admin管理员组文章数量:1531663
2023年12月21日发(作者:)
Openvpn完美解决公司网络没有固定公网IP的问题
方案背景:
公司办公网络使用长城宽带上网有一段时间了,有4个固定IP(2个电信,2个网通),链路不太稳定,经常有问题,因此考虑取消长城宽带,采用原来的adsl上网。但是有个问题,因为公司内网有几台服务器,需要通过固定IP接受外网用户发送的数据,因此如果没有公网IP,而ADSL获取的IP会变化,那么内网服务器接受外面用户的数据就会受到影响,通过采用openvpn很好的解决了这个问题。这个前提是你在机房的服务器有固定IP。
应用场景
公司在托管机房有公网IP,在公司内部采用ADSL上网,又需要接受外网用户发送的数据,那么就可以在托管机房有公网IP的服务器部署openvpn,然后内网找一台服务器拨上去获取IP后,通过iptables的端口转发2次就可以完美解决公司网络没有公网IP的问题。
详细方案
下面就来详细讲述如何用openvpn完美的解决公司网络没有公网IP的解决方案!
一、 需求
在没有固定公网IP的情况下,借助托管机房的固定公网IP,实现发布内网服务器的端口给外网用户调用,具体环境如下面网络图中所示,需要把内网服务器192.168.100.113的708端口借助托管机房的固定IP发布给外网用户调用
二、 网络图
三、 openvpn服务器的安装配置
1. openvpn服务器端的环境
OS: Centos 5.5 64bit 2.6.18
Lzo version: 2.0.6(最新版本)
Openvpn version: 2.2.2(最新版本)
2. openvpn服务器端软件的安装
➢下载软件包
wget /opensource/lzo/download/
wget /community/releases/
➢安装openssl
yum -y install openssl
记录下openssl的版本号,一会有用,我这里安装的5.x86_64版本
➢安装lzo
tar xzvf
cd lzo-2.06
./configure
make && make check && make install
➢安装openvpn
tar xzvf
cd openvpn-2.2.2
./configure --prefix=/usr/local/openvpn --with-lzo-headers=/usr/local/include --with-lzo-lib=/usr/local/lib
--with-ssl-headers=/usr/local/include/openssl --with-ssl-lib=/usr/local/lib
make && make install
3. 制作openvpn证书key
➢初始话PKI
生成key变量可以采用export或者需改配置文件的形式,这里我只说采用export命令的形式!代码如下:
cd openvpn-2.2.2/easy-rsa/2.0 #注意这个路径和以前的版本不太一样
cp #这里有三个版本的openssl的文件供你选择,这里需要选择前面我们安装的openssl版本
export
D=`pwd` #设置路径
export KEY_CONFIG=$D/ #设置openssl文件的位置
export KEY_DIR=$D/keys #设置生成key的保存路径
export
KEY_SIZE=1024
#设置生成key的加密位数
export KEY_COUNTRY=CN #设置国家
export KEY_PROVINCE=GD #设置省
export
KEY_CITY=SZ #设置城市
export KEY_ORG="futuotec" #设置组织
export KEY_EMAIL=******************.com #设置邮箱
./clean-all #这个命令执行完成以后会创建前面设置的key保存路径
➢生成ca证书和私钥
./build-ca #执行这个命令以后按照提示操作就可以了!示例如下:
Country Name (2 letter code) [CN]:
State or Province Name (full name) [GD]:
Locality Name (eg, city) [SZ]:
Organization Name (eg, company) [futuotec]:
Organizational Unit Name (eg, section) []:futuotec
Common Name (eg, your name or your server's hostname) []:server
Email Address [******************.com]:
➢生成server端证书和私钥
./build-key-server server #执行这个命令以后按照提示操作就可以了!示例如下
Country Name (2 letter code) [CN]:
State or Province Name (full name) [GD]:
Locality Name (eg, city) [SZ]:
Organization Name (eg, company) [futuotec]:
Organizational Unit Name (eg, section) []:futuotec
Common Name (eg, your name or your server's hostname) []:server
Email Address [******************.com]:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:test111
An optional company name []:futuotec
➢生成客户端证书和私钥
./build-key client1 #client1为客户端的登录名,按照提示操作,示例如下,可重复次操作建多个不同的登录名
Country Name (2 letter code) [CN]:
State or Province Name (full name) [GD]:
Locality Name (eg, city) [SZ]:
Organization Name (eg, company) [futuotec]:
Organizational Unit Name (eg, section) []:futuotec
Common Name (eg, your name or your server's hostname)
[]:client1 #重要: 每个不同的 client 生成的证书, 名字必须不同.
