環境： server：eth0:192.168.2.180         eth1:172.30.25.111 client： 192.168.2.81 server端（路由模式）：

一.網路設定

1.開啟伺服器端路由轉發功能

# vi /etc/sysctl.conf net.ipv4.ip_forward = 1 # sysctl -p

2.設定nat轉發:

注：保證VPN地址池可路由出外網

# iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

3.設定openvpn埠通過：

# iptables -A INPUT -p TCP --dport 1194 -j ACCEPT

# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

重啟iptables:

注：這裡提一下,INPUT策略是執行後即時生效的，POSTROUTING需要儲存並重啟服務才能生效

# service iptables save

# service iptables restart

注：若想讓該伺服器只提供openvpn等基本服務，可參照本文件附件iptables指令碼

3.時間同步(重要)：

# ntpdate asia.pool.ntp.org

二.安裝依賴庫

# yum install -y openssl openssl-devel lzo lzo-devel pam pam-devel automake pkgconfig

三.安裝openvpn:

# wget -c http://swupdate.openvpn.org/community/releases/openvpn-2.3.0.tar.gz

# tar zxvf openvpn-2.3.0.tar.gz

# cd openvpn-2.3.0

# ./configure --prefix=/usr/local/openvpn

# make && make install

# mkdir -p /etc/openvpn

複製模板到openvpn配置目錄：

# cp -rf sample /etc/openvpn/

複製openvpn配置檔案到主目錄：

# cp /etc/openvpn/sample/sample-config-files/server.conf /etc/openvpn/

# cd ..

四.下載easy-rsa: easy-rsa-release-2.x.zip  網上找到資源，其他的有時候我沒有試驗成功。 unzip easy-rsa-release-2.x.zip -d /user/local/openvpn cd /user/local/openvpn/easy-rsa-release-2.x
cp easy-rsa ../ cd 2.0/ 編輯 vars vi vars export KEY_SIZE=2048 export KEY_COUNTRY="CN"
export KEY_PROVINCE="GD"
export KEY_CITY="SZ" export KEY_ORG="SZ1CARD1-WDG" export KEY_EMAIL="[email protected]" export KEY_OU="SZ1CARD1_OPS" 儲存推遲後給予x許可權 chmod +x vars ./vars ./clean-all       #清除檔案         ./build-ca server     #生成服務端 ./build-key-server server     #生成服務端證書 ./build-key client  ##此處定義為客戶端名字 任意 ./build-dh  openvpn --genkey --secert keys/ta.key  ##使用者名稱密碼認證時需要 以上生成檔案時都可以一路回車過去 生成的檔案在keys資料夾中： mkdir -p /usr/local/openvpn/config cd keys/ cp * /usr/local/openvpn/config cd /usr/local/openvpn/config cp /usr/local/src/openvpn-2.3.0/sample/sample-config-files/server.conf  /usr/local/openvpn/config   ##copy配置檔案 vi  server.conf port 1194
proto tcp
dev tun
ca ca.crt
cert server.crt
key server.key  # This file should be kept secret
dh dh2048.pem
server 172.30.25.0  255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 10.1.1.0 255.255.255.0"
push "route 10.1.10.0 255.255.255.192"
push "redirect-gateway def1 bypass-dhcp" push "dhcp-option DNS 114.114.114.114" client-to-client keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log verb 3  如果證書檔案沒有放在config目錄，那麼配置檔案中要寫絕對路徑 /usr/local/openvpn/sbin/openvpn /usr/local/openvpn/config/server.conf & 看到Initialization Sequence Completed  即啟動成功。 client配置： 以上路徑下載客戶端 Windows版本 安裝完畢後將路徑中sample-config的client.ovpn拷貝到config資料夾中 編輯config資料夾中的client.ovpn client dev tun proto tcp  remote 172.30.25.0 1194 resolv-retry infinite nobind  persist-key persist-tun ca ca.crt  cert client.crt key client.key comp-lzo verb 3  儲存後重啟openVPN服務然後點選OpenVPN GUI啟動就可以連線成功並分配一個IP。且此時可以ping通172.30.25.111 注意：有時候會提示All TAP-Windows adapters on this system are currently in use 其實是網路介面卡沒有空閒。應當啟用本地連線2 然後重連就可以了。 使用者名稱密碼驗證： 修改server.conf: tls-auth ta.key 0 # This file is secret auth-user-pass-verify /usr/local/openvpn/config/checkpsw.sh via-env

client-cert-not-required

username-as-common-name

script-security 3

注：如果加上client-cert-not-required則代表只使用使用者名稱密碼方式驗證登入，如果不加，則代表需要證書和使用者名稱密碼雙重驗證登入！ 在cofnig目錄中建立指令碼 vi checkpsw.sh #!/bin/sh ########################################################### # checkpsw.sh (C) 2004 Mathias Sundman <[email protected]> # # This script will authenticate OpenVPN users against # a plain text file. The passfile should simply contain # one row per user with the username first followed by # one or more space(s) or tab(s) and then the password. PASSFILE="/usr/local/openvpn/config/psw-file" LOG_FILE="/usr/local/openvpn/var/openvpn-password.log" TIME_STAMP=`date "+%Y-%m-%d %T"` ########################################################### if [ ! -r "${PASSFILE}" ]; then   echo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >>  ${LOG_FILE}   exit 1 fi CORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}' ${PASSFILE}` if [ "${CORRECT_PASSWORD}" = "" ]; then   echo "${TIME_STAMP}: User does not exist: username=\"${username}\", password= \"${password}\"." >> ${LOG_FILE}   exit 1 fi if [ "${password}" = "${CORRECT_PASSWORD}" ]; then   echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}   exit 0 fi echo "${TIME_STAMP}: Incorrect password: username=\"${username}\", password= \"${password}\"." >> ${LOG_FILE} exit 1 給予許可權：chmod +x  checkpsw.sh 編寫密碼檔案： vi psw-file client sz1card1 chmod 777 psw-file chown nobody.nobody psw-file

修改客戶端配置檔案：client.conf（或者client.ovpn）

登出掉這兩行

#cert client1.crt
#key client1.key

再新增這一行，新增這行，就會提示輸入使用者名稱和密碼

auth-user-pass tls-auth ta.key 1