3、OpenVPN网络配置与使用全解析-育师

OpenVPN网络配置与使用全解析

1. 点对点网络基础配置

在构建点对点网络时，首先要创建配置文件。以下是详细步骤：
1.创建客户端配置文件：基于之前的配置模板创建，内容如下：

dev tun port 1194 ifconfig 10.200.0.1 10.200.0.2 secret secret.key remote openvpnserver.example.com verb 3

将此文件保存为example1-6-client.conf。
2.启动服务器端OpenVPN进程：在非标准端口上启动监听进程，命令如下：

[root@server]# openvpn \ --ifconfig 10.200.0.1 10.200.0.2 \ --dev tun --secret secret.key \ --port 11000

启动客户端OpenVPN进程：添加额外的命令行参数，命令如下：

[WinClient] C:\>"\Program Files\OpenVPN\bin\openvpn.exe" \ --config client.conf \ --port 11000

连接建立后，会有如下连接日志输出：

Jan 11 16:14:04 2016 UDPv4 link local (bound): [undef] Jan 11 16:14:04 2016 UDPv4 link remote: [AF_INET]172.16.8.1:11000 Jan 11 16:14:06 2016 Peer Connection Initiated with [AF_INET]172.16.8.1:11000 Jan 11 16:14:12 2016 TEST ROUTES: 0/0 succeeded len=0 ret=1 a=0 u/d=up Jan 11 16:14:12 2016 Initialization Sequence Completed

2. 命令行参数优先级

命令行和配置文件的读取和解析是从左到右、从上到下进行的。这意味着在配置文件之前指定的大多数选项可能会被文件中的条目覆盖。同样，在--config client.conf指令之后指定的选项会覆盖文件中的条目。例如，--port 11000选项覆盖了配置文件中的port 1194行。

不过，有些选项可以多次指定，在这种情况下，第一次出现的选项“获胜”。例如以下两个命令示例：
- 示例一：

C:\>"\Program Files\OpenVPN\bin\openvpn.exe" \ --verb 0 \ --config client.conf \ --port 11000

此命令中，client.conf配置文件中的verb 3命令覆盖了命令行指定的--verb 0。
- 示例二：

C:\>"\Program Files\OpenVPN\bin\openvpn.exe" \ --config client.conf \ --port 11000 \ --verb 0

使用此命令行，连接日志将完全为空，但VPN连接仍处于正常工作模式。

3. 完整站点到站点网络设置

要设置完整的站点到站点网络，可按以下步骤操作：
1.准备工作：在两台计算机上安装OpenVPN 2.3.9或更高版本，确保计算机通过网络连接。使用OpenVPN密钥配方中的secret.key文件，并确保服务器和客户端都配置了路由（IP转发）。
2.创建服务器配置文件：内容如下：

dev tun proto udp local openvpnserver.example.com lport 1194 remote openvpnclient.example.com rport 1194 secret secret.key 0 ifconfig 10.200.0.1 10.200.0.2 route 192.168.4.0 255.255.255.0 user nobody group nobody # use "group nogroup" on some distros persist-tun persist-key keepalive 10 60 ping-timer-rem verb 3 daemon log-append /tmp/openvpn.log

将其保存为example1-7-server.conf。
3.创建客户端配置文件：内容如下：

dev tun proto udp local openvpnclient.example.com lport 1194 remote openvpnserver.example.com rport 1194 secret secret.key 1 ifconfig 10.200.0.2 10.200.0.1 route 172.31.32.0 255.255.255.0 user nobody group nobody # use "group nogroup" on some distros persist-tun persist-key keepalive 10 60 ping-timer-rem verb 3 daemon log-append /tmp/openvpn.log

