CentOS 7 安装配置 Open*** Server-11819889

jy166102

　　这篇文章描述了如何在CentOS 7 服务器上安装与配置Open***服务器，以及如何编写客户端连接到新建立的Open***服务器上所需的配置文件。目前Open***最新版本为2.4.3（2017年9月）
　　由于Open*** Server不在默认源中，所以需要安装Extra Packages for Enterprise Linux (EPEL) 仓库，其中包含有Open***的包。
　　1、添加epel源
　　可使用如下脚本，只需执行该脚本即可自动下载并完成epel源安装，前提是服务器能连上Internet：
　　#!/bin/bash
　　url1="https://mirrors.aliyun.com/epel/epel-release-latest-7.noarch.rpm"
　　url2="https://mirrors.aliyun.com/epel/epel-release-latest-6.noarch.rpm"
　　string=`cat /etc/redhat-release`
　　vers=`echo ${string##*release}|sed 's/^[[:space:]]*//g'|awk -F"." '{print $1}'`
　　if ! which wget &>/dev/null; then
　　echo "Installing wget..."
　　yum install wget -y &>/dev/null
　　if [ $? -eq 0 ];then
　　echo "Install wget OK"
　　else
　　echo "Download wget failed,exit"
　　exit 1
　　fi
　　fi
　　if [ $vers -eq 7 ];then
　　wget -t 8 -c -T 3 $url1 && echo "Download epel OK" || echo "Download epel failed."
　　echo "Installing epel..."
　　rpm -ivh ./${url1##*/}
　　elif [ $vers -eq 6 ];then
　　wget -t 8 -c -T 3 $url2 && echo "Download epel OK" || echo "Download epel failed."
　　echo "Installing epel..."
　　rpm -ivh ./${url2##*/}
　　else
　　echo "Can not download epel"
　　exit 1
　　fi
　　2、安装Open***
　　epel源安装后，即可直接执行如下命令安装Open***
　　[root@bbs ~]# yum install -y open***
　　从示例配置文件复制一份配置文件到/etc/open***
　　[root@bbs ~]# cp -a /usr/share/doc/open***-*/sample/sample-config-files/server.conf /etc/open***
　　打开 /etc/open***/server.conf 编辑：
　　[root@bbs ~]# vim /etc/open***/server.conf
　　取消以下6个语句的注释：
　　push "redirect-gateway def1 bypass-dhcp"
　　push "dhcp-option DNS 8.8.8.8"
　　push "dhcp-option DNS 8.8.4.4"
　　user nobodygroup
　　nobody
　　comp-lzo
　　注释掉下面这条语句：
　　#tls-auth ta.key 0 # This file is secret
　　3、使用easy-rsa生成证书及密钥
　　完成了对于配置文件的修改之后，接下来生成keys和certificates。
　　安装easy-rsa：
　　[root@bbs ~]# yum install -y easy-rsa
　　将相关文件复制到Open***的配置目录：
　　[root@bbs ~]# cp -a /usr/share/easy-rsa/ /etc/open***
　　现在有关的文件都在 /etc/open***/easy-rsa/2.0/ 这个目录中。
　　3.1、调整easy-rsa密钥生成配置
　　首先需要修改的是vars文件
　　[root@bbs ~]# vim /etc/open***/easy-rsa/2.0/vars
　　将以下这些值修改成你自己的值：
　　export KEY_COUNTRY="US"
　　export KEY_PROVINCE="CA"
　　export KEY_CITY="SanFrancisco"
　　export KEY_ORG="Fort-Funston"
　　export KEY_EMAIL="me@myhost.mydomain"
　　export KEY_OU="MyOrganizationalUnit"
　　# X509 Subject Field
　　export KEY_NAME="EasyRSA"
　　修改完成之后，执行 source ./vars, 清空目录并生成 Certificate Authority(CA):
　　[root@bbs ~]# cd /etc/open***/easy-rsa/2.0
　　[root@bbs ~]# source ./vars
　　3.2、生成密钥
　　3.2.1 生成CA, 服务器证书及密钥
　　在/etc/open***/easy-rsa/2.0目录中执行：
　　[root@bbs ~]# ./clean-all
　　[root@bbs ~]# ./build-ca
　　执行完成之后在/etc/open***/easy-rsa/2.0/keys目录中产生了CA，接下来为服务器生成密钥：
　　[root@bbs ~]# ./build-key-server server
　　有了服务器密钥，再生成Diffie Hellman key exchange文件，这里生成的长度由之前的KEY_SIZE决定：
　　[root@bbs ~]# ./build-dh
　　执行完成会产生dh2048.pem (默认的KEY_SIZE = 2048，这里产生的文件是dh2048.pem)
　　将4个所需文件复制到Open***配置目录中去：
　　[root@bbs ~]# cd /etc/open***/easy-rsa/2.0/keys
　　[root@bbs ~]# cp dh2048.pem ca.crt server.crt server.key /etc/open***
3.2.2 生成客户端证书和密钥
　　在/etc/open***/easy-rsa/2.0/目录中执行：
　　[root@bbs ~]# ./build-key client
　　会在目录中产生客户端所需的证书和密钥
　　4、配置防火墙
　　
　　该部分可执行防火墙脚本，具体的脚本代码在我的另一篇博文“经典好用anti-DDos的iptables shell脚本”中已贴出，执行iptables.sh可自动配置所有防火墙规则及Open***配置。
　　5、启动Open***
　　
　　启动Open***服务器并添加自动启动项：
　　[root@bbs ~]# systemctl start open***@server
　　[root@bbs ~]# systemctl enable open***@server
　　6、客户端配置文件
　　
　　取回之前生成的位于/etc/open***/easy-rsa/2.0/keys中的三个文件：
　　ca.crt
　　client.crt
　　client.key
　　在你的客户端创建一个文件client.o***, 将这三个文件与其放在同一目录中，编辑client.o***内容如下：
　　client
　　dev tun
　　proto udp
　　remote xxx.xxx.xxx.xxx 1194
　　resolv-retry infinite
　　nobind
　　persist-key
　　persist-tun
　　comp-lzo
　　verb 3
　　ca ca.crt
　　cert client.crt
　　key client.key
　　cipher AES-256-CBC
　　将其中的xxx.xxx.xxx.xxx替换为你的服务器地址，如果端口、证书、密钥不同的话修改相应的项即可
　　如果Open***客户端安装在Windows系统，则客户端配置文件在目录：
　　C:\Program Files\Open***\config
　　所以在上面的目录下必须存在以下几个文件：
　　ca.crt
　　client.crt
　　client.key
　　client.o***
　　由于某些原因，目前无法通过Open***官网:http://www.open***.net下载Windows版Open***-GUI，具体下载大家可以参考如下链接：
　　http://open***.ustc.edu.cn/
　　如有需要，可发我邮箱walnut@junhui.xyz，请注明windows系统版本，如Windows XP(32-bit)或者
　　Windows XP(64-bit)或者Windows Vista and later（32-bit）或者Windows Vista and later（64-bit）。