OpenVPN的配置和使用

　　OpenVPN是一个用于创建虚拟专用网络加密通道的软件包，允许创建的VPN使用公开密钥、数字证书、或者用户名／密码来进行身份验证。OpenVPN能在Solaris、Linux、OpenBSD、FreeBSD、NetBSD、Mac OS X与Windows 2000/XP/Vista/7以及Android和iOS上运行，并包含了许多安全性的功能。

　　配置OpenVPN 2.0的第一步是建立一个PKI(public key infrastructure 公钥基础设施)。PKI包括:

• 服务端和每个客户端都有一个证书(也称做公钥)和私钥
• 一个认证机构(CA)的证书和私钥，用来为每一个服务端和客户端颁发证书(sign each of the server and client certificates)。

　　OpenVPN 支持基于证书的双向认证，也就是说客户端需认证服务端，服务端也要认证客户端，

　　服务端和客户端验证对方的第一步是验证对方提供的证书是由认证机构(CA)颁发的。然后测试第一步认证通过的证书的头部信息，如：证书的common name，证书的类型(客户端还是服务端)。

　　从VPN的观点来看，这一安全模式满足一系列要求:

• 服务端仅仅需要它自己的证书/私钥对 -- 它不需要知道客户端的证书。
• 服务端仅仅接受拥有CA颁发的证书的客户端。因为服务端检查证书是否由CA颁发时并不需要访问 CA的私钥，这样就可以将CA的私钥(整个PKI中最重要的私钥)放在另一台机子上。
• 如果一个私钥(is compromised)，通过将它的证书加入CRL(证书吊销列表)可以禁止这一私钥。 CRL允许有选择地拒绝compromised 证书而不需要重建整个PKI。
• 基于嵌入的证书域比如Vommon Name，服务端能够加强客户端待定(client-specific)访问权限 (access fights)。

生成认证机构(master Certificate Authority(CA))证书 & 私钥

　　在这一节我们生成一个认证机构(master CA)证书/私钥，一个服务端证书/私钥，两个客户端的证书/私钥。

　　我们使用OpenVPN捆绑的一组脚本。

　　在Linux下打开一个Sehll，进入OpenVPN下的easy-rsa目录。如果OpenVPN是从RPM包安装的，easy-rsa目录通常在/usr/share/doc/packages/openvpn或/usr/share/doc/openvpn-2.0目录下(最好在改动之前将这一目录拷到别的地方，比如/etc/openvpn，以免以后OpenVPN的升级覆盖所做的改动)。

　　在Windows下，打开一个命令行窗口进入\Program Files\OpenVPN\easy-rsa目录，运行下面的批处理文件将配置文件拷到正确的位置(这一命令会覆盖先前存在的vars.bat和openssl.cnf文件)。

init-config

　　编辑vars文件(在Windows下是vars.bat)设置KEY_COUNTRY、KEY_PROVINCE、 KEY_CITY, KEY_ORG和KEY_EMAIL参数，这些参数不能有一个是空白。

　　下一步，初始化PKI，Linux下：

. ./vars

          
原标题：OpenVPN的配置和使用
          
关键词：