OpenVPN下載、安裝、配置及使用詳解

OpenＶＰN下載、安裝、配置及使用詳解————————————————————————————————作者：————————————————————————————————日期：?OpenＶPN下載、安裝、配置及使用詳解OpenVPN簡(jiǎn)介OpeｎVPN是一個(gè)用于創(chuàng)建虛擬專(zhuān)用網(wǎng)絡(luò)(VirｔualPriｖaｔeNetwork）加密通道的免費(fèi)開(kāi)源軟件。使用OpenＶPN可以方便地在家庭、辦公場(chǎng)所、住宿酒店等不同網(wǎng)絡(luò)訪(fǎng)問(wèn)場(chǎng)所之間搭建類(lèi)似于局域網(wǎng)的專(zhuān)用網(wǎng)絡(luò)通道。OｐｅnＶPN使用方便,運(yùn)行性能優(yōu)秀，支持Sｏｌaris、Linux２.2＋（Linｕx2.2+表示Liｎux2.2及以上版本,下同）、OpenBSD3.0+、FreeBSD、NｅtＢSD、MaｃＯＳX(jué)、Ａｎdrｏid和Wｉndoｗs20０0+的操作系統(tǒng),并且采用了高強(qiáng)度的數(shù)據(jù)加密,再加上其開(kāi)源免費(fèi)的特性，使得OpenVＰN成為中小型企業(yè)及個(gè)人的ＶPN首選產(chǎn)品。使用ＯpｅｎＶＰN配合特定的代理服務(wù)器，可用于訪(fǎng)問(wèn)Ｙoutube、FaｃeBook、Twittｅr等受限網(wǎng)站,也可用于突破公司的網(wǎng)絡(luò)限制。由于OpｅnVPN支持ＵDP協(xié)議，還可以配合HＴTＰ代理(ＨTＴPPrｏxy）使用，使得只要是能夠打開(kāi)網(wǎng)站或上ＱQ的地方,就可以訪(fǎng)問(wèn)外部的任何網(wǎng)站或其他網(wǎng)絡(luò)資源。OpeｎＶPＮ的官方最新版本是ＯpenVＰN２.3.０(發(fā)布于２０1３年０1月０8日),你可以點(diǎn)擊此處查看HYPERLＩNK"ｈttp://www.３６5minｉ.cｏm/paｇe／１5.htｍ"OｐｅnVPN2.3．0的更新日志內(nèi)容。OpeｎＶＰN下載你可以點(diǎn)擊下列鏈接直接從3６０云盤(pán)下載OpeｎVPN２.3.0的官方正式版Windowｓ安裝文件(特別值得注意的是:由于Wiｎdoｗs自身的限制,Wｉndows版本的OpenVPN只有具備管理員權(quán)限的用戶(hù)才能成功安裝。當(dāng)前最新版本的OpｅnＶＰＮ2.3.0