将其保存为example1-7-client.conf。
4.启动隧道：
- 服务器端：

[root@server]# openvpn --config example1-7-server.conf

- 客户端：

[root@client]# openvpn --config example1-7-client.conf

隧道建立后，检查客户端和服务器的日志文件以验证连接是否成功。连接建立后，两端局域网内的机器可以通过OpenVPN隧道相互访问。

4. 三点路由网络设置

对于少量（少于四个）固定端点，点对点设置非常灵活。以下是设置三个OpenVPN隧道以实现三点路由的步骤：
1.准备工作：在两台计算机上安装OpenVPN 2.3.9或更高版本，确保计算机通过网络连接，并确保所有OpenVPN端点都配置了路由（IP转发）。
2.生成静态密钥：在siteA上生成三个静态密钥，命令如下：

[root@siteA]# openvpn --genkey --secret AtoB.key [root@siteA]# openvpn --genkey --secret AtoC.key [root@siteA]# openvpn --genkey --secret BtoC.key

通过安全通道（如scp）将这些密钥传输到所有端点。
3.创建服务器（监听）配置文件：
-example1-8-serverBtoA.conf：

dev tun proto udp port 1194 secret AtoB.key 0 ifconfig 10.200.0.1 10.200.0.2 route 192.168.4.0 255.255.255.0 vpn_gateway 5 route 192.168.6.0 255.255.255.0 vpn_gateway 10 route-delay keepalive 10 60 verb 3

- `example1-8-serverCtoA.conf`：

dev tun proto udp port 1195 secret AtoC.key 0 ifconfig 10.200.0.5 10.200.0.6 route 192.168.4.0 255.255.255.0 vpn_gateway 5 route 192.168.5.0 255.255.255.0 vpn_gateway 10 route-delay keepalive 10 60 verb 3

- `example1-8-serverBtoC.conf`：

dev tun proto udp port 1196 secret BtoC.key 0 ifconfig 10.200.0.9 10.200.0.10 route 192.168.4.0 255.255.255.0 vpn_gateway 10 route 192.168.6.0 255.255.255.0 vpn_gateway 5 route-delay keepalive 10 60 verb 3

创建客户端（连接）配置文件：
- example1-8-clientAtoB.conf：

dev tun proto udp remote siteB port 1194 secret AtoB.key 1 ifconfig 10.200.0.2 10.200.0.1 route 192.168.5.0 255.255.255.0 vpn_gateway 5 route 192.168.6.0 255.255.255.0 vpn_gateway 10 route-delay keepalive 10 60 verb 3

- `example1-8-clientAtoC.conf`：

dev tun proto udp remote siteC port 1195 secret AtoC.key 1 ifconfig 10.200.0.6 10.200.0.5 route 192.168.5.0 255.255.255.0 vpn_gateway 10 route 192.168.6.0 255.255.255.0 vpn_gateway 5 route-delay verb 3

- `example1-8-clientCtoB.conf`：

dev tun proto udp remote siteB port 1196 secret BtoC.key 1 ifconfig 10.200.0.10 10.200.0.9 route 192.168.4.0 255.255.255.0 vpn_gateway 10 route 192.168.5.0 255.255.255.0 vpn_gateway 5 route-delay keepalive 10 60 verb 3

启动隧道：
- 先启动所有监听隧道：

[root@siteB]# openvpn --config example1-8-serverBtoA.conf [root@siteB]# openvpn --config example1-8-serverBtoC.conf [root@siteC]# openvpn --config example1-8-serverCtoA.conf

- 再启动连接隧道：

[root@siteA]# openvpn --config example1-8-clientAtoB.conf [root@siteA]# openvpn --config example1-8-clientAtoC.conf [root@siteC]# openvpn --config example1-8-clientCtoB.conf

5. 三点路由网络工作原理

通过设置三个隧道，为每个远程网络提供了两条路由，增加了网络的冗余性。例如，siteA到siteB（LAN192.168.5.0/24）有两条路由：

[siteA]$ ip route show [...] 192.168.5.0/24 via 10.200.0.1 dev tun0 metric 5 192.168.5.0/24 via 10.200.0.5 dev tun1 metric 10 [...]