Email Address [******************.com]:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:test111
An optional company name []:futuotec
➢打包证书和私钥
./build-dh #通过这个命令创建Diffie Hellman参数
tar zcvf keys
将生成的下载备用
4. openvpn服务器端配置
mkdir /usr/local/openvpn/etc
mkdir /usr/local/openvpn/keys/
将前面生成的如下key文件和证书文件拷到/usr/local/openvpn/keys目录下:
、、、
vim /usr/local/openvpn/etc/ 添加如下内容
local 58.33.123.75
client-config-dir /usr/local/openvpn/etc/ccd #介绍一下这个选项,这个选项是为制定的登录名使用单独的配置,比如制定固定的IP,本文就用到了这个配置,在这个目录下,创建一个用户名文件,然后写入你的需求配置,稍后会介绍
port 1194
proto udp
dev tun
ca /usr/local/openvpn/keys/
cert /usr/local/openvpn/keys/
key /usr/local/openvpn/keys/
dh /usr/local/openvpn/keys/
server 172.16.100.0 255.255.255.0
ifconfig-pool-persist
push "route 172.16.88.0 255.255.255.0"
push "route 172.16.100.0 255.255.255.0"
push "dhcp-option DNS 172.16.88.10"
client-to-client
keepalive 10 120
comp-lzo
persist-key
persist-tun
status /var/log/
log /var/log/
verb 4
vim /usr/local/openvpn/etc/ccd/client1 添加如下内容:
ifconfig-push 172.16.100.9 172.16.100.10
可能有人会想为什么要制定两个IP,这是因为openvpn只支持255.255.255.252 的子网,而且252的子网只有两个IP,一个分配给客户端,一个留给服务器用.因此只能ccd目录下面的文件内容只能是:
ifconfig-push 172.16.100.1 172.16.100.2
ifconfig-push 172.16.100.5 172.16.100.6 …..
如果配置错误,会报如下错误:
Tue Jan 10 18:02:33 2012 us=197724 read UDPv4 [ECONNREFUSED]:
Connection refused (code=111)
启动openvpn服务端:
/usr/local/openvpn/sbin/openvpn --config
/usr/local/openvpn/etc/ > /dev/null 2>&1 &
然后将该命令写入到/etc/中
查看是否启动成功:
netstat -lnp | grep openvpn
udp 0 0 58.33.123.75:1194
0.0.0.0:*
11545/openvpn
四、 openvpn客户端的安装配置
1. openvpn客户端的环境
客户端的环境和服务器端的环境一样
OS: Centos 5.5 64bit 2.6.18
Lzo version: 2.0.6(最新版本)
Openvpn version: 2.2.2(最新版本)
2. openvpn客户端的安装
安装也和服务器的一样,这里就不赘述
3. openvpn客户端的配置
mkdir /usr/local/openvpn/etc
mkdir /usr/local/openvpn/keys/
将需要的前面打包的相关key文件放到keys目录下,比如client1用户需要copy到客户端的文件如下:
vim /usr/local/openvpn/etc/ 添加如下内容:
client
dev tun
proto udp
remote 58.33.123.75 1194
persist-key
persist-tun
ca /usr/local/openvpn/keys/
cert /usr/local/openvpn/keys/
key /usr/local/openvpn/keys/
ns-cert-type server
comp-lzo
verb 4
启动客户端:
/usr/local/openvpn/sbin/openvpn --config
/usr/local/openvpn/etc/ > /dev/null 2>&1 &
并将该命令写入/etc/
检查是否链接成功,已经分配的IP是否是制定的IP
ifconfig显示如下内容:
tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:172.16.100.9 P-t-P:172.16.100.10 Mask:255.255.255.255
五、 openvpn服务器端iptables的设置
iptables -t nat -A PREROUTING -d 58.33.123.75 -p tcp -m tcp --dport
708 -j DNAT --to-destination 172.16.100.9:708
iptables -t nat -A POSTROUTING -j MASQUERADE
iptables -A INPUT -p udp -m udp --dport 1194 -j ACCEPT
iptables -A INPUT -s 172.16.100.0/255.255.255.0 -j ACCEPT
说明:将外面请求机房中58.33.123.75端口708的请求都发往公司内网的vpn客户端,打开openvpn的1194端口,允许网段的访问!
六、 openvpn客户端iptables的设置
iptables -t nat -A PREROUTING -s 58.33.123.75 -p tcp -m tcp --dport
708 -j DNAT --to-destination 192.168.100.113:708
iptables -t nat -A POSTROUTING -j MASQUERADE
说明:将源是来自58.33.123.75并且目标端口为708的请就转发到内网的192.168.100.113的708端口,这就完成了整个转发过程
七、 测试端口调用是否OK
因为发布的tcp的端口,因此可以采用telnet的方式来调用,在外网找台机器,执行如下命令看看是否OK!
telnet 58.33.123.75 708
如果不能连接,就需要检查vpn是否OK。Ping是个很好的工具,以及检查防火墙规则
总结:
对于我们搞IT的来说,其实解决问题的方法很多,需要灵活的来运用各种技术。这样能给你的企业节省不少成本,而且能让你的工作更有创造性。因此我们在日常工作中应该充分发挥我们的想象力,灵活应用我们的各种技术,你会发现其实技术的道路还可以更宽、更精彩!
版权声明:本文标题:Openvpn完美解决公司网络没有固定公网IP的问题 内容由热心网友自发贡献,该文观点仅代表作者本人, 转载请联系作者并注明出处:https://m.elefans.com/dongtai/1703134715a40557.html, 本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容,一经查实,本站将立刻删除。
发表评论