openvpn sitetosite模式配置分析和总结.docx

OPEN VPN SITE TO SITE 模式配置 一. 网络拓扑结构 客户端1 客户端1 Eth0:202.68.92.1 vpn连接使用 Vpn-server 端口：1194 Eth1:192.168.20.1 内网网关ip 公网连接ip或者域名都可以 Eth0:202.194.68.1 vpn连接使用 服务器资源 Eth1:192.168.10.1 内网网关ip 客 户 端 2 Eth0:202.98.146.1 vpn连接使用 Eth1:192.168.30.1 内网网关ip 利用 openvpn 部署在三个网关机器上，使其对应的内网机器可以互通。 二.部署配置 首先配置 ip 转发 /etc/sysctl.conf 添加net.ipv4.ip_forward = 1 tun 模式组网配置 服务端配置 server.conf local202.194.68.1 prototcp devtun ca ca.crt cert server.crt keyserver.key dh dh2048.pem server 10.8.0.0 255.255.255.0 ifconfig-pool-persist ipp.txt push route 192.168.10.0 255.255.255.0 #推送服务端后面的子网给客户端client-config-dir /etc/openvpn/ccd route 192.168.20.0 255.255.255.0 route 192.168.30.0 255.255.255.0 client-to-client keepalive 10 120 tls-authta.key 0 comp-lzo max-clients 100 user nobody group nobody persist-key persist-tun verb 3 配 置 /etc/openvpn/ccd/client1 iroute192.168.20.0 255.255.255.0 route 192.168.30.0 255.255.255.0 配 置 /etc/openvpn/ccd/client2 iroute192.168.30.0 255.255.255.0 route 192.168.20.0 255.255.255.0 注： iroute：openvpn 内部路由规则，tun 模式下服务端会检查数据包来源是否为vpn 主机发送的，如果不是则丢弃，配置 iroute 后可以使子网内的数据包在服务端通过检查 解释起来就是 internal route，其实就是独立于系统路由之外的OpenVPN 的路由，该路由起到了访问控制的作用，特别是是在多对一即 server 模式的 OpenVPN 拓扑中，该机制可以在防止地址欺骗的同时更加灵活的针对每一个接入的客户端进行单独配置。在多对一的情况下， 必须要有机制检查访问内网资源的用户就是开始接入的那个用户，由于OpenVPN 是第三层的 VPN，而且基于独立于 OpenVPN 进程之外的虚拟网卡，那么一定要防止单独的客户端盗用其它接入客户端的地址的情况。在特定客户端的上下文中配置 iroute 选项，它是一个 ip 子网，默认是客户端虚拟 ip 地址掩码是 32 位，你可以在保证路由以及 IP 地址不混乱的前提下任意配置它，OpenVPN 仅仅让载荷数据包的源 IP 地址在 iroute 选项中配置的子网内的主机通过检查，其它数据载荷一律 drop。比如客户端虚拟 IP 地址是 172.16.0.2，而 OpenVPN 服务器针对该客户端的 iroute 参数是 10.0.0.0/24,那么只要载荷数据包的源 IP 地址在10.0.0.0/24 这个子网中，一律可以通过检查。 iroute 是 OpenVPN 内部维护的一个路由，它主要用于维护和定位多个客户端所在的子网以及所挂接的子网，鉴于此，OpenVPN 对所谓的网对网拓扑的支持其实超级灵活，它能做到这个虚拟专用网到哪里终止以及从哪里开始。 配置 iroute 后可以在服务端启动日志中发现服务端增加了子网ip 跟客户端之间的规则。 ·客户端配置文件相似： 例子为客户端 1 的配置文件cat /etc/openvpn/client.conf client devtun prototcp remote 202.194.68.1 1194 resolv-retry infinite nobind persist-key persist-tun ca ca.crt cert cecgw-client1.crt#配置为客户端对应的证书文件key cecgw-clie