直接隧道到siteB，此路由度量值最低。
间接隧道，先到siteC再到siteB，此路由度量值较高，只有在第一条路由失效时才会被选择。

这种设置的优点是，如果一个隧道失败，60秒后连接及其相应的路由将被丢弃并重新启动，备份路由会自动接管，确保所有三个站点仍能相互访问。当直接隧道恢复时，直接路由也会恢复，网络流量将自动选择最佳路径。

6. 三点路由网络的扩展性和路由协议

扩展性：连接三个远程站点需要六个不同的配置文件，随着站点数量增加，配置文件数量会以n * (n - 1)的速度增长，当站点数量超过四个时，服务器/多客户端设置会更易于管理。
路由协议：为了提高网络的可用性，建议运行路由协议，如RIPv2或OSPF。使用路由协议可以更快地发现故障路由，减少网络停机时间。

7. IPv6支持配置

要在站点到站点网络中添加IPv6支持，可按以下步骤操作：
1.准备工作：在两台计算机上安装OpenVPN 2.3.9或更高版本，确保计算机通过网络连接，使用OpenVPN密钥配方中的secret.key文件。
2.创建服务器配置文件：内容如下：

dev tun proto udp local openvpnserver.example.com lport 1194 remote openvpnclient.example.com rport 1194 secret secret.key 0 ifconfig 10.200.0.1 10.200.0.2 route 192.168.4.0 255.255.255.0 tun-ipv6 ifconfig-ipv6 2001:db8:100::1 2001:db8:100::2 user nobody group nobody # use "group nogroup" on some distros persist-tun persist-key keepalive 10 60 ping-timer-rem verb 3 daemon log-append /tmp/openvpn.log

将其保存为example1-9-server.conf。
3.创建客户端配置文件：内容如下：

dev tun proto udp local openvpnclient.example.com lport 1194 remote openvpnserver.example.com rport 1194 secret secret.key 1 ifconfig 10.200.0.2 10.200.0.1 route 172.31.32.0 255.255.255.0 tun-ipv6 ifconfig-ipv6 2001:db8:100::2 2001:db8:100::1 user nobody group nobody # use "group nogroup" on some distros persist-tun persist-key keepalive 10 60 ping-timer-rem verb 3

将其保存为example1-9-client.conf。
4.启动隧道：
- 服务器端：

[root@server]# openvpn --config example1-9-server.conf

- 客户端：

[root@client]# openvpn --config example1-9-client.conf

隧道建立后，两端局域网内的机器可以通过OpenVPN隧道相互访问。可以通过以下命令验证IPv6流量是否正常：

[client]$ ping6 -c 4 2001:db8:100::1

8. IPv6支持配置工作原理

客户端和服务器配置文件与之前的完整站点到站点设置类似，只是增加了以下两行：

tun-ipv6 ifconfig-ipv6 2001:db8:100::2 2001:db8:100::1

这两行代码启用了IPv6支持，同时保留了默认的IPv4支持。在客户端配置中，daemon和log-append选项不存在，因此所有OpenVPN输出将发送到屏幕，进程将在前台运行。

9. IPv6配置的额外注意事项

日志文件错误：在客户端连接输出中，按下Ctrl + C后可能会看到一些错误消息，如RTNETLINK answers: operation not permitted。这是使用user nobody选项保护OpenVPN设置的副作用，通常会让新用户感到困惑。实际上，这些错误消息是无害的，因为OpenVPN在终止时会尝试执行一些需要root权限的操作，但此时它已经切换到nobody用户，因此会出现权限不足的错误。
IPv6-only隧道：OpenVPN 2.3版本要求IPv6-only隧道始终启用IPv4支持，从OpenVPN 2.4版本开始，可以设置仅支持IPv6的连接。

