linux centos7 open***安装及客户端权限控制-白红宇

linux centos7 open***安装及客户端权限控制

阅读量：5731 次

发布时间：2019-06-18

本文共 4182 字，大约阅读时间需要 13 分钟。

一、服务端配置

1、安装依赖包和open***

yum install openssl openssl-devel lzo lzo-devel pam pam-devel automake pkgconfig -y

yum install open***

2、生成服务器、客户端证书

#2.3版本需要独立下载个easy-rsa，该包用来制作ca证书，服务端证书，客户端证书

wget -c https://github.com/Open×××/easy-rsa/archive/master.zip

unzip master.zip

mv easy-rsa-master easy-rsa

cp -rf easy-rsa /etc/open***

cd /etc/open***/easy-rsa/easyrsa3

cp vars.example vars #一般情况下，默认的配置可以满足需求，也可以根据需要修改

./easyrsa init-pki #建立一个空的pki结构，生成一系列的文件和目录

./easyrsa build-ca #创建ca 密码和 cn那么需要记住

./easyrsa gen-req server nopass #创建服务端证书 common name 最好不要跟前面的cn那么一样

./easyrsa sign server server #签约服务端证书

./easyrsa gen-dh #创建Diffie-Hellman

#下面是客户端的证书

#首先创建一个工作的目录

cd /home/

mkdir client && cd client

cp -R ~/easy-rsa/ ./ #这是解压过的easy-rsa 而不是生成了服务端证书的easy-rsa

cd easy-rsa/easyrsa3/

cp vars.example vars

#开始生成

./easyrsa init-pki

./easyrsa gen-req estate nopass #用自己的名字，如果创建了密码需要记住， cn name是用来区分客户端的，在对客户端做一些控制的时候会有用

#现在客户端的证书要跟服务端的交互，也就是签约，这样这个用户才能使用此***

#切换到server证书目录下

cd /etc/open***/easy-rsa/easyrsa3/

./easyrsa import-req /home/client/easy-rsa/easyrsa3/pki/reqs/estate.req esate #导入req

./easyrsa sign client esate #用户签约，根据提示输入服务端的ca密码

根据以上操作形成以下文件：

CA证书与私钥

/etc/open***/easy-rsa/easyrsa3/pki/ca.crt

/etc/open***/easy-rsa/easyrsa3/pki/private/ca.key

服务端证书与私钥

/etc/open***/easy-rsa/easyrsa3/pki/private/server.key

/etc/open***/easy-rsa/easyrsa3/pki/issued/server.crt

客户端证书与私钥

/etc/open***/easy-rsa/easyrsa3/pki/issued/estate.crt

/home/client/easy-rsa/easyrsa3/pki/private/estate.key

DHM

/etc/open***/easy-rsa/easyrsa3/pki/dh.pem

3、配置open***

3.1 将服务端证书与私钥和CA证书复制到/etc/open***/server目录

cd /etc/open***/easy-rsa/easyrsa3/pki

cp ./private/server.key /etc/open***/server

cp ./issued/server.crt /etc/open***/server

cp ./ca.crt /etc/open***/server

cp ./dh.pem /etc/open***/server

3.2 server端配置

vim /etc/open***/server.conf

local 0.0.0.0

port 1174 #监听端口

proto udp

dev tun

ca /etc/open***/server/ca.crt

cert /etc/open***/server/server.crt

key /etc/open***/server/server.key # This file should be kept secret

dh /etc/open***/server/dh.pem

server 10.8.0.0 255.255.255.0 #分配给客户端的IP段

ifconfig-pool-persist ipp.txt

push "route 192.168.1.0 255.255.255.0" #增加内网访问的路由

client-config-dir ccd #指定客户端的IP，根据客户端的common name 匹配ccd目录下的文件名，并读取文件相关内容

duplicate-cn

keepalive 10 120

cipher AES-256-CBC

persist-key

persist-tun

status open***-status.log

log /var/log/open***.log

verb 3

explicit-exit-notify 1

4.3 控制客户端IP

控制common name为estate的客户端IP地址，其他common name随机分配

cat /etc/open***/ccd/estate

ifconfig-push 10.8.0.5 10.8.0.6

或者写成以下方式：

ifconfig-push 10.8.0.200 255.255.255.0

特别注意：

ifconfig-push中的每一对IP地址表示虚拟客户端和服务器的IP端点。它们必须从连续的/30子网网段中获取(这里是/30表示xxx.xxx.xxx.xxx/30，即子网掩码位数为30)，以便于与Windows客户端和TAP-Windows驱动兼容。明确地说，每个端点的IP地址对的最后8位字节必须取自下面的集合：

[1,2] [5, 6] [9, 10] [13, 14] [17, 18] [ 21, 22] [ 25, 26] [ 29, 30] [ 33, 34] [ 37, 38] [ 41, 42] [ 45, 46] [ 49, 50] [ 53, 54] [ 57, 58] [ 61, 62] [ 65, 66] [ 69, 70] [ 73, 74] [ 77, 78] [ 81, 82] [ 85, 86] [ 89, 90] [ 93, 94] [ 97, 98] [101,102] [105,106] [109,110] [113,114] [117,118] [121,122] [125,126] [129,130] [133,134] [137,138] [141,142] [145,146] [149,150] [153,154] [157,158] [161,162] [165,166] [169,170] [173,174] [177,178] [181,182] [185,186] [189,190] [193,194] [197,198] [201,202] [205,206] [209,210] [213,214] [217,218] [221,222] [225,226] [229,230] [233,234] [237,238] [241,242] [245,246] [249,250] [253,254]

4、开启×××服务器路由转发功能

echo 1 > /proc/sys/net/ipv4/ip_forward

/sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

iptables -L -n -t nat #查看NAT表，其他表有filter、mangle

5、客户端访问控制（在服务端配置，以控制10.8.0.5为例）

#只转发217的80和443端口，其他都拒绝

iptables -A FORWARD -i tun0 -s 10.8.0.5 -d 192.168.1.217 -p tcp --dport 80 -j ACCEPT

iptables -A FORWARD -i tun0 -s 10.8.0.5 -d 192.168.1.217 -p tcp --dport 443 -j ACCEPT

iptables -A FORWARD -i tun0 -s 10.8.0.5 -j DROP

6、启动open***

systemctl restart open***@server.service

二、客户端配置