Centos6.3下利用open***部署远程×××服务

open***是一款在LINUX网关服务器使用的开源的×××软件，顾名思义，其实就是用来打通一条安全的虚拟专用通道，实现用户远程办公，获取内网资源。

该软件可跨平台在在Linux、xBSD、Mac OS X与Windows间使用，并利用openssl作为加密库，使用加密证书或用户名/密码来实现身份验证，是一款不可多得的开源×××解决方案。

我们做这个实验的目的就是模拟线上常见的公司外出人员在外需要访问公司内网OA，实现远程办公自动化。

解决方案：

系统环境：centos6.3 x64

OPEN×××： open***-2.3.0（附件有下载）

*** server: eth0:192.168.100.90,eth1:172.24.30.1

*** client: 192.168.100.34

intranet server: 172.24.30.10

部署环境：

1.清空默认策略并重启iptables

# iptables -t NAT -F

# iptables -F

# service iptables save

# service iptables restart

2.关闭SELINUX

# setenforce 0

# vi /etc/sysconfig/selinux

---------------

SELINUX=disabled

---------------

server端（路由模式）：

一.网络设置

1.开启服务器端路由转发功能

# vi /etc/sysctl.conf

---------------------

net.ipv4.ip_forward = 1

---------------------

# sysctl -p

2.设置nat转发:

注：保证×××地址池可路由出外网

# iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

3.设置open***端口通过：

# iptables -A INPUT -p TCP --dport 1194 -j ACCEPT

# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

重启iptables:

注：这里提一下,INPUT策略是执行后即时生效的，POSTROUTING需要保存并重启服务才能生效

# service iptables save

# service iptables restart

注：若想让该服务器只提供open***等基本服务，可参照本文档附件iptables脚本

3.时间同步(重要)：

# ntpdate asia.pool.ntp.org

二.安装依赖库

# yum install -y openssl openssl-devel lzo lzo-devel pam pam-devel automake pkgconfig

三.安装open***:

# wget -c http://swupdate.open***.org/community/releases/open***-2.3.0.tar.gz

# tar zxvf open***-2.3.0.tar.gz

# cd open***-2.3.0

# ./configure --prefix=/usr/local/open***

# make && make install

# mkdir -p /etc/open***

复制模板到open***配置目录：

# cp -rf sample /etc/open***/

复制open***配置文件到主目录：

# cp /etc/open***/sample/sample-config-files/server.conf /etc/open***/

# cd ..

四.下载easy-rsa:

注：该包用来制作ca证书，服务端证书，客户端证书,open***2.3.0该版本源码不包含easy-rsa,所以需要单独下载安装用来配合open***实现证书生成。

# wget -c http://www.showerlee.com/down/easy-rsa-master.zip

# unzip easy-rsa-master.zip

# mv easy-rsa-master easy-rsa

# cp -rf easy-rsa /etc/open***

# cd /etc/open***/easy-rsa/easy-rsa/2.0

修改_证书变量

# vi vars

修改如下参数

注：在后面生成服务端ca证书时，这里的配置会作为缺省配置

---------------------

export KEY_COUNTRY="CN"

export KEY_PROVINCE="SX"

export KEY_CITY="Xian"

export KEY_ORG="example"

export KEY_EMAIL="user01@example.com"

---------------------

做SSL配置文件软链：

# ln -s openssl-1.0.0.cnf openssl.cnf

修改vars文件可执行并调用

# chmod +x vars

# source ./vars

-----------------

NOTE: If you run ./clean-all, I will be doing a rm -rf on /etc/open***/easy-rsa/easy-rsa/2.0/keys

-----------------

注：也就是如果执行./clean-all，就会清空/etc/open***/easy-rsa/easy-rsa/2.0/keys下所有文件

开始配置证书：

1.清空原有证书：

# ./clean-all

注：下面这个命令在第一次安装时可以运行，以后在添加完客户端后慎用，因为这个命令会清除所有已经生成的证书密钥，和上面的提示对应

2.生成服务器端ca证书

# ./build-ca

注：由于之前做过缺省配置，这里一路回车即可

3.生成服务器端密钥证书, 后面这个open***.example.com就是服务器名，也可以自定义

# ./build-key-server open***.example.com

---------------------------

Generating a 2048 bit RSA private key

...................................................+++

..................................+++

writing new private key to 'open***.example.com.key'

-----

You are about to be asked to enter information that will be

incorporated

into your certificate request.