10. 客户端 - 服务器IP网络配置：设置公钥和私钥

在设置客户端/服务器VPN之前，需要设置公钥基础设施（PKI）。PKI包括证书颁发机构、私钥以及客户端和服务器的证书（公钥），还需要生成Diffie-Hellman参数文件以实现完美前向保密。以下是详细步骤：
1.准备工作：PKI应在受信任的计算机上设置，为了安全起见，最好将PKI与其他OpenVPN服务完全分离。可以将PKI证书颁发机构（CA）密钥存储在单独的外部磁盘上，仅在需要时连接；或者将CA私钥存储在未连接到任何网络的单独计算机上。此配置可以在Linux、Mac OS或Windows上完成，Linux的easy-rsa脚本需要在类似bash的shell中运行，确保不使用csh/tcsh（UNIX shell）。
2.使用easy-rsa脚本设置PKI：easy-rsa脚本最初随OpenVPN分发，现在也可以单独下载和安装。通过这些脚本可以方便地生成所需的证书和密钥。

综上所述，OpenVPN提供了多种网络配置方式，包括点对点网络、三点路由网络以及支持IPv6的网络，同时还涉及客户端 - 服务器IP网络的公钥和私钥设置。在实际应用中，需要根据具体需求选择合适的配置方式，并注意配置过程中的各种细节，以确保网络的稳定和安全。

OpenVPN网络配置与使用全解析

11. 客户端 - 服务器IP网络：简单配置

在完成公钥和私钥的设置后，就可以进行客户端 - 服务器IP网络的简单配置。这种配置模式是OpenVPN最常用的部署模型，适用于单个服务器连接多个远程客户端并进行IP流量路由的场景。以下是简单配置的关键步骤：
-服务器端配置：需要设置服务器监听的端口、协议、证书和密钥等信息。例如，使用UDP协议监听1194端口，指定服务器证书和私钥文件路径等。
-客户端配置：客户端需要指定服务器的地址和端口，以及自身的证书和私钥。同时，还可以设置一些其他选项，如日志级别、连接超时时间等。

通过简单配置，客户端可以连接到服务器，实现基本的VPN功能。

12. 客户端 - 服务器IP网络：服务器端路由

服务器端路由配置对于实现客户端之间以及客户端与服务器所在网络之间的通信至关重要。以下是配置服务器端路由的步骤：
1.配置路由表：在服务器上配置路由表，指定客户端网络和服务器所在网络之间的路由规则。例如，将客户端网络的流量路由到OpenVPN隧道接口。
2.启用IP转发：确保服务器上启用了IP转发功能，以便允许数据包在不同网络接口之间转发。可以通过修改/etc/sysctl.conf文件并重启网络服务来启用IP转发。
3.防火墙配置：配置防火墙规则，允许OpenVPN流量通过服务器的网络接口。例如，开放UDP 1194端口，允许客户端与服务器之间的通信。

通过以上配置，服务器可以将客户端的流量正确路由到目标网络，实现客户端之间以及客户端与服务器所在网络之间的通信。

13. 客户端 - 服务器IP网络：添加IPv6支持

随着IPv6的逐渐普及，为OpenVPN网络添加IPv6支持变得越来越重要。以下是添加IPv6支持的步骤：
1.服务器端配置：在服务器配置文件中添加server-ipv6选项，指定IPv6地址池。例如：

server-ipv6 2001:db8:100::/64

同时，确保服务器的网络接口支持IPv6，并配置相应的IPv6地址。
2.客户端配置：在客户端配置文件中添加tun-ipv6和ifconfig-ipv6选项，指定客户端的IPv6地址和子网掩码。例如：

tun-ipv6 ifconfig-ipv6 2001:db8:100::2 2001:db8:100::1

测试IPv6连接：在客户端和服务器之间进行IPv6通信测试，确保IPv6流量可以正常通过OpenVPN隧道。可以使用ping6命令进行测试。

通过以上配置，OpenVPN网络可以同时支持IPv4和IPv6流量，满足不同用户的需求。

14. 客户端 - 服务器IP网络：使用client-config-dir文件

client-config-dir文件可以用于为不同的客户端提供个性化的配置。以下是使用client-config-dir文件的步骤：
1.创建客户端配置目录：在服务器上创建一个目录，用于存放客户端的配置文件。例如：

