在CentOS 7上配置OpenVPN服务，可以通过以下几个步骤来实现，这些步骤包括安装OpenVPN和EasyRSA、生成证书、配置服务器和客户端等，以下是详细指南：
一、安装OpenVPN和EasyRSA
1、更新系统
- sudo yum update y
2、安装EPEL源并安装OpenVPN和EasyRSA
- sudo yum install epelrelease y
- sudo yum install openvpn easyrsa y
3、创建目录并复制EasyRSA文件
- mkdir p ~/openvpnca
- cp r /usr/share/easyrsa/3/* ~/openvpnca/
- cd ~/openvpnca
4、初始化EasyRSA环境
- ./easyrsa initpki
5、生成CA证书
- ./easyrsa buildca
6、生成服务器证书和密钥
- ./easyrsa buildserverfull server nopass
7、生成DiffieHellman参数
- ./easyrsa gendh
8、生成客户端证书和密钥
以client1为例：
- ./easyrsa buildclientfull client1 nopass
9、复制证书和密钥到OpenVPN配置目录
- mkdir p /etc/openvpn/server
- sudo cp pki/ca.crt pki/issued/server.crt pki/private/server.key pki/dh.pem /etc/openvpn/server
- mkdir p ~/clientconfigs/keys
- sudo cp pki/ca.crt pki/issued/client1.crt pki/private/client1.key ~/clientconfigs/keys/
10、生成ta.key文件
- sudo openvpn genkey secret /etc/openvpn/server/ta.key
二、配置OpenVPN服务器
1、复制默认的配置文件并进行修改
- sudo cp /usr/share/doc/openvpn*/sample/sampleconfigfiles/server.conf /etc/openvpn/server/server.conf
2、编辑/etc/openvpn/server/server.conf文件
关键参数如下：
- port 1194
- proto udp
- dev tun
- ca ca.crt
- cert server.crt
- key server.key # This file should be kept secret
- dh none
- server 10.8.0.0 255.255.255.0
- ifconfigpoolpersist /var/log/openvpn/ipp.txt
- push "redirectgateway def1 bypassdhcp"
- push "dhcpoption DNS 208.67.222.222"
- push "dhcpoption DNS 208.67.220.220"
- duplicatecn
- keepalive 10 120
- tlscrypt ta.key
- cipher AES256GCM
- auth SHA256
- persistkey
- persisttun
- status /var/log/openvpn/openvpnstatus.log
- verb 3
- explicitexitnotify 1
3、启用IP转发
- sudo sysctl w net.ipv4.ip_forward=1
将上述命令添加到/etc/sysctl.conf文件中以确保重启后生效：
- net.ipv4.ip_forward = 1
4、配置防火墙
- sudo systemctl enable firewalld
- sudo systemctl start firewalld
- sudo firewallcmd zone=public addservice=openvpn permanent
- sudo firewallcmd zone=public addmasquerade permanent
- sudo firewallcmd reload
5、启动OpenVPN服务
- sudo systemctl start openvpnserver@server
- sudo systemctl enable openvpnserver@server
三、配置OpenVPN客户端
1、准备客户端配置文件
创建client1.ovpn如下：
- client
- dev tun
- proto udp
- remote YOUR_SERVER_IP 1194
- resolvretry infinite
- nobind
- user nobody
- group nobody
- persistkey
- persisttun
- ca ca.crt
- cert client1.crt
- key client1.key
- remotecerttls server
- tlscrypt ta.key 1
- cipher AES256GCM
- auth SHA256
- keydirection 1
- verb 3
2、连接至服务器
使用以下命令连接到OpenVPN服务器：
- sudo openvpn config /path/to/client1.ovpn
四、常见问题FAQs
Q1: 如何更改OpenVPN服务器的端口号？
A1: 要更改OpenVPN服务器的端口号，只需在server.conf文件中修改port指令的值即可，将端口改为443：
- port 443
- proto tcpserver
如果使用TCP协议，还需添加proto tcpserver指令，确保防火墙规则中允许新的端口号。
Q2: OpenVPN连接失败时如何排查问题？
A2: 如果OpenVPN连接失败，可以按照以下步骤进行排查：
1、检查服务器日志：查看/var/log/openvpn/openvpnstatus.log和系统日志，查找错误信息。
2、验证证书和密钥：确保所有证书和密钥文件存在且路径正确，特别是ca.crt、server.crt、server.key和ta.key文件。
3、防火墙设置：确认防火墙已正确配置，允许OpenVPN流量通过，可以使用以下命令检查防火墙规则：
- sudo firewallcmd listall
4、网络配置：确保服务器的网络配置正确，能够访问外网，可以使用ping命令测试网络连通性。
5、客户端配置：检查客户端配置文件中的参数是否正确，尤其是远程地址和端口号。