What you are about to enter is what is called a Distinguished Name or

a DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter '.', the field will be left blank.

-----

Country Name (2 letter code) [CN]:

State or Province Name (full name) [SX]:

Locality Name (eg, city) [Xian]:

Organization Name (eg, company) [example]:

Organizational Unit Name (eg, section) []:

Common Name (eg, your name or your server's hostname)

[open***.example.com]:

Name [EasyRSA]:

Email Address [user01@example.com]:

Please enter the following 'extra' attributes

to be sent with your certificate request

A challenge password []:123456

An optional company name []:example

Using configuration from /etc/open***/easy-rsa/easy-rsa/2.0/openssl-1.0.0.cnf

Check that the request matches the signature

Signature ok

The Subject's Distinguished Name is as follows

countryName :PRINTABLE:'CN'

stateOrProvinceName :PRINTABLE:'SX'

localityName :PRINTABLE:'Xian'

organizationName :PRINTABLE:'example'

commonName :PRINTABLE:'open***.example.com'

name :PRINTABLE:'EasyRSA'

emailAddress :IA5STRING:'user01@example.com'

Certificate is to be certified until Jun 10 21:58:49 2023 GMT (3650 days)

Sign the certificate? [y/n]:y

1 out of 1 certificate requests certified, commit? [y/n]y

Write out database with 1 new entries

Data Base Updated

---------------------------

4.生成所需客户端证书密钥文件（名字任意，建议写成你要发给的人的姓名，方便管理）：

# ./build-key client1

# ./build-key client2

注：这里与生成服务端证书配置类似，中间一步提示输入服务端密码，其他按照缺省提示一路回车即可。

5.再生成diffie hellman参数，用于增强open***安全性（生成需要漫长等待）

# ./build-dh

6.打包keys

# tar zcvf keys.tar.gz keys/

7.终端发送到客户端备用

# yum install lrzsz -y

# sz keys.tar.gz

五.配置open*** server：

# vi /etc/open***/server.conf

注：可按照默认模板配置，本例为自定义配置文件：

--------------------------

# 设置监听IP，默认是监听所有IP

;local a.b.c.d

# 设置监听端口，必须要对应的在防火墙里面打开

port 1194

# 设置用TCP还是UDP协议？

;proto tcp

proto tcp

# 设置创建tun的路由IP通道，还是创建tap的以太网通道

# 路由IP容易控制，所以推荐使用它；但如果如IPX等必须

# 使用第二层才能通过的通讯，则可以用tap方式，tap也

# 就是以太网桥接

;dev tap

dev tun

# Windows需要给网卡一个名称，这里设置，linux不需要

;dev-node MyTap

# 这里是重点，必须指定SSL/TLS root certificate (ca),

# certificate(cert), and private key (key)

# ca文件是服务端和客户端都必须使用的，但不需要ca.key

# 服务端和客户端指定各自的.crt和.key

# 请注意路径,可以使用以配置文件开始为根的相对路径,

# 也可以使用绝对路径

# 请小心存放.key密钥文件

ca /etc/open***/easy-rsa/easy-rsa/2.0/keys/ca.crt

cert /etc/open***/easy-rsa/easy-rsa/2.0/keys/open***.example.com.crt

key /etc/open***/easy-rsa/easy-rsa/2.0/keys/open***.example.com.key

# This file should be kept secret

# 指定Diffie hellman parameters.

dh /etc/open***/easy-rsa/easy-rsa/2.0/keys/dh2048.pem

# 配置×××使用的网段，Open×××会自动提供基于该网段的DHCP

# 服务，但不能和任何一方的局域网段重复，保证唯一

server 10.8.0.0 255.255.255.0

# 维持一个客户端和virtual IP的对应表，以方便客户端重新

# 连接可以获得同样的IP

ifconfig-pool-persist ipp.txt

# 配置为以太网桥模式,但需要使用系统的桥接功能

# 这里不需要使用

;server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100

# 为客户端创建对应的路由,以另其通达公司网内部服务器

# 但记住，公司网内部服务器也需要有可用路由返回到客户端

;push "route 192.168.20.0 255.255.255.0"

push "route 172.24.30.0 255.255.255.0"

