【干货】ECS服务器OPENVPN搭建，方便管理所有内网服务器

时间：2023-03-08 15:39:11

【干货】ECS服务器OPENVPN搭建，方便管理所有内网服务器

使用场景 一台有外网的ECS服务器+N台无外网的ECS服务器,使用OPENVPN管理全部的ECS服务器(包括无外网的ECS服务器). 
鉴于ECS服务器的带宽成本比较高的问题,撸主采用的是SLB(外网,据说最近计费方式变多了)+N台ECS服务器集群(包括一台2M外网ECS)+内网RDS服务来提供线上服务,但是客服沟通过得到的答案是只能在控制台用VNC来管理(客服MM确认可以自行搭建VPN来管理),对于熟悉习惯使用SSH的人来说使用管理控制台的那个VNC非常蛋疼,BUT关于内网服务器集群管理的方面的教程阿里没提供完整的配置文档,论坛也只是零星的帖子,这个教程是撸主花了2天时间汇总整理出来的教程,确保能正常使用,旨在方便有这方面需求的兄弟少走弯路. 
 
 
最后吐槽一下云监控竟然不支持内网ECS服务器..... 
 
 

引用
#1.安装基础包

引用
yum install openssl-devel pam-devel gcc -y

引用
wget http://www.openssl.org/source/openssl-1.0.1g.tar.gz 
tar xvfz openssl-1.0.1g.tar.gz  
cd openssl-1.0.1g 
./config --prefix=/usr/local 
make && make installs

引用
#2.安装lzo 软件包

引用
wget http://www.oberhumer.com/opensource/lzo/download/lzo-2.06.tar.gz 
tar zxvf lzo-2.06.tar.gz 
cd lzo-2.06 
./configure --prefix=/usr/local 
make && make install

引用
#3.安装openvpn服务端

引用
openvpn的下载地址已被墙,安装包自行解决下载(本文采用的是openvpn-2.3.4.tar.gz) 
tar xvfz openvpn-2.3.4.tar.gz 
cd openvpn-2.3.4 
./configure --prefix=/usr/local/openvpn 
make && make install

引用
#4.openvpn服务端配置

引用
下载easy-rsa 附上gihub(https://github.com/OpenVPN/easy-rsa) 
解压zip到 /usr/loacal下 
cd /usr/local/easy-rsa-master/easyrsa3 
mv vars.example vars 
vim vars  
修改如下内容(请填写自己的信息): 
set_var EASYRSA_REQ_COUNTRY     "CN" 
set_var EASYRSA_REQ_PROVINCE    "Shanghai" 
set_var EASYRSA_REQ_CITY        "Shanghai" 
set_var EASYRSA_REQ_ORG         "Chogic Co" 
set_var EASYRSA_REQ_EMAIL       "xxxxx@xxxx.cn" 
set_var EASYRSA_REQ_OU          "System Admin"

引用
#5.初始化配置

引用
./easyrsa init-pki 
如果成功的话，会在当前目录下创建pki/{reqs,private}目录，用于保存证书文件。


引用
6.7.8.9步会让频繁输入密码，请自行记录

引用
#6.创建根证书

引用
./easyrsa build-ca 
创建过程中需要输入根证书的密码以及`Common Name`。如果创建成功，则会在`pki/private/`目录下创建`ca.key`私钥文件以及`pki/`目录下创建`ca.crt`证书文件。

引用
#7.创建服务器证书

引用
./easyrsa build-server-full server 
创建过程和根证书创建类似，需要输入证书的密码以及上一个步骤创建根证书的密码。     
如果创建成功，则会在`pki/private`目录创建`server.key`私钥文件。在`pki/issued`目录创建`server.crt`证书文件。 

引用
#8.创建dh证书

引用
./easyrsa gen-dh 
DH parameters of size 2048 created at /usr/local/easy-rsa-master/easyrsa3/pki/dh.pem

引用
#9.创建客户端证书

引用
./easyrsa build-client-full yourclientname (你的用户名)
引用
前面两次是输入你的用户密码，第三次是输入ca证书的密码（第#6步的密码）

引用
#10.配置服务端

引用
cd /usr/local/openvpn/ 
mkdir keys 
cd keys  
#把上述步骤创建的ca.crt,server.crt,server.key,dh.pem拷贝到keys目录 
cp /usr/local/easy-rsa-master/easyrsa3/pki/ca.crt . 
cp /usr/local/easy-rsa-master/easyrsa3/pki/issued/server.crt . 
cp /usr/local/easy-rsa-master/easyrsa3/pki/private/server.key . 
cp /usr/local/easy-rsa-master/easyrsa3/pki/dh.pem . 
 
创建或者编辑/usr/local/openvpn/server.conf文件，内容如下： 
vim /usr/local/openvpn/server.conf 
 
##openvpn的server.config 
#local 是阿里ECS的外网IP 
local 你的外网ECS服务器地址（ifconfig eth1对应的IP地址） 
port 1194 
proto udp 
dev tun 
#修下下面的4个文件路径 
ca /usr/local/openvpn/keys/ca.crt 
cert /usr/local/openvpn/keys/server.crt 
key /usr/local/openvpn/keys/server.key 
dh /usr/local/openvpn/keys/dh.pem 
#openvpn的地址 
server 10.8.0.0 255.255.255.0 
ifconfig-pool-persist ipp.txt 
client-to-client 
keepalive 10 120 
comp-lzo 
user nobody 
group nobody 
persist-key 
persist-tun 
status openvpn-status.log 
#这个日志目录需要手创建 
log /data/logs/openvpn/openvpn.log 
verb 3 
#重要,保证客户端的连接能正常的访问10.162.*.*网段 ，下面的网段请自行根据自己的内网服务器所在的网段添加 
push "route 10.162.59.0 255.255.255.0" 
push "route 10.162.91.0 255.255.255.0"

引用
#11.Centos系统配置修改


引用
#打开服务器的路由功能

vim /etc/sysctl.conf 
修改以下内容： 
net.ipv4.ip_forward = 1 
# 然后使内核参数生效： 
sysctl -p  

引用
#添加NAT  10.8.0.0/24是OPENVPN的地址 10.162.xxx.xxx是阿里ECS的内网地址(ifconfig eth0) 
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source 10.162.xxx.xxx 
#保存iptables 
service iptables save

引用
#启动openvpn

引用
/usr/local/openvpn/sbin/openvpn --daemon --config /usr/local/openvpn/server.conf 
###################附加客户端配置文件##################### 
请自行根据各自的操作系统及对应的OPENVPN客户端来处理，但是无论什么客户端配置文件应该是一致的。 
客户端需要使用easyrsa生成的 ca.crt,gair.key以及gair.crt文件。 
###################客户端配置################### 
配置文件config.ovpn 
client 
dev tun 
proto udp 
remote 218.244.147.198 1194 
remote-cert-tls server 
resolv-retry infinite 
nobind 
persist-key 
persist-tun 
ca ca.crt 
cert yourclientname.crt 这里修改为上面输入的名字 
key yourclientname.key 这里修改为上面输入的名字 
;ns-cert-type server   # 该行需注释，不然服务端有报错 TLS: Initial packet from 
comp-lzo 
verb 3