只能在ＷｉｎdowsＸP及以上版本的操作系統(tǒng)上安裝)。HYPＥRLINK"ｈttp://wwｗ.ｓoftoｗn.cｎ/sofｔ/ｏpenvｐｎ／wiｎdows/２.3.0－32bit"ＯpｅnVＰＮ2．3.0Wｉnｄows32位安裝文件(1.６MB)HＹPEＲＬINK"http://www．ｓoｆtown.ｃn／soft／openvpn/ｗindows／2.3.0-64ｂit"OpeｎＶPＮ2．3.0Windows６４位安裝文件(1．６ＭB）OpenＶPN安裝在這里筆者以同一個(gè)局域網(wǎng)內(nèi)的兩臺(tái)電腦A(IP:1９2.１６8.0.2,操作系統(tǒng):Ｗｉndowｓ7SP164位旗艦版)和B(ＩＰ:１92．１68.0.3，操作系統(tǒng)：WｉnｄｏwsXＰSP3３２位專(zhuān)業(yè)版)為例，將電腦A作為VPN服務(wù)器、電腦B作為ＶPN客戶(hù)端,進(jìn)行安裝、配置、連通測(cè)試。在這里，筆者將統(tǒng)一安裝OpeｎVＰN2.3.0Wiｎdows32位版本的安裝文件。在安裝之前,先給讀者們介紹一下OｐenVＰN的大致工作原理,以便于更好地理解后面的安裝和使用操作。在OｐｅnVPN中，服務(wù)器端和客戶(hù)端使用的是同一個(gè)安裝文件,安裝方法也是一樣的,只是配置方法不一樣。其主要區(qū)別是，在安裝目錄的ｃonｆｉｇ文件夾下，服務(wù)器端配置的文件叫做server．ovpn，客戶(hù)端配置的文件叫做ｃlient.ovｐｎ,當(dāng)然，配置文件中的內(nèi)容也不相同。OpｅnＶPN通過(guò)不同的設(shè)置來(lái)決定該程序是充當(dāng)服務(wù)器端還是客戶(hù)端。OｐenVPＮ的大致工作原理就是在服務(wù)器端和客戶(hù)端之間搭建一個(gè)獨(dú)立于當(dāng)前網(wǎng)絡(luò)環(huán)境的加密通道,將服務(wù)器端和多個(gè)客戶(hù)端組建成一個(gè)獨(dú)立的虛擬局域網(wǎng),從而實(shí)現(xiàn)服務(wù)器端和客戶(hù)端、客戶(hù)端和客戶(hù)端之間的相互通信。例如,我們的電腦A和電腦Ｂ的局域網(wǎng)網(wǎng)段是19２．１６8.0.＊，OpenVPN可以在它們之間搭建一個(gè)獨(dú)立的虛擬局域網(wǎng)，并且網(wǎng)段配置為1０.0.0.*(網(wǎng)段可以由用戶(hù)隨意配置，只要不和它們自身的網(wǎng)段１92．16８．0.*沖突即可)。此時(shí)：電腦Ａ在本地局域網(wǎng)中的IP地址是１，在虛擬局域網(wǎng)中的ＩP地址是；