mkdir /etc/openvpn/client-configs

配置client-config-dir选项：在服务器配置文件中添加client-config-dir选项，指定客户端配置目录的路径。例如：

client-config-dir /etc/openvpn/client-configs

为客户端创建配置文件：在客户端配置目录中为每个客户端创建一个配置文件，文件名通常为客户端的CN（Common Name）。例如，为客户端client1创建一个名为client1的配置文件，内容可以根据需要进行定制。

iroute 192.168.1.0 255.255.255.0

通过以上配置，服务器可以根据不同客户端的配置文件为其提供个性化的配置，实现更灵活的网络管理。

15. 客户端 - 服务器IP网络：路由 - 子nets在两侧

当客户端和服务器所在网络都有多个子网时，需要进行更复杂的路由配置。以下是配置两侧子网路由的步骤：
1.服务器端路由配置：在服务器配置文件中添加route选项，指定客户端网络的子网路由。例如：

route 192.168.2.0 255.255.255.0

客户端路由配置：在客户端配置文件中添加route选项，指定服务器所在网络的子网路由。例如：

route 10.0.0.0 255.0.0.0

测试路由配置：在客户端和服务器之间进行子网通信测试，确保不同子网之间的流量可以正常通过OpenVPN隧道。

通过以上配置，客户端和服务器所在网络的不同子网之间可以实现相互通信。

16. 客户端 - 服务器IP网络：Redirecting the default gateway

Redirecting the default gateway可以将客户端的所有网络流量都通过OpenVPN隧道传输，增强网络的安全性和隐私性。以下是配置Redirecting the default gateway的步骤：
1.服务器端配置：在服务器配置文件中添加push "redirect-gateway def1 bypass-dhcp"选项，将默认网关设置为OpenVPN隧道接口。例如：

push "redirect-gateway def1 bypass-dhcp"

客户端配置：客户端无需进行额外配置，当连接到服务器时，客户端的默认网关将自动被重定向到OpenVPN隧道接口。
测试默认网关重定向：在客户端上进行网络访问测试，确保所有网络流量都通过OpenVPN隧道传输。

通过以上配置，客户端的所有网络流量都将通过OpenVPN隧道传输，提高了网络的安全性和隐私性。

17. 客户端 - 服务器IP网络：Redirecting the IPv6 default gateway

与Redirecting the default gateway类似，Redirecting the IPv6 default gateway可以将客户端的IPv6网络流量都通过OpenVPN隧道传输。以下是配置Redirecting the IPv6 default gateway的步骤：
1.服务器端配置：在服务器配置文件中添加push "redirect-gateway ipv6"选项，将IPv6默认网关设置为OpenVPN隧道接口。例如：

push "redirect-gateway ipv6"

客户端配置：客户端无需进行额外配置，当连接到服务器时，客户端的IPv6默认网关将自动被重定向到OpenVPN隧道接口。
测试IPv6默认网关重定向：在客户端上进行IPv6网络访问测试，确保所有IPv6网络流量都通过OpenVPN隧道传输。

通过以上配置，客户端的IPv6网络流量都将通过OpenVPN隧道传输，增强了网络的安全性和隐私性。

18. 客户端 - 服务器IP网络：Using an ifconfig-pool block

ifconfig-poolblock可以用于为客户端动态分配IP地址。以下是使用ifconfig-poolblock的步骤：
1.服务器端配置：在服务器配置文件中添加ifconfig-poolblock，指定IP地址池的范围和子网掩码。例如：

ifconfig-pool 10.8.0.1 10.8.0.254 255.255.255.0

客户端配置：客户端无需进行额外配置，当连接到服务器时，服务器将从IP地址池中为客户端动态分配一个IP地址。
测试IP地址分配：在客户端上查看分配的IP地址，确保IP地址分配正常。

