OpenVPN

Open VPN 概述

Virtual private network 虚拟私人网络，又称为虚拟专用网络，用于在不安全的线路上安全传输数据
OpenVPN 是一个实现 VPN 的开源软件
OpenVPN 是一个健壮的、高度灵活的 VPN 守护进程。它支持 SSL/TLS 安全，Ethernet brideing、经由代理的 TCP 或 UDP 隧道和NAT。另外，它也支持动态IP地址以及DHCP，可伸缩性足以支持数百或数千用户的使用场景，同时还可以移植到大多数的操作系统平台上
GitHub：https://github.com/OpenVPN/openvpn/pulse
GitHub：https://github.com/OpenVPN/openvpn
官网：https://openvpn.net/

NAT与VPN：

vpn本身就是使用了NAT技术，在VPN客户端访问局域网内部主机时，通过DNAT来实现将VPN客户端的公网IP转换成可以访问内部网络的防火墙公网地址，从而实现与内部网络通信

涉及端口

1194

Open VPN 数据流

OpenVPN 客户端首先会访问防火墙的公网IP（防火墙的公网IP通常监听1194端口，这也是 OpenVPN 的默认监听端口），然后由防火墙将客户端的请求转发给内部的 OpenVPN 服务器
OpenVPN 服务器也可以直接配置公网IP被客户端所访问但是并不安全，假设 OpenVPN 服务器配置了公网IP后被黑客所攻击无法访问后，运维等人员将无法通过这个入口直接访问公司内部网络了，反之将 OpenVPN 服务器放在防火墙后面可以大大的提高安全性
OpenVPN 客户端到防火墙一直到 OpenVPN 服务端这段的报文是加密的（因为中间涉及到了公网的各种路由转发所以不安全），从 OpenVPN 服务端到企业内部的 nginx、MySQL等服务器通常是不加密的

实现流程概述

在具有公网IP的服务器安装 openvpn 和 easy-rsa(OpenVPN旗下的证书管理工具，类似openssl)
创建CA（用于后续证书的申请和吊销）
创建服务端自签名证书
申请客户端证书（就是给生产环境中需要通过vpn访问公司内部网络的人员创建证书）

实验环境

服务名	公网地址	私网地址	子网掩码
openvpn-server	8.140.166.135	172.27.185.115/20	255.255.240.0
back-server1		172.27.185.116/20	255.255.240.0
back-server2		172.27.185.117/20	255.255.240.0
back-server2		172.27.185.118/20	255.255.240.0

openvpn 安装

官方文档 : https://openvpn.net/community-resources/how-to/#installing-openvpn

WireGuard

文件说明

wireguard-linux-compat-1.0.20220627.zip 主程序
wireguard-tools-1.0.20250521.zip 相关工具集

安装方式

主程序：解压 wireguard-linux-compat-1.0.20220627.zip进src，make 然后 make install，如果报错 ipv6_dst_lookup 注释 compat/compat.h 的93行就行，都装完后 wg version 验证。

工具集：解压 wireguard-tools-1.0.20250521.zip 进src，make 然后 make install。

配置 wg 客户端与服务端通信

服务端

服务端配置公私钥过程省略，此处仅演示重启wg网卡命令。

# 一、生成服务端私钥
wg genkey > /etc/wireguard/server-prikey

# 二、生成服务端公钥
cat /etc/wireguard/server-prikey | wg pubkey > /etc/wireguard/server-pubkey

# 三、一键生成客户端配置文件
cat > /etc/wireguard/server-wg0.conf <<EOF 
[Interface]
# 1. 服务端的私钥
PrivateKey = $(cat /etc/wireguard/server-prikey) 
# 2. 服务端的虚拟网卡 IP，这是 WireGuard 自己创建的虚拟内网 IP（Overlay IP）。它和宿主机的物理网卡 IP（管理口 IP / 业务 IP）没有任何直接关系，完全是两个维度的东西。
# 挂载在 server-wg0 或 client-wg0 这种虚拟网卡上。当物理层面的连接打通后，WireGuard 相当于在两台机器之间拉了一根“虚拟网线”，并在这个虚拟局域网里重新分配了 IP。
Address = 10.8.0.1/24

# 3. 真实物理网卡监听的udp端口，必须与客户端 Endpoint 中的端口 (50046) 保持一致
ListenPort = 50046

# (可选但推荐) 如果你要 ping 通服务端背后的 240.240.0.1，服务端需要开启 NAT 转发。
# 注意：请将下面的 eth0 替换为你服务端实际连通外网或目标网段的物理网卡名称 (可通过 ip a 命令查看)
# PostUp = iptables -A FORWARD -i server-wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
# PostDown = iptables -D FORWARD -i server-wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
EOF

# 启动服务端wg服务
systemctl enable --now wg-quick@server-wg0

# 重启 wg 网卡（可选）
wg-quick down server-wg0 && wg-quick up server-wg0

客户端

# 生成客户端私钥
wg genkey > /etc/wireguard/client-prikey

# 生成客户端公钥
cat /etc/wireguard/client-prikey | wg pubkey > /etc/wireguard/client-pubkey

# 一键生成客户端配置文件
cat > /etc/wireguard/client-wg0.conf <<EOF 
[Interface]
PrivateKey = $(cat /etc/wireguard/client-prikey) 
Address = 10.8.0.2
ListenPort = 50046

[Peer]
PublicKey = R4RJipH+D8lr9ULIL/TpTm0aYvt5W0m8fpX3GY/BnDk= # 服务端的公钥
AllowedIPs = 240.240.0.0/16
Endpoint = 10.20.8.207:50046 # 服务端的管理口IP
PersistentKeepalive = 25 
EOF

# 启动客户端wg服务
systemctl enable --now wg-quick@client-wg0

# 查看客户端，用于添加到服务端配置文件
cat /etc/wireguard/pubkey

# 重启客户端wg网卡（可选）
wg-quick down client-wg0 && wg-quick up client-wg0

客户端配置追加到服务端

在服务端执行

cat >> /etc/wireguard/server-wg0.conf <<EOF 
[Peer]
# 1. 客户端的公钥 (在客户端执行 cat /etc/wireguard/client-pubkey 得到的值)
PublicKey = d/Gd0TYpf6Zr1YsK7BDrFnQXD/WCnNVy96CDARSXGk4=

# 2. 允许该客户端使用的 IP。为了安全防欺骗，通常服务端会严格限定客户端只能使用分配给它的那个 IP
AllowedIPs = 10.8.0.2/32
EOF

测试

ping -c1 240.240.0.1 从客户端执行这个命令 ping 服务端