# 为特定的客户端指定IP或指定路由,该路由通常是客户端后面的

# 内网网段,而不是服务端连接的网段

# ccd是/etc/open***下的目录，其中建有希望限制的客户端Common

# Name为文件名的文件,并通过下面的命令写入固定IP地址

# 例如Common Name为client1,则在/etc/open***/ccd/client1写有：

# ifconfig-push 10.9.0.1 10.9.0.2

;client-config-dir ccd

;route 192.168.40.128 255.255.255.248

# 为可以对不同的客户端设置防火墙等权限

# 可以让其自动运行对应脚本,可参考man

;learn-address ./script

# 若客户端希望所有的流量都通过×××传输,则可以使用该语句

# 其会自动改变客户端的网关为×××服务器,推荐关闭

# 一旦设置，请小心服务端的DHCP设置问题

;push "redirect-gateway"

# 用Open×××的DHCP功能为客户端提供指定的DNS、WINS等

;push "dhcp-option DNS 10.8.0.1"

;push "dhcp-option WINS 10.8.0.1"

# 默认客户端之间是不能直接通讯的，除非把下面的语句注释掉

client-to-client

# 如果您希望有相同Common Name的客户端都可以登陆

# 也可以注释下面的语句,推荐每个客户端都使用不用的Common Name

# 常用于测试

;duplicate-cn

# 设置服务端检测的间隔和超时时间

keepalive 10 120

# 下面是一些对安全性增强的措施

# For extra security beyond that provided

# by SSL/TLS, create an "HMAC firewall"

# to help block DoS attacks and UDP port flooding.

#

# Generate with:

# open*** --genkey --secret ta.key

#

# The server and each client must have

# a copy of this key.

# The second parameter should be 0

# on the server and 1 on the clients.

;tls-auth ta.key 0 # This file is secret

# Select a cryptographic cipher.

# This config item must be copied to

# the client config file as well.

;cipher BF-CBC # Blowfish (default)

;cipher AES-128-CBC # AES

;cipher DES-EDE3-CBC # Triple-DES

# 使用lzo压缩的通讯,服务端和客户端都必须配置

comp-lzo

# 设置最大用户数

;max-clients 100

# 让Open×××以nobody用户和组来运行（安全）

;user nobody

;group nobody

# The persist options will try to avoid

# accessing certain resources on restart

# that may no longer be accessible because

# of the privilege downgrade.

persist-key

persist-tun

# 输出短日志,每分钟刷新一次,以显示当前的客户端

status /var/log/open***/open***-status.log

# 缺省日志会记录在系统日志中，但也可以导向到其他地方

# 建议调试的使用先不要设置,调试完成后再定义

log /var/log/open***/open***.log

log-append /var/log/open***/open***.log

# 设置日志的级别

#

# 0 is silent, except for fatal errors

# 4 is reasonable for general usage

# 5 and 6 can help to debug connection problems

# 9 is extremely verbose

verb 3

# Silence repeating messages. At most 20

# sequential messages of the same message

# category will be output to the log.

;mute 20

--------------------------

创建日志目录：

# mkdir -p /var/log/open***/

启动open*** server

# /usr/local/open***/sbin/open*** --config /etc/open***/server.conf &

设置开机启动：

# echo "/usr/local/open***/sbin/open*** --config /etc/open***/server.conf > /dev/null 2>&1 &" >> /etc/rc.local

client端：

六.安装WINDOWS客户端（WIN7 64bit）

1.下载客户端，并默认安装：

http://***tech.googlecode.com/files/open***-2.1.1-gui-1.0.3-install-cn-64bit.zip

2.将服务端打包文件解压，并将包内ca.crt、client1.crt、client1.key复制到客户端C:\Program Files\Open×××\config下.

