「安全高效」三地局域網(wǎng)秒變局域網(wǎng) 實(shí)施環(huán)境說明

組件

角色

系統(tǒng)/設(shè)備

OpenVPN服務(wù)端

公有云服務(wù)器

CentOS 7.9

OpenVPN客戶端

網(wǎng)絡(luò)出口設(shè)備

愛快路由器

OpenVPN客戶端

終端設(shè)備

Windows 11 Pro

?? 核心步驟詳解 一、服務(wù)端部署（CentOS 7） 1. 安裝OpenVPN服務(wù)

# 安裝OpenVPN
yum install openvpn easy-rsa -y

2. 證書管理體系搭建

# 進(jìn)入證書目錄
cd /etc/openvpn/easy-rsa/

# 初始化CA
./easyrsa init-pki

# 生成CA證書
./easyrsa build-ca nopass
會(huì)提示設(shè)置密碼，用于ca對(duì)之后生成的server和client證書簽名時(shí)使用，其他提示內(nèi)容直接回車即可 

# 創(chuàng)建server端證書和私鑰文件，nopass表示不加密私鑰文件
 ./easyrsa gen-req server nopass

# 給server端證書簽名，提示內(nèi)容需要輸入yes和創(chuàng)建ca根證書時(shí)候的密碼
 ./easyrsa sign server server

# 生成客戶端證書
./easyrsa build-client-full client nopass

# 創(chuàng)建Diffie-Hellman文件，密鑰交換時(shí)的Diffie-Hellman算法
./easyrsa gen-dh

# 創(chuàng)建client端的證書和私鑰文件，nopass表示不加密私鑰文件，提示內(nèi)容直接回車即可
 ./easyrsa gen-req client nopass

# 給client端證書前面，提示內(nèi)容輸入yes和創(chuàng)建ca根證書時(shí)候的密碼
 ./easyrsa sign client client

 

復(fù)制服務(wù)端配置文件，并且根據(jù)實(shí)際情況修改 cp /usr/share/doc/openvpn-2.4.12/sample/sample-config-files/server.conf /etc/openvpn/server/

# /etc/openvpn/server/server.ovpn
port 51194
proto udp
dev tap
ca ca.crt
cert server.crt
key server.key
dh dh.pem
topology subnet
server 10.8.0.0 255.255.255.0
push "route 172.24.22.0 255.255.255.0"
keepalive 10 120
persist-key
persist-tun
status openvpn-status.log
verb 3
explicit-exit-notify 1
cipher AES-256-GCM

編輯sysctl.conf 添加net.ipv4.ip_forward = 1，啟用ipv4轉(zhuǎn)發(fā)；

然后重啟網(wǎng)絡(luò)服務(wù) systemctl restart network.service

添加openvpn服務(wù) systemctl -f enable openvpn@server.service

啟動(dòng)openvpn服務(wù) systemctl start openvpn@server.service

二、客戶端配置指南 ?? 愛快路由器配置

上一篇文章已經(jīng)寫過了，這里就不重復(fù)了，不同的是，這次啟用了TLS認(rèn)證，所以略有不同，需要導(dǎo)入上面生成的靜態(tài)加密密鑰hcit.tlsauth。

?? Windows 11客戶端配置

1. 下載安裝OpenVpn

2. 編輯client.ovpn配置文件，并導(dǎo)入證書：

• 新建一個(gè)文件：client.ovpn

client
dev tap
proto udp
remote 139.196.187.221 51194
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
remote-cert-tls server
cipher AES-256-GCM
verb 3
persist-key

• 相應(yīng)證書復(fù)制到config文件夾下`

連接成功后會(huì)自動(dòng)分配 10.8.0.0 網(wǎng)段IP

三、網(wǎng)絡(luò)優(yōu)化關(guān)鍵配置 服務(wù)端路由策略

# 添加內(nèi)網(wǎng)路由
ip route add 18.18.18.0/24 via 10.8.0.2 dev tap0

# 檢查服務(wù)端到客戶端的網(wǎng)絡(luò)路徑
tracepath 18.18.18.58

? 服務(wù)驗(yàn)證命令：

systemctl status openvpn@server
ss -tulnp | grep 51194

? 常見錯(cuò)誤處理：

1. No server certificate verification method has been enabled

   → 檢查證書鏈完整性及有效性，檢查端口是否配置正確

2. 客戶端無法直接通訊

   → 確認(rèn)兩端路由是否存在和正確