電腦B在本地局域網(wǎng)中的IP地址是1９2.１6８.０.3，在虛擬局域網(wǎng)中的IＰ地址是10.０.0.6(筆者的OｐeｎＶＰＮ客戶(hù)端的IＰ地址設(shè)置為由服務(wù)器自動(dòng)分配）。電腦Ｂ可以通過(guò)IP地址1９２.1６8.０.１訪(fǎng)問(wèn)電腦A,也可以通過(guò)IP地址10.0.0.１訪(fǎng)問(wèn)電腦Ａ。虛擬局域網(wǎng)是獨(dú)立存在的，不會(huì)和本地其他網(wǎng)絡(luò)之間形成干擾,不過(guò)虛擬局域網(wǎng)之間的相互訪(fǎng)問(wèn)和操作方式與本地局域網(wǎng)的幾乎完全相同。當(dāng)然，筆者這里由于條件限制,電腦A和電腦B本身就在同一個(gè)局域網(wǎng)中，并且可以互相訪(fǎng)問(wèn)。可是在一些情況下，多臺(tái)計(jì)算機(jī)不在同一個(gè)局域網(wǎng)內(nèi)，并且它們之間無(wú)法直接互相訪(fǎng)問(wèn),或者它們直接互相訪(fǎng)問(wèn)沒(méi)有進(jìn)行數(shù)據(jù)加密——不夠安全，這個(gè)時(shí)候就輪到OｐenVPN出馬了。ＯpｅnVＰＮ在安裝的時(shí)候會(huì)在電腦上安裝一個(gè)虛擬網(wǎng)卡驅(qū)動(dòng),并在網(wǎng)絡(luò)連接里創(chuàng)建一個(gè)本地連接的圖標(biāo)(下圖的【本地連接２】)。OpｅnVPＮ就是靠它來(lái)搭建虛擬局域網(wǎng)的。接下來(lái)，我們正式開(kāi)始安裝OpｅnVPN,在電腦Ａ和電腦Ｂ上分別雙擊安裝程序進(jìn)行安裝（安裝方式完全一致)。在安裝的時(shí)候,必須注意的是:在OpenＶPN2.3．0中，默認(rèn)是不安裝eaｓy-ｒsa（一個(gè)加密證書(shū)生成程序)的,因此,我們必須手動(dòng)勾選如下圖所示的兩個(gè)選項(xiàng)(在ＯｐenVPN２.2中是默認(rèn)選中的)。然后一路Next(如果詢(xún)問(wèn)是否安裝ＴAＰ－Win32驅(qū)動(dòng)程序時(shí)，請(qǐng)選擇“仍然繼續(xù)”）,就安裝成功了。OpenＶPN的配置OｐenＶPN的配置工作主要分為如下兩步:第一步,創(chuàng)建加密證書(shū)和私鑰，其中包括服務(wù)器端和客戶(hù)端都要用到的核心CＡ證書(shū)和私鑰，服務(wù)器端自身的加密證書(shū)（即公鑰)和私鑰,以及每個(gè)客戶(hù)端對(duì)應(yīng)的加密證書(shū)和私鑰。第二步,為服務(wù)器和客戶(hù)端編寫(xiě)對(duì)應(yīng)的配置文件,然后將其與第一步中生成的相應(yīng)證書(shū)、私鑰放在ＯpenＶPN安裝目錄的cｏnｆiｇ文件夾下。ＯpeｎVPN支持基于加密證書(shū)的雙向認(rèn)證。在OpenVPN中,不管是服務(wù)器還是客戶(hù)端，所有的證書(shū)和私鑰都需要由服務(wù)器端生成,客戶(hù)端要先獲得服務(wù)器端分配給它的加密證書(shū)和密鑰才能成功連接。這與使用網(wǎng)上銀行有些類(lèi)似，大多數(shù)銀行網(wǎng)站都會(huì)要求你先下載并安裝一個(gè)數(shù)字證書(shū)，才允許你進(jìn)行網(wǎng)上付款或其他操作。下面我們開(kāi)始具體配置:第一步:創(chuàng)建加密證書(shū)和私鑰1、修改OpenVＰN服務(wù)器端的vａrs.bａt(yī).sample文件(客戶(hù)端的無(wú)需做任何修改)。使用記事本或其他文本編輯工具打開(kāi)OｐenVPＮ安裝目錄＼eaｓｙ-ｒsa\vars.bat.sａｍｐle文件,如下圖所示：變量HＯME表示eａsｙ－rｓa文件夾的路徑(筆者的OpｅｎＶPN服務(wù)器端安裝在D:\OpｅnVPN)。?變量ＫＥY_SIZＥ表示生成的私鑰大小，一般填寫(xiě)為1０２４或２048,默認(rèn)為102４位，你可以根據(jù)自己的需要進(jìn)行修改,筆者這里使用默認(rèn)值。由于稍后給客戶(hù)端生成對(duì)應(yīng)加密證書(shū)和私鑰時(shí),程序會(huì)要求我們輸入一些注冊(cè)信息。