CENTOS6.5安装ocserv0.9.2

sm702

　　0.装前提包
　　yum install autoconf automake gcc libtasn1-devel zlib zlib-devel trousers trousers-devel gmp-devel gmp xz texinfo libnl-devel libnl tcp_wrappers-libs tcp_wrappers-devel tcp_wrappers dbus dbus-devel ncurses-devel pam-devel readline-devel bison bison-devel flex gcc automake autoconf wget gmp-devel gmp
　　1、编译nettle
　　安装gmp
　　yum install gmp-devel gmp
　　wget http://ftp.gnu.org/gnu/nettle/nettle-2.7.1.tar.gz
　　tar zxf nettle-2.7.1.tar.gz && cd nettle-2.7.1
　　./configure --prefix=/usr && make && make install
　　//chmod -v 755 /usr/lib/libhogweed.so.2.5 /usr/lib/libnettle.so.4.7
　　install -v -m755 -d /usr/share/doc/nettle-2.7.1
　　install -v -m644 nettle.html /usr/share/doc/nettle-2.7.1
　　2、编译unbound
　　安装expat-devel
　　yum install expat-devel
　　wget http://unbound.nlnetlabs.nl/downloads/unbound-1.4.22.tar.gz
　　tar zxf unbound-1.4.22.tar.gz && cd unbound-1.4.22
　　./configure && make && make install
　　mkdir -p /etc/unbound && unbound-anchor -a "/etc/unbound/root.key"
　　export PKG_CONFIG_PATH=/usr/local/lib/pkgconfig:$PKG_CONFIG_PATH
　　3、编译gnutls
　　yum install gnutls --装的是低版本的，装完这个再装3.2的， 要不ocserv找不到，不知道为什么
　　wget ftp://ftp.gnutls.org/gcrypt/gnutls/v3.2/gnutls-3.2.12.1.tar.xz
　　xz -c -d gnutls-3.2.12.1.tar.xz | tar x
　　cd gnutls-3.2.12
　　./configure --prefix=/usr && make && make install
　　4、编译ocserv
　　wget ftp://ftp.infradead.org/pub/ocserv/ocserv-0.9.2.tar.xz
　　xz -c -d ocserv-0.9.2.tar.xz | tar x && cd ocserv-0.9.2
　　./configure && make && make install
　　如果nettle和gnutls安装在/usr/local目录，需要运行以下命令设置系统变量，再运行./configure。同时要把这些命令加进系统启动里。
　　32bit
　　export LD_LIBRARY_PATH=/usr/local/lib/:/usr/local/lib64/ NETTLE_CFLAGS=”-I/usr/local/include/” NETTLE_LIBS=”-L/usr/local/lib64/ -lnettle” HOGWEED_CFLAGS=”-I/usr/local/include” HOGWEED_LIBS=”-L/usr/local/lib64/ -lhogweed”
　　export LD_LIBRARY_PATH=/usr/local/lib/:/usr/local/lib64/ LIBGNUTLS_CFLAGS=”-I/usr/local/include/” LIBGNUTLS_LIBS=”-L/usr/local/lib/ -lgnutls” LIBNL3_CFLAGS=”-I/usr/local/include” LIBNL3_LIBS=”-L/usr/local/lib/ -lnl-3 -lnl-route-3″
　　64bit
　　export LD_LIBRARY_PATH=/usr/lib/:/usr/lib64/ NETTLE_CFLAGS=”-I/usr/include/” NETTLE_LIBS=”-L/usr/lib64/ -lnettle” HOGWEED_CFLAGS=”-I/usr/include” HOGWEED_LIBS=”-L/usr/lib64/ -lhogweed”
　　export LD_LIBRARY_PATH=/usr/lib/:/usr/lib64/ LIBGNUTLS_CFLAGS=”-I/usr/include/” LIBGNUTLS_LIBS=”-L/usr/lib/ -lgnutls” LIBNL3_CFLAGS=”-I/usr/include” LIBNL3_LIBS=”-L/usr/lib/ -lnl-3 -lnl-route-3″
　　5、配置ocserv