3.在C:\Program Files\Open×××\config下创建client.o***文件

内容如下：

-----------------------

# 定义是一个客户端

client

# 定义使用路由IP模式，与服务端一致

;dev tap

dev tun

# 定义Windows下使用的网卡名称,linux不需要

;dev-node MyTap

# 定义使用的协议，与服务端一致

;proto tcp

proto tcp

# 指定服务端地址和端口,可以用多行指定多台服务器

# 实现负载均衡（从上往下尝试）

remote 192.168.100.90 1194

;remote my-server-2 1194

# 若上面配置了多台服务器，让客户端随机连接

;remote-random

# 解析服务器域名

# Keep trying indefinitely to resolve the

# host name of the Open××× server. Very useful

# on machines which are not permanently connected

# to the internet such as laptops.

resolv-retry infinite

# 客户端不需要绑定端口

# Most clients do not need to bind to

# a specific local port number.

nobind

# 也是为了让Open***也nobody运行（安全）

# 注意：Windows不能设置

;user nobody

;group nobody

# Try to preserve some state across restarts.

persist-key

persist-tun

# 若客户端通过HTTP Proxy，在这里设置

# 要使用Proxy，不能使用UDP为×××的通讯协议

;http-proxy-retry # retry on connection failures

;http-proxy [proxy server] [proxy port #]

# 无线网络有很多多余的头文件，设置忽略它

;mute-replay-warnings

# 重点，就是指定ca和客户端的证书

ca ca.crt

cert client1.crt

key client1.key

# 如果服务端打开了PAM认证模块，客户端需要另其有效

;auth-user-pass

# 一些安全措施

# Verify server certificate by checking

# that the certicate has the nsCertType

# field set to "server". This is an

# important precaution to protect against

# a potential attack discussed here:

# http://open***.net/howto.html#mitm

#

# To use this feature, you will need to generate

# your server certificates with the nsCertType

# field set to "server". The build-key-server

# script in the easy-rsa folder will do this.

;ns-cert-type server

# If a tls-auth key is used on the server

# then every client must also have the key.

;tls-auth ta.key 1

# Select a cryptographic cipher.

# If the cipher option is used on the server

# then you must also specify it here.

;cipher x

# 使用lzo压缩，与服务端一致

comp-lzo

# Set log file verbosity.

verb 3

# Silence repeating messages

;mute 20

-----------------------

5.连接：

在右下角的open***图标上右击，选择“Connect”,若能正常分配IP，则连接成功。

6.最终测试：

C:\Users\Administrator>ipconfig/all

---------------------------------------

...............

以太网适配器 本地连接* 12:

连接特定的 DNS 后缀 . . . . . . . :

描述. . . . . . . . . . . . . . . : TAP-Win32 Adapter V9

物理地址. . . . . . . . . . . . . : 00-FF-45-FB-F5-E2

DHCP 已启用 . . . . . . . . . . . : 是

自动配置已启用. . . . . . . . . . : 是

本地链接 IPv6 地址. . . . . . . . : fe80::848d:bd1d:c1f4:fb51%27(首选)

IPv4 地址 . . . . . . . . . . . . : 10.8.0.6(首选)

子网掩码 . . . . . . . . . . . . : 255.255.255.252

获得租约的时间 . . . . . . . . . : 2013年6月15日 22:36:59

租约过期的时间 . . . . . . . . . : 2014年6月15日 22:36:59

默认网关. . . . . . . . . . . . . :

DHCP 服务器 . . . . . . . . . . . : 10.8.0.5

DHCPv6 IAID . . . . . . . . . . . : 453050181

.....................

----------------------------------

在*** client上ping intranet server 主机IP：172.24.30.10

C:\Users\Administrator>ping 172.24.30.10

-------------------------

正在 Ping 172.24.30.10 具有 32 字节的数据:

来自 172.24.30.10 的回复: 字节=32 时间=2ms TTL=63

来自 172.24.30.10 的回复: 字节=32 时间<1ms TTL=63

来自 172.24.30.10 的回复: 字节=32 时间<1ms TTL=63

来自 172.24.30.10 的回复: 字节=32 时间<1ms TTL=63

--------------------------

大功告成。。。

七.注意事项：

(这里参考并感谢酒哥的“构建高可用LINUX服务器”一书)

