网络进行时

环境公司内网一台 CentOS 6.6 服务器 A，网卡eth0 内网IP：192.168.8.60， 公司公网IP为 116.228.12.88， 使用路由器的 DMZ 功能把公网映射到内网服务器A（即内网IP：192.168.8.60）。

1、在服务器上安装OpenVPN。由于默认的Centos软件源里面没有OpenVPN的软件包，可以通过添加rpmforge的repo，从而实现yum安装openvpn。
针对CentOS 5

rpm -ivh http://apt.sw.be/redhat/el5/en/x86_64/rpmforge/RPMS/rpmforge-release-0.5.2-2.el5.rf.x86_64.rpm

针对CentOS 6

rpm -ivh http://apt.sw.be/redhat/el6/en/x86_64/rpmforge/RPMS/rpmforge-release-0.5.2-2.el6.rf.x86_64.rpm

注意：服务器是32位还是64位，由于我的服务器安装centos 是64位，所以上传安装的源是64位，如果是32位，可以通过浏览地址：http://apt.sw.be/redhat/el6/en 找到对应的版本的地址。

2、生成OpenVPN 所需的证书。

OpenVPN 自带了 easy-rsa 工具，可以通过它很方便的生成所需的证书。复制 工具目录到 /etc/openvpn 下并赋予执行权限。

cp -R /usr/share/doc/openvpn-*/easy-rsa /etc/openvpn 
cd /etc/openvpn/easy-rsa/2.0
chmod +x  *

执行下述命令创建证书。

ln -s openssl-1.0.0.cnf openssl.cnf
. vars
./clean-all
./build-ca server
./build-key-server server
./build-key client
./build-dh

3、创建 OpenVPN 的配置文件server.conf, 文件放在 /etc/openvpn

port        1194
proto       tcp
dev         tun
ca          /etc/openvpn/easy-rsa/2.0/keys/ca.crt
cert        /etc/openvpn/easy-rsa/2.0/keys/server.crt
key         /etc/openvpn/easy-rsa/2.0/keys/server.key
dh          /etc/openvpn/easy-rsa/2.0/keys/dh1024.pem
server      10.1.1.0 255.255.255.0

auth-user-pass-verify   /etc/openvpn/auth/checkpsw.sh via-env
script-security 3 system
client-cert-not-required
username-as-common-name

push        "redirect-gateway def1 bypass-dhcp"
push        "dhcp-option DNS 8.8.8.8"
push        "dhcp-option DNS 114.114.114.114"
log         /var/log/openvpn.log
keepalive   10 120
verb        3
client-to-client
comp-lzo
persist-key
persist-tun

其中server 后面对应的IP 是指VPN虚拟的网段，也就是客户端获取IP就是在这个段中，注意，不要和现有的局域网IP段有冲突。
auth-user-pass-verify 下面的四行是配置客户端可以使用用户名密码的方式认证，特别注意一定要加上 script-security 3 system， 后面的system 也不能少，我就是在这个上面浪费好多时间。

checkpsw.sh 脚本内容如下：

#!/bin/sh
PASSFILE="/etc/openvpn/auth/psw-file"
LOG_FILE="/etc/openvpn/auth/openvpn-password.log"
TIME_STAMP=`date "+%Y-%m-%d %T"`

if [ ! -r "${PASSFILE}" ]; then
  echo "${TIME_STAMP}: Could not open password file \"${PASSFILE}\" for reading." >> ${LOG_FILE}
  exit 1
fi

CORRECT_PASSWORD=`awk '!/^;/&&!/^#/&&$1=="'${username}'"{print $2;exit}' ${PASSFILE}`

if [ "${CORRECT_PASSWORD}" = "" ]; then
  echo "${TIME_STAMP}: User does not exist: username=\"${username}\", password=  \"${password}\"." >> ${LOG_FILE}
  exit 1
fi

if [ "${password}" = "${CORRECT_PASSWORD}" ]; then
  echo "${TIME_STAMP}: Successful authentication: username=\"${username}\"." >> ${LOG_FILE}
  exit 0
fi

echo "${TIME_STAMP}: Incorrect password: username=\"${username}\", password= \"${password}\"." >> ${LOG_FILE}
exit 1

其中 PASSFILE 是用户名密码的文件路径，LOG_FILE 输出的日志文件。 注意：checkpsw.sh 需要有执行权限。PASSFILE 的格式为：用户名+空格+密码， 例如：

netingcn mypassword

4、启动OpenVPN并将设置其为开机自动启动。

启动服务
/etc/init.d/openvpn start

加入开机自动启动
chkconfig openvpn on

OpenVPN 服务的日志位于 /var/log/openvpn.log， 如果启动异常，可以查看该日志，一般情况是由于生产证书那里出现问题，可以重新生成一次。

5、服务器其他设置。
关闭selinux

sed -i '/^SELINUX=/c\SELINUX=disabled' /etc/selinux/config

开启ip forward

sed -i '/net.ipv4.ip_forward/s/0/1/g' /etc/sysctl.conf 
sysctl -w net.ipv4.ip_forward=1

开启iptables NAT

iptables -t nat -A POSTROUTING -s 10.1.1.0/24 -j SNAT --to-source 192.168.8.60

特别注意：to source 的值，有些文章提到是公司的公网IP，这个说法有些不太准确，如果该服务器的网卡绑定是公网IP，也就是说作为路由服务器，那么就是用公网IP，由于我的这台服务器是局域网内的一台机器，只有局域网IP，所以这里用的是本机的IP。

如果没有添加iptables 规则，出现的结果是能连上vpn server，但是不能上网。另外可能还需要用到的规则如下：

iptables -A FORWARD -i tun0 -s 10.1.1.0/24 -j ACCEPT
iptables -A FORWARD -i eth0 -d 10.1.1.0/24 -j ACCEPT
iptables -I INPUT -p tcp --dport 1194 -m comment --comment "openvpn" -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.1.1.0/24 -o eth0 -j MASQUERADE

客户端官网下载地址:https://openvpn.net/index.php/download/community-downloads.html。

下面以Win 7 客户端为例，安装好客户端后，打开默认安装路径：C:\Program Files\OpenVPN\config， 在下面建立一个 client.ovpn 文件，
证书认证方式的内容如下：

client
dev tun
proto tcp
remote 116.228.12.88 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
comp-lzo
verb 3
redirect-gateway def1
route-method exe
route-delay 2

需要复制服务器的 ca.crt，client.crt 和 client.key 到当前目录， remote 用公司公网IP

用户名密码认证的方式如下：

client
dev tun
proto tcp
remote 116.228.208.10 2294
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
;auth-user-pass
auth-user-pass pass.txt
comp-lzo
verb 3
redirect-gateway def1
route-method exe
route-delay 2

只需要复制服务器的 ca.crt 到当前目录即可，同时在当前目录建立一个名为 pass.txt，把用户名密码填入，注意格式为：

用户名
密码

至此配置完成，右键点击客户端然后选connect，应该就可以连上。