Openvpn构建线上局域网

参考大佬链接，搭建没有问题，在调试阶段不对 CentOS 7 搭建OpenVPN服务器_Centos7搭建vpn | abcdocker运维博客 (i4t.com)

每一个登陆的VPN客户端需要有一个证书，每个证书在同一时刻只可以一个客户端连接(可以修改配置文件)

生成过程比较慢，在此期间不要去中断它

启动成功会多一个 tun0的虚拟网卡

要导出对应的client端key 根证书 ca.crt , client.crt , client.key , ta.key

安装client http://down.i4t.com/openvpn-install-2.4.7-I606-Win10.exe

配置如下

如果一直链接不上请确认

我是在安全组卡了很久，这两只是client 与服务端链接成功，说明我们搭建openvpn已经完成了

这时已经可以直接登录到server端；

到这我们搭建openvpn已经完成了

这时已经可以直接登录到server端，但是无法登录局域网内的其他机器，因为server端未开转发

开转发还会遇到安全组问题，因此要使用SNAT替换访问的ip

参考链接 基础知识Iptables - (jianshu.com)

工具使用tcpdump 监听网卡 参考链接 tcpdump详细教程 - (jianshu.com)

#监听tun0网卡上访问 192.168.10.118数据

tcpdump -n -i tun0 host 192.168.10.118

在客户端ping ，发现有去无会，一看ip都是10.8.x.x 肯定无法过安全组，因此用iptables替换ip，整个服务就可用了

随着许多企业业务的扩展，企业分支也在不断扩展，从同一个城市到遍布全国各地，甚至向全球发展。广泛的分支，也为企业的部门领导带来了新问题�如何将各分支与中心实现数据、话音、视频业务互通呢？一种方便、经济、灵活、安全的方式随着Internet的发展应运而生，这就是企业的IPSec VPN。

IPSecVPN就是在IP传输上通过加密隧道的方式，用公网传送内部专网的内容，传输时保证内部数据的安全性。

企业利用Internet建立自己的IPSecVPN有许多便利条件。

经济性优势明显

不再承担昂贵的固定线路的租费。DDN、帧中继、SDH的异地收费随着通信距离的增加而递增，分支越远，租费越高。而Internet的接入费用则只承担本地的接入费用，无论分支多远，费用却是一样的。因此，连接长途分支时，采用Internet作为传输骨干是非常便宜的，但带宽却可以较高。此外，VPN设备也是功能强劲但造价低廉的。

连接方式灵活

连接Internet的方式可以是10M、100M端口，也可以是2M或更低速的端口，还可以是便宜的DSL连接，甚至于拨号连接都可以连接Internet，因而成为种类众多的端口选择的连接方式。

可以连接到任意Internet通达的地点，不受距离和运营商的网络限制。一个IPSecVPN网络可以连接任意地点的分支，即使跨越大洋也毫不受限制。而本地的接入可以选择Internet服务提供最好的运营商，以求得到最优服务。

高度的可扩展性

IPSecVPN可以以低廉的价格连接少量的分支，也适合连接众多的分支。对社会保险行业、零售行业等众多的客户群，大量分支连接是IT部门领导头痛的事情。而IPSecVPN的核心设备的扩展性好，一个端口可以同时连接成千上万的分支，包括分支部门和移动办公的用户，而不用SDH、DDN等一个端口对应一个远端用户。

可实现多业务

远程的IP话音业务和视频也可传送到远端分支和移动用户，连同数据业务一起，为现代化办公提供便利条件，节省大量长途话费。

充分的冗余设计

VPN设备提供冗余机制，保证链路和设备的可靠性。在中心节点VPN核心设备提供冗余CPU、冗余电源的硬件冗余设计。链路发生故障时，VPN交换机支持静态隧道故障恢复功能。安全IP服务网关可以在多条路由选择路径以及多个交换机之间实现负载均衡。

此外在连接时，VPN客户端会自动选择通信列表中设置的本区域的骨干节点，当本区域节点发生故障时，自动依列表上的设置选择连接其他VPN交换机，从而达到连接的目的。

编者按：企业利用Internet建立自己的IPSecVPN，除了本文上篇所谈到的具有经济性、方式灵活、可扩展性高、业务多样以及充分的冗余设计等特点之外，还具有安全、通道分离、动/静态路由以及管理方便等突出的优势。

安全性高

IPSecVPN的显著特点就是它的安全性，这是它保证内部数据安全的根本。在VPN交换机上，通过多种方式保证层层安全。VPN产品提供的安全性包括：支持所有领先的通道协议、数据加密、过滤/防火墙、可通过RA�DIUS和LDAP以及SecurID实现授权。

Contivity交换机安全特性 Contivity交换机安全好处

安全SocketsLayerv3 确保LDAP连接

IPSec、PPTP、L2TP、L2F 提供先进的通道支持

RADIUS、PAP、CHAP、Tokens、X.509、LDAP 提供大量授权方法

DES、Triple－DES、和RC4 提供加强的加密支持

VPN设备可提供内置防火墙功能，可以在VPN通道之外，从公网到私网接口传输流量。内置防火墙可以设置在每个逻辑端口，提供很大的灵活性。此外，在用户认证、计费方面，可通过RADIUS、PAP、CHAP、Tokens、X.509、LDAP和SecurID，提供大量授权方法，如Entrust＆VeriSign数字认证——使用数字认证（X.509）提供业界领先的VPN安全特性。

通道分离确保网络使用的灵活性

VPN交换机的分离通道特性为IPSec客户端提供同时对Internet、Extranet和本地网络访问的支持。它可以设置权限，允许用户的访问权限，如允许本地打印和文件共享访问，允许直接Internet访问和允许安全外网访问。该特性使用户在安全条件下合理方便地使用网络资源，既有安全性又有灵活性。

动、静态路由

RIPv1和RIPv2、OSPF——简化地址路由的配置。众多的用户和复杂的路由需要路由协议的支持使得整个网络的地址管理方便有效。RIP和OSPF协议使得VPN设备之间像路由器一样连接和扩展，适合网络规模的不断扩大，而且动态路由协议可在加密隧道中支持。

管理特性管

理人员可以通过管理软件和远程配置达到对远端节点的管理，非常方便。

以上特性促进了VPN的发展，许多世界500强的企业也把VPN作为远端分支和移动用户连接的主要手段。北电网络的Contivity安全IP网关作为全球销量最好的VPN产品被大量使用。在国内，大量企业开始考虑这种方式，许多企业进行了实施。这种经济、方便、灵活、可扩展的方式逐步成为企业用户的新宠。

---