1.公司如果有同事离职，如何注销该用户×××证书：

注：这里需保持open***服务正常开启

# cd /etc/open***/easy-rsa/easy-rsa/2.0

# ./revoke-full client2

如果报错，则注释掉该目录下openssl.cnf文件若干行内容，如下：

（实际情况执行上面的操作，直接可注销该用户）

-------------------------

#[pkcs11_section]

#engine_id = pkcs11

#dynamic_path = /usr/lib/engines/engine_pkcs11.so

#MODULE_PATH = $EVN::PKCS11_MODULE_PATH

#PIN = $ EVN::PKCS!!_PIN

#init =0

-------------------------

重新注销：

# ./revoke-full client2

若末行返回error23则账号注销成功，但需完全注销掉还需做如下配置：

# vi /etc/open***/server.conf

末行添加如下内容保证每次在重启加载open***配置文件时都会重新加载crl.pem文件：

-----------------------

crl-verify /etc/open***/easy-rsa/easy-rsa/2.0/keys/crl.pem

-----------------------

注：crl.pem为注销的用户的黑名单，可以理解为每次启动open***时，加载一次黑名单操作，保证最新被吊销的证书无法使用。

重启open***:

# killall open***

# /usr/local/open***/sbin/open*** --config /etc/open***/server.conf &

在客户端服务器使用client2证书验证该证书是否能够使用

最终确定该证书无法连接open***服务器

2.更改证书有效期，提高证书的安全性：

默认_证书的有效期是3650天，也就是10年

# cd /etc/open***/easy-rsa/easy-rsa/2.0

# vi pkitool

搜索到两处默认有效期天数"3650"，修改该为你需要设置的天数保存即可

下次执行该脚本制作客户端证书时，期限就会更改为新的天数。

进阶：

open***作为内网server提供远程×××服务解决方案：

有充裕预算的公司可以搭建open***的负载均衡，这里可以把两台服务器挂到内网交换机上，利用一台防火墙隔离内外网,并做分别作到内网这两台open***服务器的两条端口映射，保证两台服务器与其他内网服务器同网段，且两台open***配置相同。

这个方案其实适用于在项目后期，如果已经架设好防火墙，在既保留现有防火墙的情况下又想远程客户端访问内网资源，其实就可以利用原有防火墙做一个到内网open***服务器1194端口的映射，只要能保证open***服务器与其他内网资源在同一网段，或者可路由网段，就能起到远程×××访问功能。

(open***-server)

1.打开ip_forward(略)

2.做open***地址池网段数据可转发出eth0口的策略

# iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

3.保证open***配置文件做了到内网的路由

---------------------

push "route 192.168.100.0 255.255.255.0"

---------------------

其他配置与网关open***模式一致。

最后在客户端配置文件（C:\Program Files\Open×××\config\client.o***）里添加如下内容：

------------------

remote 172.24.30.40 1194

remote 172.24.30.40 1195

.....

remote-random

------------------

这行客户端会随机连接这2台服务器地址，从而利用其作为代理访问网内其他资源。

--------大功告成----------

本文出自 “一路向北” 博客，请务必保留此出处http://showerlee.blog.51cto.com/2047005/1222738

http://www.showerlee.com

附件下载：
　　easy-rsa
　　open***-2.3.0
　　iptables脚本

转载于:https://blog.51cto.com/ljl2013/1359383

Centos6.3下利用open***部署远程×××服务相关推荐

  1. CentOS下利用Docker部署Surging

    CentOS下利用Docker部署Surging 原文:CentOS下利用Docker部署Surging 1. 安装Centos, 配置固定ip 配置文件地址vi /etc/sysconfig/net ...

  2. 解决CentOS6.5下MySQL5.6无法远程连接的问题

    解决CentOS6.5下MySQL5.6无法远程连接的问题 参考文章: (1)解决CentOS6.5下MySQL5.6无法远程连接的问题 (2)https://www.cnblogs.com/yang ...

  3. Centos6.3下利用rsyslog+loganalyzer+mysql部署日志服务器

    作为一名系统运维工程师,平时查看分析LINUX系统日志我觉得是我们每天必做的功课,但时间长了会发现每次查看站点日志都得挨个进后台,几台服务器还可以这么对付,但如果管理成百上千台线上服务器,这种方法就捉 ...

