概述
本文主要介绍在CentOS 7系统中如何配置OpenVPN。
一、准备工作
安装依赖的软件包。
yum install -y lzo openssl pam执行以下命令，确认软件包已经安装成功。
rpm -qa lzo openssl pam 二、安装OpenVPN服务
直接使用YUM安装OpenVPN。
yum install -y epel-release
yum install -y openvpn easy-rsa iptables-services附上源码地址，有需要的可以编译安装。
OpenVPN：https://github.com/OpenVPN/openvpn
Easy-RSA：https://github.com/OpenVPN/easy-rsa
三、配置OpenVPN服务
我安装时候的版本信息如下，主要会在一些目录上会有版本号的区别，按实际情况替换。
OpenVPN：2.4.10
EasyRSA：3.0.8
1、初始化，生成证书、密钥和参数文件
Esay-RSA默认安装目录在/usr/share/easy-rsa/3.0.8，文档配置文件模板在/usr/share/doc/easy-rsa-3.0.8。
文档建议我们拷贝一份到别的目录使用，以免将来升级的时候被覆盖掉。我们照做就好，目录就选择我们的OpenVPN配置目录，毕竟就是给它用的嘛。
cp -a /usr/share/easy-rsa/3.0.8 /etc/openvpn/easy-rsa拷贝配置文件模板，安装文档要求，必须重命名为vars才可以被自动加载。
cp -a /usr/share/doc/easy-rsa-3.0.8/vars.example /etc/openvpn/easy-rsa/vars编辑配置文件vars，主要修改证书相关的参数。文档里也说了，其实啥也不改，用默认的就完事了。甚至连这个配置文件都可以不用。咱就稍微费点事，改一下吧。随便怎么定义都行，不会对证书有什么影响。
set_var EASYRSA_REQ_COUNTRY "CN"
set_var EASYRSA_REQ_PROVINCE "JiangSu"
set_var EASYRSA_REQ_CITY "Nanjing"
set_var EASYRSA_REQ_ORG "SIMAEK"
set_var EASYRSA_REQ_EMAIL "master@simaek.com"
set_var EASYRSA_REQ_OU "Development Dept."说明：
EASYRSA_REQ_COUNTRY "所在的国家"
EASYRSA_REQ_PROVINCE "所在的省份"
EASYRSA_REQ_CITY "所在的城市"
EASYRSA_REQ_ORG "所属的组织"
EASYRSA_REQ_EMAIL "邮件地址"
EASYRSA_REQ_OU "组织单位，部门"
说明一下我们需要创建的证书：
- CA根证书，用于给服务器和客户端证书签名使用。
- OpenVPN服务器证书
- Diffie-Hellman算法用到的key
进入我们easy-rsa脚本所在目录，初始pki目录，我们创建的证书和生成的中间文件都会存放在这个目录里，默认位置为脚本执行的路径。其实可以配置，但相信大家和我一样，懒得改配置文件了。
cd /etc/openvpn/easy-rsa
./easyrsa init-pki创建CA根证书。提示输入Common Name，名字自定义。在这部分会提示Enter New CA Key Passphrase，输入两次PEM密码，此密码必须记住，不然以后不能为证书签名。可以加nopass参数表示不用密码，但是我并不建议这么做。
./easyrsa build-ca创建OpenVPN服务端证书。openvpn-server为自定义名称，这里建议用使用nopass参数，否则以后启动服务时需要输入密码。创建过程中需要输入之前的CA根证书PEM密码。
./easyrsa build-server-full openvpn-server nopass生成Diffie-Hellman算法需要的密钥文件，创建Diffie-Hellman，确保key穿越不安全网络的命令，时间会有点长，耐心等待。
./easyrsa gen-dh将生成的证书拷贝到统一的目录，个人建议拷贝/etc/openvpn/server/下和配置文件同名目录，配置文件暂时还没搞，后面再说，先创建一个目录吧，然后把需要的证书拷贝过去。
mkdir /etc/openvpn/server/server_certs
cp /etc/openvpn/easy-rsa/pki/ca.crt /etc/openvpn/server/server_certs
cp /etc/openvpn/easy-rsa/pki/private/ca.key /etc/openvpn/server/server_certs
cp /etc/openvpn/easy-rsa/pki/private/openvpn-server.key /etc/openvpn/server/server_certs
cp /etc/openvpn/easy-rsa/pki/issued/openvpn-server.crt /etc/openvpn/server/server_certs
cp /etc/openvpn/easy-rsa/pki/dh.pem /etc/openvpn/server/server_certs生成tls-auth key，为了防止DDOS和TLS攻击，这个属于可选安全配置。强认证方式，防攻击。如果配置文件中启用此项(默认是启用的)，就需要执行上述命令，并把ta.key放到/etc/openvpn/server目录。配置文件中服务端第二个参数为0，同时客户端也要有此文件，且client.conf中此指令的第二个参数需要为1。【服务端有该配置，那么客户端也必须要有】。
cd /etc/openvpn/server/server_certs
openvpn --genkey --secret ta.key2、修改OpenVPN配置文件
进入OpenVPN的配置目录，分为client和server，OpenVPN很贴心的准备了单元文件，可以直接启动这两个目录下的配置文件。我们只需要自定义配置文件的名称就好。
cd /etc/openvpn/server
