在Centos 7系统上安装和配置OpenVPN，可以确保公司外部员工安全地访问内部办公网络，以下是详细的步骤和配置指南：
环境准备
| 项目 | 说明 |
| 服务器系统 | CentOS Linux release 7.9.2009 (Core) |
| OpenVPN版本 | 2.5.6 |
| EasyRSA版本 | 3.0.8 |
| 外网IP | 124.70.49.106 |
| 内网IP | 192.168.0.155 |
| 测试服务器IP | 192.168.0.21 |
| 客户端网段 | 172.16.16.0/24 |
安装步骤
1. 准备工作
（图片来源网络，侵权删除）
- 关闭防火墙
- systemctl stop firewalld
- systemctl disable firewalld
- 关闭SELinux
- sed i 's/enforcing/disabled/' /etc/selinux/config
- setenforce 0
- 安装依赖包
- yum install y vim wget lrzsz gccc++ openssl openssldevel nettools lzo lzodevel pam pamdevel
- 下载并安装OpenVPN和EasyRSA
- mkdir /tmp/install
- cd /tmp/install
- wget https://swupdate.openvpn.org/community/releases/openvpn2.5.6.tar.gz
- wget https://github.com/OpenVPN/easyrsa/releases/download/v3.0.8/EasyRSA3.0.8.tgz
2. 安装OpenVPN和EasyRSA
- 解压缩文件
- tar zxvf openvpn2.5.6.tar.gz
- tar zxvf EasyRSA3.0.8.tgz
- 编译并安装OpenVPN
- cd openvpn2.5.6
- ./configure prefix=/data/openvpn/
- make && make install
- 添加环境变量
- echo e "PATH=\$PATH:/data/openvpn/sbin" > /etc/profile.d/openvpn256.sh
- source /etc/profile
- 检查是否成功安装
- openvpn version
3. 服务端配置
- 创建CA签发机构环境
- cp r /data/EasyRSA /data/openvpn/easyrsaserver
- cd /data/openvpn/easyrsaserver
- 准备默认变量文件
- egrep v "^$|^#" vars.example > vars
- vim vars # 设置CA证书有效期为100年，服务器证书为10年
- set_var EASYRSA_CA_EXPIRE 36500
- set_var EASYRSA_CERT_EXPIRE 3650
- 创建CA机构和服务端证书
- ./easyrsa initpki
- ./easyrsa buildca nopass # 使用nopass表示不需要密码
- ./easyrsa genreq openvpnserver nopass
生成TLS认证密钥及配置文件
- 生成TLS认证密钥
- openvpn genkey secret /etc/openvpn/ta.key
- 创建配置文件
- cat <<EOF > /etc/openvpn/server.conf
- port 1194
- proto udp
- dev tun
- ca ca.crt
- cert server.crt
- key server.key
- dh dh.pem
- server 10.8.0.0 255.255.255.0
- ifconfigpoolpersist ipp.txt
- keepalive 10 120
- maxclients 10
- status openvpnstatus.log
- verb 3
- EOF
启动服务端并配置防火墙与流量转发
- 启动OpenVPN服务并设为开机启动
- systemctl start openvpn@server
- systemctl enable openvpn@server
- 配置防火墙与流量转发
- firewallcmd permanent addservice openvpn
- firewallcmd permanent addmasquerade
- firewallcmd reload
- sysctl w net.ipv4.ip_forward=1
相关问答FAQs
Q1: OpenVPN连接后无法访问内网资源怎么办？
A1: 确保在OpenVPN的配置文件中正确设置了路由推送（push "route ...")，并且客户端机器的网关设置正确，可以使用ping命令测试连通性，如果问题依旧，检查防火墙和路由表设置。
Q2: 如何生成客户端证书？
A2: 在服务端执行以下命令生成客户端证书：
（图片来源网络，侵权删除）
- cd /data/openvpn/easyrsaserver
- ./easyrsa genreq client nopass
- ./easyrsa sign client client
将生成的客户端证书（client.crt和client.key）发送给客户端进行配置。
（图片来源网络，侵权删除）