　　创建ca证书和服务器证书（参考http://www.infradead.org/ocserv/manual.html#heading5）
　　certtool --generate-privkey --outfile ca-key.pem
　　cat << _EOF_ >ca.tmpl
　　cn = “stunnel.info VPN”
　　organization = “stunnel.info”
　　serial = 1
　　expiration_days = 365
　　ca
　　signing_key
　　cert_signing_key
　　crl_signing_key
　　_EOF_
　　certtool --generate-self-signed --load-privkey ca-key.pem --template ca.tmpl --outfile ca-cert.pem
　　certtool --generate-privkey --outfile server-key.pem
　　cat << _EOF_ >server.tmpl
　　cn = “stunnel.info VPN”
　　o = “stunnel”
　　serial = 2
　　expiration_days = 365
　　signing_key
　　encryption_key #only if the generated key is an RSA one
　　tls_www_server
　　_EOF_
　　certtool --generate-certificate --load-privkey server-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template server.tmpl --outfile server-cert.pem
　　把证书复制到ocserv的配置目录
　　mkdir -p /usr/local/etc/ocserv/ ; cp server-cert.pem /usr/local/etc/ocserv/ && cp server-key.pem /usr/local/etc/ocserv/
　　复制配置文件样本
　　cp doc/sample.config /usr/local/etc/ocserv/ocserv.conf
　　编辑配置文件
　　vim /usr/local/etc/ocserv/ocserv.conf
　　修改如下：
　　auth = "plain[/usr/local/etc/ocserv/.passwd]"
　　#ocserv支持多种认证方式，这是自带的密码认证，使用ocpasswd创建密码文件
　　#ocserv还支持证书认证，可以通过Pluggable Authentication Modules (PAM)使用radius等认证方式
　　server-cert = /usr/local/etc/ocserv/server-cert.pem
　　server-key = /usr/local/etc/ocserv/server-key.pem
　　#证书路径
　　max-same-clients = 10
　　#同一个用户最多同时登陆数
　　run-as-group = nobody
　　ipv4-network = 192.168.10.0
　　#分配给VPN客户端的IP段
　　dns = 8.8.8.8
　　dns = 8.8.4.4
　　#route = 192.168.1.0/255.255.255.0
　　#route = 192.168.5.0/255.255.255.0
　　#注释掉这两行。route参数留空表示所有流量均走VPN。
　　#ocserv可以给客户端下发路由表。比如可以把公司内网IP段、所有国外IP走VPN出去。
　　#default-domain = example.com
　　#注释掉这行。
　　#isolate-workers = true
　　创建认证用的用户文件
　　ocpasswd -c /usr/local/etc/ocserv/.passwd <username>
　　修改系统配置，允许转发
　　注意把网卡接口名称改成你服务器上对应的接口
　　sed -i ‘s/net.ipv4.ip_forward = 0/net.ipv4.ip_forward = 1/g’ /etc/sysctl.conf
　　sysctl -p
　　iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o venet0 -j MASQUERADE
　　iptables -A FORWARD -s 192.168.10.0/24 -j ACCEPT
　　#IP段和venet0接口要根据自己的情况修改
　　最后运行服务
　　/usr/local/sbin/ocserv -c /usr/local/etc/ocserv/ocserv.conf
　　在iOS上安装Cisco AnyConnect即可连接服务器
　　Android上也有Cisco AnyConnect（需要root），不过Android可选择的太多，推荐Shadowsocks
　　Windows、MAC OS也有Cisco的官方客户端
　　参考：
　　http://www.infradead.org/ocserv/manual.html
　　http://ttz.im/blog/2014/02/1131
　　http://www.cisco.com/web/CN/solutions/trends/byod_smart_solution/pdf/at_a_glance_c45_578609.pdf
　　http://botu.me/entry/install-ocserv-on-centos6.html