# 拷贝一份配置文件
cp -a /cp /usr/share/doc/openvpn-2.4.10/sample/sample-config-files/server.conf ./配置文件部分解释如下。
local 0.0.0.0
表示openvpn服务端的监听地址
port 1194
监听的端口，默认是1194
proto tcp
使用的协议，有udp和tcp。建议选择tcp
dev tun
使用三层路由IP隧道(tun)还是二层以太网隧道(tap)。一般都使用tun
ca ca.crt
cert server.crt
key server.key
dh dh2048.pem
ca证书、服务端证书、服务端密钥和密钥交换文件。如果它们和server.conf在同一个目录下则可以不写绝对路径，否则需要写绝对路径调用
server 10.8.0.0 255.255.255.0
vpn服务端为自己和客户端分配IP的地址池。
服务端自己获取网段的第一个地址(此处为10.8.0.1)，后为客户端分配其他的可用地址。以后客户端就可以和10.8.0.1进行通信。
注意：该网段地址池不要和已有网段冲突或重复。其实一般来说是不用改的。除非当前内网使用了10.8.0.0/24的网段。
ifconfig-pool-persist ipp.txt
使用一个文件记录已分配虚拟IP的客户端和虚拟IP的对应关系，
以后openvpn重启时，将可以按照此文件继续为对应的客户端分配此前相同的IP。也就是自动续借IP的意思。
server-bridge XXXXXX
使用tap模式的时候考虑此选项。
push "route 10.0.10.0 255.255.255.0"
push "route 192.168.10.0 255.255.255.0"
vpn服务端向客户端推送vpn服务端内网网段的路由配置，以便让客户端能够找到服务端内网。多条路由就写多个Push指令
client-to-client
让vpn客户端之间可以互相看见对方，即能互相通信。默认情况客户端只能看到服务端一个人；
默认是注释的，不能客户端之间相互看见
duplicate-cn
允许多个客户端使用同一个VPN帐号连接服务端
默认是注释的，不支持多个客户登录一个账号
keepalive 10 120
每10秒ping一次，120秒后没收到ping就说明对方挂了
tls-auth ta.key 0
加强认证方式，防攻击。如果配置文件中启用此项(默认是启用的)
需要执行openvpn --genkey --secret ta.key，并把ta.key放到/etc/openvpn/server目录
服务端第二个参数为0；同时客户端也要有此文件，且client.conf中此指令的第二个参数需要为1。
cipher AES-256-CBC
# 选择一个密码。如果在服务器上使用了cipher选项，那么您也必须在这里指定它。注意，v2.4客户端/服务器将在TLS模式下自动协商AES-256-GCM。
compress lz4-v2
push "compress lz4-v2"
openvpn 2.4版本的vpn才能设置此选项。表示服务端启用lz4的压缩功能，传输数据给客户端时会压缩数据包。
Push后在客户端也配置启用lz4的压缩功能，向服务端发数据时也会压缩。如果是2.4版本以下的老版本，则使用用comp-lzo指令
comp-lzo
启用lzo数据压缩格式。此指令用于低于2.4版本的老版本。且如果服务端配置了该指令，客户端也必须要配置
max-clients 100
并发客户端的连接数
persist-key
persist-tun
通过ping得知超时时，当重启vpn后将使用同一个密钥文件以及保持tun连接状态
status openvpn-status.log
在文件中输出当前的连接信息，每分钟截断并重写一次该文件
;log openvpn.log
;log-append openvpn.log
默认vpn的日志会记录到rsyslog中，使用这两个选项可以改变。
log指令表示每次启动vpn时覆盖式记录到指定日志文件中，
log-append则表示每次启动vpn时追加式的记录到指定日志中。
但两者只能选其一，或者不选时记录到rsyslog中
verb 3
日志记录的详细级别。
;mute 20
沉默的重复信息。最多20条相同消息类别的连续消息将输出到日志。
explicit-exit-notify 1
当服务器重新启动时，通知客户端，以便它可以自动重新连接。仅在UDP协议是可用注释太多，可以通过egrep查看实际有效配置。
egrep -v "^$|^#|^;" server.conf实际有效配置。
local 192.168.88.88
port 1194
proto udp
dev tun
ca server_certs/ca.crt
cert server_certs/openvpn-server.crt
key server_certs/openvpn-server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 223.5.5.5"
client-to-client
keepalive 10 120
comp-lzo
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
log openvpn.logverb 33、设置防火墙
禁用firewalld和SELinux。
systemctl stop firewalld
systemctl disable firewalld
setenforce 0执行以下命令，编辑配置文件。
vi /etc/sysctl.conf修改成以下参数，启用IPv4转发，然后保存并退出。
net.ipv4.ip_forward = 1执行以下命令，加载系统参数。
sysctl -p添加以下iptables规则，确保服务器可以转发数据包到内网和外网。只需添加配置，不需要启动iptables服务。客户端连接VPN后，默认分配的10.8.0.0/24网段地址，不能直接内网机器，因此需要在iptables进行NAT配置。
方式一，所有网卡都进行NAT。
iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -j MASQUERADE
