192.168.1.0 255.255.255.0"

client-config-dir ccd

route 192.168.2.0 255.255.255.0

client-to-client

keepalive 10 120

tls-auth ta.key 0 # This file is secret

cipher BF-CBC # Blowfish (default)

comp-lzo

user nobody

group nobody

persist-key

persist-tun

status open***-status.log

verb 3

[root@master open***]#open*** --genkey --secret ta.key

[root@master open***]#mkdir /etc/open***/ccd/

[root@master open***]#echo "iroute 192.168.2.0 255.255.255.0" > /etc/open***/ccd/slave2.example.com

说明：其中/etc/open***/ccd/slave2.example.com的文件名必须是*** client 证书中的common name 。

2). site-to-site ***client 的配置文件如下：

[root@slave2 open***]# grep -P -v "^(;|#|$)" client.conf

client

dev tun

proto udp

remote ***.example.com 1194 #此FQDN必须对应***server外网网卡的IP

resolv-retry infinite

nobind

user nobody

group nobody

persist-key

persist-tun

ca ca.crt

cert client.crt

key client.key

ns-cert-type server

tls-auth ta.key 1

comp-lzo

verb 3

二、配置文件参数说明

#号和;号开头的都是注释

local 202.102.1.1 # 设置监听 IP，默认是监听所有 IP

port 2194 #Open*** 服务器监听端口

;proto tcp

proto udp # 设置用 TCP 还是 UDP 协议？

dev tun # 设置创建 tun 的路由 IP 通道，还是创建 tap 的以太网通道；

#路由 IP 容易控制，所以推荐使用它；但如果如 IPX 等必须；

#使用第二层才能通过的通讯，则可以用 tap 方式，tap 也就是以太网桥接

server 10.9.0.0 255.255.255.0 # 配置 *** 使用的网段，Open*** 会自动提供基于该网段的 DHCP

# 服务，但不能和任何一方的局域网段重复，保证唯一

# server 端 ip 默认会设为.1 的地址。

push "route 172.18.2.0 255.255.255.0" # 为客户端创建对应的路由,以令其通达公司网内部服务器

# 但记住，公司网内部服务器也需要有可用路由返回到客户端

ifconfig-pool-persist /usr/local/etc/ipp.txt # 维持一个客户端和 virtual IP 的对应表，以方便客户端重新

# 连接可以获得同样的 IP

push "dhcp-option DNS 172.18.2.23" # 用 Open*** 的 DHCP 功能为客户端提供DNS、WINS 等

push "dhcp-option DNS 202.96.128.86"

# 这里是重点，必须指定 SSL/TLS root certificate (ca),

# certificate(cert), and private key (key)

# ca文件是服务端和客户端都必须使用的，但不需要 ca.key

#服务端和客户端指定各自的.crt和.key

#请注意路径,可以使用以配置文件开始为根的相对路径,

#也可以使用绝对路径

#请小心存放.key密钥文件

ca /usr/local/etc/keys/ca.crt

cert /usr/local/etc/keys/server.crt

key /usr/local/etc/keys/server.key

# 指定 Diffie hellman parameters.

dh /usr/local/etc/keys/dh2024.pem

crl-verify /usr/local/etc/keys/***crl.pem #用于吊销客户证书

#增强安全性

# Generate with:

# open*** --genkey --secret ta.key

# The server and each client must have

# a copy of this key.

# The second parameter should be 0

# on the server and 1 on the clients.

tls-auth /usr/local/etc/keys/ta.key 0

#设置服务端检测的间隔和超时时间每 10秒 ping一次，如果 120秒没有回应则认为对方已经 down

keepalive 10 120

comp-lzo # 使用 lzo 压缩的通讯,服务端和客户端都必须配置

status /var/log/open***-status.log # 输出短日志,每分钟刷新一次,以显示当前的客户端

#设置日志要记录的级别。

#0只记录错误信息。

#4能记录普通的信息。

#5和 6在连接出现问题时能帮助调试

#9是极端的，所有信息都会显示，甚至连包头等信息都显示（像 tcpdump）

verb 4

mute 20 #相同信息的数量，如果连续出现 20条相同的信息，将不记录到日志中。

# 让 Open*** 以 nobody 用户和组来运行（安全）

user nobody

group nobody

# The persist options will try to avoid

# accessing certain resources on restart

# that may no longer be accessible because

# of the privilege downgrade.

#重启时仍保留一些状态

persist-key

persist-tun

其他参数说明：

#为特定的客户端指定 IP或指定路由,该路由通常是客户端后面的

#内网网段,而不是服务端连接的网段

# ccd 是/etc/open*** 下的目录，其中建有希望限制的客户端 Common

# Name为文件名的文件,并通过下面的命令写入固定 IP地址

# 例如 Common Name 为 client1,则在/etc/open***/ccd/client1 写有：

# ifconfig-push 10.9.0.1 10.9.0.2

client-config-dir /usr/local/etc/ccd

#若客户端希望所有的流量都通过 ***传输,则可以使用该语句

#其会自动改变客户端的网关为 ***服务器,推荐关闭

#一旦设置，请小心服务端的 DHCP设置问题

;push "redirect-gateway"