通过以上配置，服务器可以为客户端动态分配IP地址，提高了网络的灵活性和可管理性。

19. 客户端 - 服务器IP网络：Using the status file

status文件可以用于监控OpenVPN服务器的运行状态。以下是使用status文件的步骤：
1.服务器端配置：在服务器配置文件中添加status选项，指定status文件的路径和更新间隔。例如：

status /var/log/openvpn-status.log 10

查看status文件：可以使用cat或tail命令查看status文件的内容，了解OpenVPN服务器的运行状态、客户端连接信息等。

tail -f /var/log/openvpn-status.log

通过以上配置，可以方便地监控OpenVPN服务器的运行状态，及时发现和解决问题。

20. 客户端 - 服务器IP网络：The management interface

managementinterface可以用于远程管理OpenVPN服务器。以下是使用managementinterface的步骤：
1.服务器端配置：在服务器配置文件中添加management选项，指定管理接口的地址和端口。例如：

management 127.0.0.1 7505

连接到管理接口：可以使用telnet或nc命令连接到管理接口，执行各种管理命令。例如：

telnet 127.0.0.1 7505

执行管理命令：连接到管理接口后，可以执行各种管理命令，如查看客户端连接信息、暂停或恢复客户端连接等。

通过以上配置，可以方便地远程管理OpenVPN服务器，提高管理效率。

21. 客户端 - 服务器IP网络：Proxy-arp

Proxy-arp可以用于解决客户端和服务器之间的网络通信问题。以下是使用Proxy-arp的步骤：
1.服务器端配置：在服务器配置文件中添加push "proxy-arp"选项，启用Proxy-arp功能。例如：

push "proxy-arp"

客户端配置：客户端无需进行额外配置，当连接到服务器时，Proxy-arp功能将自动生效。
测试Proxy-arp功能：在客户端和服务器之间进行网络通信测试，确保Proxy-arp功能正常工作。

通过以上配置，可以解决客户端和服务器之间的网络通信问题，提高网络的连通性。

综上所述，OpenVPN的客户端 - 服务器IP网络配置涉及多个方面，包括简单配置、服务器端路由、IPv6支持、个性化配置、路由配置、默认网关重定向、IP地址分配、状态监控、远程管理和网络连通性优化等。在实际应用中，需要根据具体需求选择合适的配置选项，并进行合理的配置和管理，以确保网络的稳定、高效和安全。

下面是OpenVPN客户端 - 服务器IP网络配置的流程总结：

graph LR A[设置公钥和私钥] --> B[简单配置] B --> C[服务器端路由] C --> D[添加IPv6支持] D --> E[使用client - config - dir文件] E --> F[路由 - 子nets在两侧] F --> G[Redirecting the default gateway] G --> H[Redirecting the IPv6 default gateway] H --> I[Using an ifconfig - pool block] I --> J[Using the status file] J --> K[The management interface] K --> L[Proxy - arp]

同时，为了更清晰地对比不同配置的特点和用途，我们整理了以下表格：
|配置项|特点|用途|
| ---- | ---- | ---- |
|简单配置|基础配置，实现基本VPN功能|快速搭建VPN网络|
|服务器端路由|配置路由表和IP转发|实现客户端与服务器网络通信|
|添加IPv6支持|支持IPv6流量传输|适应IPv6网络发展|
|使用client - config - dir文件|提供个性化配置|灵活管理不同客户端|
|路由 - 子nets在两侧|处理两侧多子网通信|满足复杂网络需求|
|Redirecting the default gateway|重定向默认网关|增强网络安全和隐私|
|Redirecting the IPv6 default gateway|重定向IPv6默认网关|保护IPv6网络流量|
|Using an ifconfig - pool block|动态分配IP地址|提高网络灵活性|
|Using the status file|监控服务器状态|及时发现和解决问题|
|The management interface|远程管理服务器|提高管理效率|
|Proxy - arp|解决网络通信问题|优化网络连通性|