如果你需要配置多個(gè)客戶(hù)端,并且許多信息都相同(比如國(guó)家、省市、地址、公司名稱(chēng)等)你還可以修改vars.baｔ.sample文件后面的一些相關(guān)變量的默認(rèn)值,這樣在稍后生成客戶(hù)端證書(shū)的時(shí)候，如果該信息項(xiàng)不輸入就會(huì)采用默認(rèn)值。2、運(yùn)行DＯS命令，初始化執(zhí)行環(huán)境。在作為服務(wù)器端的電腦Ａ上打開(kāi)ＤOS命令窗口，并進(jìn)入到%OpｅnVPN的安裝目錄％\eaｓy－rｓa目錄。筆者的服務(wù)器端安裝目錄是D:＼OpenVPN，因此這里進(jìn)入D：\OpenVＰＮ\eaｓy-rsａ。然后依次輸入并執(zhí)行以下命令(括號(hào)內(nèi)的是筆者附加的注釋)：ｉｎit-confｉg(初始化配置，將ｖars.bat.samplｅ文件的內(nèi)容復(fù)制到vars.bat。實(shí)際上，你也可以直接雙擊執(zhí)行easｙ-rsａ目錄下的ｉnｉｔ-cｏｎfｉg.baｔ文件來(lái)代替這一步。)vars（設(shè)置相應(yīng)的局部環(huán)境變量,就是我們?cè)趘ars．ｂat.ｓample文件中設(shè)置的內(nèi)容）clean-all(相關(guān)設(shè)置和清理工作）3、創(chuàng)建CA根證書(shū)：buｉld－ca如上圖所示，在bｕild-cａ的時(shí)候需要輸入一些注冊(cè)信息。在輸入信息的時(shí)候,如果你不輸入任何信息,就表示采用默認(rèn)值（前面[]中的內(nèi)容就是默認(rèn)值）；如果你輸入.,則表示當(dāng)前信息項(xiàng)留空白。值得注意的是,上圖中紅色矩形框中的OpenＶPN_CA是證書(shū)的通用名稱(chēng)(CommｏnＮame),相當(dāng)于我們常說(shuō)的賬號(hào),你也可以自行輸入其他名稱(chēng)。４、創(chuàng)建服務(wù)器端證書(shū)：buiｌd-key-serverserｖer如上圖所示,命令中的參數(shù)seｒver指的是生成的證書(shū)文件名稱(chēng)，你可以按照自己的需要進(jìn)行修改,不過(guò)后面的CommｏnName也應(yīng)保持一致。第二個(gè)紅色矩形框中是輸入的密碼，你也可以根據(jù)意愿自行輸入。最后程序會(huì)詢(xún)問(wèn)你是否注冊(cè)并提交證書(shū)，兩次均輸入y即可。5、創(chuàng)建迪菲·赫爾曼密鑰:bｕild-dh迪菲·赫爾曼密鑰交換（Diffie–Ｈｅllmａnkｅyexｃｈａnｇｅ,簡(jiǎn)稱(chēng)“D–H”)是一種安全協(xié)議。它可以讓雙方在完全沒(méi)有對(duì)方任何預(yù)先信息的條件下通過(guò)不安全信道創(chuàng)建起一個(gè)密鑰。這個(gè)密鑰可以在后續(xù)的通訊中作為對(duì)稱(chēng)密鑰來(lái)加密通訊內(nèi)容。6、創(chuàng)建客戶(hù)端證書(shū):ｂuilｄ－keyｃlient如上圖所示，命令中的參數(shù)clieｎt表示生成的證書(shū)文件名稱(chēng),你可以按照自己的需要進(jìn)行修改，不過(guò)后面的ComｍｏｎNamｅ也應(yīng)保持一致。第二個(gè)紅色矩形框中是輸入的密碼,你也可以根據(jù)意愿自行輸入。最后程序會(huì)詢(xún)問(wèn)你是否注冊(cè)并提交證書(shū),兩次均輸入ｙ即可。如果你想創(chuàng)建多個(gè)不同的客戶(hù)端證書(shū),只需要重復(fù)此步驟即可。切記,CommonＮａｍe不要重復(fù),這是ＯｐenVPN用來(lái)區(qū)分不同客戶(hù)端的關(guān)鍵所在。7、生成ta．ｋey:opｅｎｖpn–gｅnｋey–ｓecrｅtｋｅys／ta.key（可選操作)這一步其實(shí)是可選操作,生成的ta．keｙ主要用于防御DoS、UDP淹沒(méi)等惡意攻擊。命令中的第３個(gè)參數(shù)keｙs／ta.key表示生成的文件路徑(含文件名)。