#如果您希望有相同 Common Name的客户端都可以登陆

#也可以注释下面的语句,推荐每个客户端都使用不用的 Common Name

#常用于测试

;duplicate-cn

#设置最大用户数

#max-clients 3

#打开管理界面,可以定义监控的 IP和端口

management localhost 7505

#缺省日志会记录在系统日志中，但也可以导向到其他地方

#建议调试的使用先不要设置,调试完成后再定义

;log /var/log/open***/open***.log

;log-append /var/log/open***/open***.log

#配置为以太网桥模式,但需要使用系统的桥接功能

#这里不需要使用

;server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100

#记录日志，每次重新启动 open***后删除原有的 log信息

log /var/log/open***.log

#和 log一致，每次重新启动 open***后保留原有的 log信息，新信息追加到文件最后

;log-append open***.log

#定义运行 open*** 的用户

user nobody

group nobody

#Run script or shell command cmd to validate client

#virtual addresses or routes. 具体查看 manual

;learn-address ./script

#其它的一些需要 PUSH 给 Client

#用于记录某个 Client 获得的 IP 地址，类似于 dhcpd.lease 文件，

#防止 open*** 重新启动后“忘记”Client 曾经使用过的 IP 地址

ifconfig-pool-persist ipp.txt

#Bridge状态下类似 DHCPD的配置，为客户分配地址，由于这里工作在路由模式，所以不使用

;server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100

#随机选择一个 Server连接，否则按照顺序从上到下依次连接

;remote-random

# 始终重新解析 Server 的 IP 地址（如果 remote 后面跟的是域名），

# 保证 Server IP 地址是动态的使用 DDNS 动态更新 DNS 后，Client 在自动重新连接时重新解析 Server 的

IP 地址

#这样无需人为重新启动，即可重新接入 ***

resolv-retry infinite

#在本机不邦定任何端口监听 incoming数据，Client无需此操作，除非一对一的 ***有必要

nobind

# 如果你使用 HTTP 代理连接 *** Server，把 Proxy 的 IP 地址和端口写到下面

# 如果代理需要验证，使用 http-proxy server port [authfile] [auth-method]

#其中 authfile是一个 2行的文本文件，用户名和密码各占一行，auth-method可以省略，详

细信息查看 Manual

;http-proxy-retry # retry on connection failures

;http-proxy [proxy server] [proxy port #]

# Server 使用 build-key-server 脚本什成的，在 x509 v3 扩展中加入了 ns-cert-type 选项

# 防止 *** client 使用他们的 keys ＋ DNS hack 欺骗 *** client 连接他们假冒的 *** Server

#因为他们的 CA里没有这个扩展

ns-cert-type server

a.定义 tun 为使用路由方式的 ***

b.小心处理证书的路径，.key文件要保存好，特别是 ca.key。

（ca.key 不需要在 Open*** 中用到，可以另外保存）

注意，每个虚拟 tun网卡都是成对的，只有 inet addr标识的才是用于 ***通讯。并且必须在/30网段

网页名称：OpenVPN配置范例及配置文件说明
本文来源：http://chengdu.cdxwcx.cn/article/iedijp.html

甜橘子，专注成都网站制作网站设计与营销型网站建设与优化

首页

网站建设

网站制作案例

解决方案

网站设计报价

网站制作动态

关于我们

联系我们

成都网站建设设计将想法与焦点和您一起共享

OpenVPN配置范例及配置文件说明

其他资讯

java代码怎么生成短信 java 短信系统开发

java代码在哪里编译 java代码在哪里编译的

oracle如何删除空表 oracle清空表内容

vb.net写入csv vb写网页

linux命令不输出 linux命令行输入不了命令

甜橘子，专注成都网站制作网站设计与营销型网站建设与优化

成都网站建设设计 将想法与焦点和您一起共享

OpenVPN配置范例及配置文件说明

其他资讯

java代码怎么生成短信 java 短信系统 开发

java代码在哪里编译 java代码在哪里编译的

oracle如何删除空表 oracle清空表内容

vb.net写入csv vb写网页

linux命令不输出 linux命令行输入不了命令

成都网站建设设计将想法与焦点和您一起共享

java代码怎么生成短信 java 短信系统开发