iptables -nL -t nat方式二，指定NAT。不懂的用一。
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tun0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o ens192 -j SNAT --to-source 192.168.88.88
iptables -nL -t nat可以使用iptables -t nat -D POSTROUTING 1删除配置执行以下命令，保存iptables配置。
service iptables save启动服务，@后面跟的是配置文件名称。openvpn@server配置文件为/etc/openvpn/server.conf，openvpn-server@server配置文件为/etc/openvpn/server/server.conf，以此类推。
systemctl start openvpn-server@server # 启动
systemctl enable openvpn-server@server # 开机自启动
systemctl status openvpn-server@server # 查看服务状态4、Windows客户端配置
生成客户端证书。
# ./easyrsa build-client-full client nopass # 无密码，实际应用中不推荐，客户端有密码可提高安全性
# ./easyrsa build-client-full zhangsan # 让你输入密码，后续VPN连接时会使用
# ./easyrsa build-client-full lisi # 让你输入密码，后续VPN连接时会使用
# ./easyrsa build-client-full wangwu # 让你输入密码，后续VPN连接时会使用为客户端生成证书对并在本地签名。nopass参数生成一个无密码的证书；在此过程中都会让你确认ca密码
客户端配置文件参考：openvpn-2.4.9/sample/sample-config-files/client.conf
# 文件名 windows为client.ovpn，Linux为client.conf
client
# 标识这是个客户端
dev tun
# 使用三层路由IP隧道(tun)还是二层以太网隧道(tap)。服务端是什么客户端就是什么
proto tcp
# 使用的协议，有udp和tcp。服务端是什么客户端就是什么
remote 10.0.0.190 1194
# 服务端的地址和端口
resolv-retry infinite
# 一直尝试解析OpenVPN服务器的主机名。
# 在机器上非常有用，不是永久连接到互联网，如笔记本电脑。
nobind
# 大多数客户机不需要绑定到特定的本地端口号。
;user nobody
;group nobody
# 初始化后的降级特权(仅非windows)
persist-key
persist-tun
# 尝试在重新启动时保留某些状态。
ca ca.crt
cert client.crt
key client.key
# ca证书、客户端证书、客户端密钥
# 如果它们和client.conf或client.ovpn在同一个目录下则可以不写绝对路径，否则需要写绝对路径调用
remote-cert-tls server
# 通过检查certicate是否具有正确的密钥使用设置来验证服务器证书。
tls-auth ta.key 1
# 加强认证方式，防攻击。服务端有配置，则客户端必须有
cipher AES-256-CBC
# 选择一个密码。如果在服务器上使用了cipher选项，那么您也必须在这里指定它。注意，v2.4客户端/服务器将在TLS模式下自动协商AES-256-GCM。
compress lz4-v2
# 服务端用的什么，客户端就用的什么
# 表示客户端启用lz4的压缩功能，传输数据给客户端时会压缩数据包。
verb 3
# 日志级别
;mute 20
# 沉默的重复信息。最多20条相同消息类别的连续消息将输出到日志。自动化脚本参考：
# ! /bin/bash
set -e
OVPN_USER_KEYS_DIR=/etc/openvpn/client/keys
EASY_RSA_VERSION=3
EASY_RSA_DIR=/etc/openvpn/easy-rsa/
PKI_DIR=$EASY_RSA_DIR/$EASY_RSA_VERSION/pki
for user in "$@"
do
if [ -d "$OVPN_USER_KEYS_DIR/$user" ]; then
rm -rf $OVPN_USER_KEYS_DIR/$user
rm -rf $PKI_DIR/reqs/$user.req
sed -i '/'"$user"'/d' $PKI_DIR/index.txt
fi
cd $EASY_RSA_DIR/$EASY_RSA_VERSION
# 生成客户端 ssl 证书文件
./easyrsa build-client-full $user nopass
# 整理下生成的文件
mkdir -p $OVPN_USER_KEYS_DIR/$user
cp $PKI_DIR/ca.crt $OVPN_USER_KEYS_DIR/$user/ # CA 根证书
cp $PKI_DIR/issued/$user.crt $OVPN_USER_KEYS_DIR/$user/ # 客户端证书
cp $PKI_DIR/private/$user.key $OVPN_USER_KEYS_DIR/$user/ # 客户端证书密钥
cp /etc/openvpn/client/sample.ovpn $OVPN_USER_KEYS_DIR/$user/$user.ovpn # 客户端配置文件
sed -i 's/admin/'"$user"'/g' $OVPN_USER_KEYS_DIR/$user/$user.ovpn
cp /etc/openvpn/server/certs/ta.key $OVPN_USER_KEYS_DIR/$user/ta.key # auth-tls 文件
cd $OVPN_USER_KEYS_DIR
zip -r $user.zip $user
done
exit 0