創(chuàng)建完證書(shū)后，我們會(huì)發(fā)現(xiàn)easy-rsa目錄下多了一個(gè)ｋeys文件夾。現(xiàn)在我們將keys文件夾中對(duì)應(yīng)的文件復(fù)制到OｐｅｎVPN服務(wù)器或客戶(hù)端的安裝目錄的config文件夾下。服務(wù)器端confｉg目錄需要的文件包括：cａ.crt

ca.ｋeｙ(核心CＡ證書(shū)和私鑰)?dh10２4．ｐem(如果最初的變量KＥＹ_ＳIＺE設(shè)為2048,這里就是dh20４８.ｐｅm)?seｒｖer.crt

sｅrver．keｙ(名稱(chēng)server根據(jù)個(gè)人設(shè)置可能有所不同）

ｔa.key(名稱(chēng)也可自行設(shè)置,如果不需要防御攻擊,可以不創(chuàng)建或復(fù)制此文件)客戶(hù)端config目錄需要的文件包括:ca.cｒt

client.crt?clieｎt.key(名稱(chēng)cｌieｎt根據(jù)個(gè)人設(shè)置可能有所不同)

ta.ｋey(如果服務(wù)器端具備此文件，客戶(hù)端也應(yīng)具備)非常重要的提醒:以上命令都是在同一個(gè)DOS窗口中執(zhí)行的，如果你以后需要打開(kāi)新窗口來(lái)執(zhí)行命令(比如創(chuàng)建新的客戶(hù)端證書(shū)):你不需要再執(zhí)行ｉnit-config命令,除非你再次改動(dòng)了vars.baｔ．sａmple文件;每一次打開(kāi)新窗口時(shí)都需要先執(zhí)行varｓ命令，后面才能執(zhí)行其他命令。第二步:編寫(xiě)對(duì)應(yīng)的配置文件上面我們已經(jīng)創(chuàng)建了OpeｎVＰN配置所需要的各種證書(shū)和私鑰，現(xiàn)在我們開(kāi)始為服務(wù)器和客戶(hù)端編寫(xiě)對(duì)應(yīng)的配置文件。對(duì)于一個(gè)剛剛接觸OｐenVPN的人來(lái)說(shuō)，我們應(yīng)該配置些什么呢,又該從哪里入手呢?別著急,ＯpenVPN已經(jīng)考慮到了這一點(diǎn)。在ＯpｅｎVPN的安裝目錄的sample-coｎｆig文件夾中存放有3個(gè)示例模板文件：seｒver.ｏvpn、cｌient.ovｐn、ｓaｍplｅ.ovpn。其中，sｅrveｒ.ovpｎ是服務(wù)器的配置模板，ｃｌient.ｏｖpn是客戶(hù)端的配置模板(sampｌe.ovpｎ也可用作客戶(hù)端配置模板，不過(guò)配置比較簡(jiǎn)單，不夠全面。按照官方的說(shuō)法，client.ｏvpn可用于連接具有多個(gè)客戶(hù)端的服務(wù)器端配置文件)。現(xiàn)在，我們就復(fù)制serｖer.ovpn到服務(wù)器的conｆiｇ目錄，clienｔ．ovｐn到客戶(hù)端的cｏnfｉｇ目錄,并在此基礎(chǔ)上進(jìn)行修改。在ＯpenVPＮ的配置文件中,前面帶“＃”或“;”的表示注釋內(nèi)容。1、編輯服務(wù)器端配置文件。serｖer.ovpn的英文注釋中已經(jīng)比較清楚地解釋了每一個(gè)設(shè)置的作用，筆者對(duì)配置文件的英文注釋作了全文翻譯，你可以點(diǎn)擊查看sｅrver.ｏvpn的配置內(nèi)容詳解,在此不再贅述,下面只提取所有用到的命令。ｌｏcａl1９2.168.０.2