  4. 信呼OA在centos7.4下利用LibreOffice部署Office文档本地PDF转换服务

    安装Libreoffice # yum install -y libreoffice 编辑    /include/chajian/xinhuapiChajian.php 298行 ,注释掉 #if( ...

  5. Centos6.3下apache+svn部署web版本同步

    前段时间一直忙项目,所以项目初期的svn服务就一直没来得及更新,今天刚好忙完就将自己之前的配置重新总结了下,供大家参考. svn(subversion)作为一款开源的代码版本管理软件,目前普遍用在项目 ...

  6. CENTOS6.3下zabbix安装部署

    ----------------闲扯---------------- RHCE过的EMAIL已经下来,所以最近闲了就准备把先前的文档更新下. 我更新的内容主要是把自己当时的理解加到配置里,告诉大家我当 ...

  7. 局域网下利用VNC进行远程操控

    2021.04.16更新:文件传输问题,用ssh传输文件了,参考链接: ssh传输文件 1.使用条件:同局域网下,无所谓能否上网,将服务端(被远程操控的机器)和客户端(操作人使用的电脑)连在同一wif ...

  8. Centos6.3下利用changepassword修改samba账户密码

    最近一直在潜心研究linux shell,所以好久没有更新了.今天也是在QQ有人和我聊到samba密码ldap集中验证时,想到一个问题,内网使用samba服务器来存储用户数据,所有的用户不能登陆LIN ...

  9. centos6.5下的elk部署

    1.介绍 elk是实时日志分析平台,主要是为开发和运维人员提供实时的日志分析,方便人员更好的了解系统状态和代码问题. 2.elk中的e(elasticsearch): (2.1)先安装依赖包,官方文档 ...

最新文章

  1. Android 水波纹点击效果(Ripple Effect)
  2. flink配置+停止flink中的job
  3. 与殿堂级大师隔空对话——一张纸是怎么限制了我们的想象力
  4. 搭建基于.NetFrameWork的私有nuget服务端及打包项目发布上传
  5. ar路由器 pppoe下发ipv6 dns_IPv6网络设置各种疑难杂症诊疗区
  6. spring boot 日志乱码_3. Spring Boot日志
  7. 矩阵分析及应用（1-2章）
  8. 屏蔽广告（广告终结者）-- CSDN 第一步
  9. 惊艳的成长计划表刷屏！武大首位 94 年博士入职华为，年薪达 201 万
  10. 2019校招秋招总结
  11. eNews 第二十七期/2007.08
  12. 建立一个网站的具体过程
  13. lisp不是函授型语言_讨论：为什么Lisp语言不再被广泛使用
  14. 超短线炒黄金技巧你掌握到位了吗
  15. 传统推荐算法Facebook的GBDT+LR模型深入理解
  16. 很实用的应用，推荐一下http://static.apk.hiapk.com/html/2012/06/625213.html?module=256info=MQA2ADMA
  17. 高效阅读嵌入式源码系列一：静态分析神器understand软件基本操作
  18. 嵌入式系统之新建工程模版
  19. JVM--基础--09--内存分配策略--对象优先在Eden分配
  20. 如何将知网下载的caj文件转换为pdf文件

热门文章

  1. vmware无法打开ubuntu解决办法
  2. 2018年计算机职称考试冲刺,2018年中级会计职称考试考前30天冲刺计划和学习方法...
  3. maven java 配置文件路径_Maven 的配置文件路径读取
  4. PHP的优点和缺点分别是什么,CSS的优点和缺点分别是什么
  5. webp的js插件_让浏览器全面兼容WebP图片格式
  6. rollback 最后判断成功_面试自我介绍随便说说就行？注意3忌2套路帮你提升50％成功率...
  7. 零基础入门学习Python，我与python的第一次亲密接触后的感受！
  8. html大作业_杜绝家长作业 关键是如何监督
  9. 【MySQL】MySQL表的增删改查（进阶-下）
  10. 欧拉筛 筛法求素数 及其例题 时间复杂度O(n)