#指定監(jiān)聽(tīng)的本機(jī)ＩP(因?yàn)橛行┯?jì)算機(jī)具備多個(gè)IP地址）,該命令是可選的,默認(rèn)監(jiān)聽(tīng)所有IP地址。?port１19４

#指定監(jiān)聽(tīng)的本機(jī)端口號(hào)?ｐrｏｔouｄp

#指定采用的傳輸協(xié)議，可以選擇ｔｃp或udp

deｖtun

#指定創(chuàng)建的通信隧道類(lèi)型，可選tun或ｔａp

cａcａ．crt

＃指定ＣA證書(shū)的文件路徑?certsｅrｖer．crt

#指定服務(wù)器端的證書(shū)文件路徑

kｅyseｒveｒ．ｋeｙ

#指定服務(wù)器端的私鑰文件路徑

dhdh10２4.pem

#指定迪菲赫爾曼參數(shù)的文件路徑?ｓｅrｖer1０.0．0.0255.255.２５5．0

＃指定虛擬局域網(wǎng)占用的IP地址段和子網(wǎng)掩碼,此處配置的服務(wù)器自身占用10.0．0.1。?iｆｃonｆiｇ-pool－ｐｅrsｉstｉpｐ.txt

#服務(wù)器自動(dòng)給客戶(hù)端分配ＩP后，客戶(hù)端下次連接時(shí),仍然采用上次的IＰ地址(第一次分配的IP保存在ｉpp.txｔ中，下一次分配其中保存的IP)。?ｔｌs-ａuthta.key0

#開(kāi)啟TLS,使用ｔa.ｋeｙ防御攻擊。服務(wù)器端的第二個(gè)參數(shù)值為0，客戶(hù)端的為1。?ｋeeｐalive101２０

#每10秒ｐｉng一次，連接超時(shí)時(shí)間設(shè)為1２0秒。?comp-ｌｚo

＃開(kāi)啟VPN連接壓縮，如果服務(wù)器端開(kāi)啟，客戶(hù)端也必須開(kāi)啟?ｃｌieｎt-tｏ-ｃｌieｎt

＃允許客戶(hù)端與客戶(hù)端相連接，默認(rèn)情況下客戶(hù)端只能與服務(wù)器相連接?ｐerｓisｔ-keｙ?persｉｓt－tｕn

#持久化選項(xiàng)可以盡量避免訪(fǎng)問(wèn)在重啟時(shí)由于用戶(hù)權(quán)限降低而無(wú)法訪(fǎng)問(wèn)的某些資源。statusoｐenvｐn－staｔus．log

#指定記錄ＯpenVＰN狀態(tài)的日志文件路徑?veｒｂ3

＃指定日志文件的記錄詳細(xì)級(jí)別,可選0－9,等級(jí)越高日志內(nèi)容越詳細(xì)實(shí)際修改內(nèi)容參見(jiàn)下面的截圖。

2、編輯客戶(hù)端配置文件。ｃlｉent.ovpｎ中所有用到的命令如下:client

＃指定當(dāng)前VＰN是客戶(hù)端

ｄeｖtun

#必須與服務(wù)器端的保持一致?ｐｒoｔouｄp

#必須與服務(wù)器端的保持一致

rｅｍote192.168.０．211９4

#指定連接的遠(yuǎn)程服務(wù)器的實(shí)際ＩP地址和端口號(hào)?resolｖ－ｒetryinfinitｅ

#斷線(xiàn)自動(dòng)重新連接，在網(wǎng)絡(luò)不穩(wěn)定的情況下（例如:筆記本電腦無(wú)線(xiàn)網(wǎng)絡(luò))非常有用。

noｂind

＃不綁定特定的本地端口號(hào)?ｐersｉst－key

ｐersisｔ-tun

caｃa.crt

#指定ＣA證書(shū)的文件路徑

ｃerｔclient.ｃ