本文由秀依林楓提供友情贊助，首發(fā)于爛泥行天下
在上一篇文章《爛泥：Ubuntu 14.04搭建OpenVPN服務(wù)器》中，我們主要講解了openvpn的搭建與使用，這篇文章我們來詳細介紹下有關(guān)openvpn的相關(guān)配置文件。
openvpn的配置文件主要有三個：vars、server.conf、client.conf，下面我們對這三個配置文件進行一一的詳解。
一、vars配置文件
vars配置文件的主要內(nèi)容如下：
cat vars |grep -vE "^#|^$"
KEY_DIR定義key生成的目錄。
KEY_SIZE定義生成私鑰的大小，一般為1024或2048，默認為2048位。這個就是我們在執(zhí)行build-dh命令生成dh2048文件的依據(jù)。
CA_EXPIRE定義CA證書的有效期，默認是3650天，即10年。
KEY_EXPIRE定義密鑰的有效期，默認是3650天，即10年。
KEY_COUNTRY定義所在的國家。
KEY_PROVINCE定義所在的省份。
KEY_CITY定義所在的城市。
KEY_ORG定義所在的組織。
KEY_EMAIL定義郵箱地址。
KEY_OU定義所在的單位。
KEY_NAME定義openvpn服務(wù)器的名稱。
以上就是vars配置文件的全部內(nèi)容，有關(guān)vars配置文件的使用，我們也可以系統(tǒng)的默認配置。
二、server.conf服務(wù)器端配置文件
服務(wù)器端配置文件server.conf，是這三個配置文件中最重要的一個，也是所有對openvpn客戶端推送的信息，都是通過這個文件進行配置的。
grep -vE "^#|^$" server.conf
;local a.b.c.d
定義openvpn監(jiān)聽的ip地址，如果是服務(wù)器單網(wǎng)卡的也可以不注明，但是服務(wù)器是多網(wǎng)卡的建議注明。
port 1194
定義openvpn監(jiān)聽的的端口，默認為1194端口。
proto tcp
;proto udp
定義openvpn使用的協(xié)議，默認使用UDP。如果是生產(chǎn)環(huán)境的話，建議使用TCP協(xié)議。
dev tun
;dev tap
定義openvpn運行時使用哪一種模式，openvpn有兩種運行模式一種是tap模式，一種是tun模式。
tap模式也就是橋接模式，通過軟件在系統(tǒng)中模擬出一個tap設(shè)備，該設(shè)備是一個二層設(shè)備，同時支持鏈路層協(xié)議。
tun模式也就是路由模式，通過軟件在系統(tǒng)中模擬出一個tun路由，tun是ip層的點對點協(xié)議。
具體使用哪一種模式，需要根據(jù)自己的業(yè)務(wù)進行定義。
ca ca.crt
定義openvpn使用的CA證書文件，該文件通過build-ca命令生成，CA證書主要用于驗證客戶證書的合法性。
cert vpnilanni.crt
定義openvpn服務(wù)器端使用的證書文件。
key vpnilanni.key
定義openvpn服務(wù)器端使用的秘鑰文件，該文件必須嚴格控制其安全性。
dh dh2048.pem
定義Diffie hellman文件。
server 10.8.0.0 255.255.255.0
定義openvpn在使用tun路由模式時，分配給client端分配的IP地址段。
ifconfig-pool-persist ipp.txt
定義客戶端和虛擬ip地址之間的關(guān)系。特別是在openvpn重啟時,再次連接的客戶端將依然被分配和斷開之前的IP地址。
;server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100
定義openvpn在使用tap橋接模式時，分配給客戶端的IP地址段。
;push "route 192.168.10.0 255.255.255.0"
向客戶端推送的路由信息，假如客戶端的IP地址為10.8.0.2，要訪問192.168.10.0網(wǎng)段的話，使用這條命令就可以了。
;client-config-dir ccd
這條命令可以指定客戶端IP地址。
使用方法是在/etc/openvpn/創(chuàng)建ccd目錄，然后創(chuàng)建在ccd目錄下創(chuàng)建以客戶端命名的文件。比如要設(shè)置客戶端 ilanni為10.8.0.100這個IP地址，只要在 /etc/openvpn/ccd/ilanni文件中包含如下行即可:
ifconfig-push 10.8.0.200 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
這條命令可以重定向客戶端的網(wǎng)關(guān)，在進行FQ時會使用到。
;push "dhcp-option DNS 208.67.222.222"
向客戶端推送的DNS信息。
假如客戶端的IP地址為10.8.0.2，要訪問192.168.10.0網(wǎng)段的話，使用這條命令就可以了。如果有網(wǎng)段的話，可以多次出現(xiàn)push route關(guān)鍵字。同時還要配合iptables一起使用。
client-to-client
這條命令可以使客戶端之間能相互訪問，默認設(shè)置下客戶端間是不能相互訪問的。
duplicate-cn
定義openvpn一個證書在同一時刻是否允許多個客戶端接入，默認沒有啟用。
keepalive 10 120
定義活動連接保時期限
comp-lzo
啟用允許數(shù)據(jù)壓縮，客戶端配置文件也需要有這項。
;max-clients 100
定義最大客戶端并發(fā)連接數(shù)量
;user nobody
;group nogroup
定義openvpn運行時使用的用戶及用戶組。
persist-key
通過keepalive檢測超時后，重新啟動VPN，不重新讀取keys，保留第一次使用的keys。
persist-tun
通過keepalive檢測超時后，重新啟動VPN，一直保持tun或者tap設(shè)備是linkup的。否則網(wǎng)絡(luò)連接，會先linkdown然后再linkup。
status openvpn-status.log
把openvpn的一些狀態(tài)信息寫到文件中，比如客戶端獲得的IP地址。
log openvpn.log
記錄日志，每次重新啟動openvpn后刪除原有的log信息。也可以自定義log的位置。默認是在/etc/openvpn/目錄下。
;log-append openvpn.log
記錄日志，每次重新啟動openvpn后追加原有的log信息。
verb 3
設(shè)置日志記錄冗長級別。
;mute 20
重復(fù)日志記錄限額
以上就是openvpn服務(wù)器端server.conf配置文件的內(nèi)容。
三、client.conf客戶端配置文件
openvpn客戶端的配置文件client.conf比較簡單，如下：
grep -vE "^#|^;|^$" client.ovpn
client
定義這是一個client，配置從server端pull拉取過來，如IP地址，路由信息之類，Server使用push指令推送過來。
dev tun
定義openvpn運行的模式，這個地方需要嚴格和Server端保持一致。
proto tcp
定義openvpn使用的協(xié)議，這個地方需要嚴格和Server端保持一致。
remote 192.168.1.8 1194
設(shè)置Server的IP地址和端口，這個地方需要嚴格和Server端保持一致。
如果有多臺機器做負載均衡，可以多次出現(xiàn)remote關(guān)鍵字。
;remote-random
隨機選擇一個Server連接，否則按照順序從上到下依次連接。該選項默認不啟用。
resolv-retry infinite
始終重新解析Server的IP地址（如果remote后面跟的是域名），保證Server IP地址是動態(tài)的使用DDNS動態(tài)更新DNS后，Client在自動重新連接時重新解析Server的IP地址。這樣無需人為重新啟動，即可重新接入VPN。
nobind
定義在本機不邦定任何端口監(jiān)聽incoming數(shù)據(jù)。
persist-key
persist-tun
ca ca.crt
定義CA證書的文件名，用于驗證Server CA證書合法性，該文件一定要與服務(wù)器端ca.crt是同一個文件。
cert laptop.crt
定義客戶端的證書文件。
key laptop.key
定義客戶端的密鑰文件。
ns-cert-type server
Server使用build-key-server腳本生成的，在x509 v3擴展中加入了ns-cert-type選項。防止client使用他們的keys ＋ DNS hack欺騙vpn client連接他們假冒的VPN Server，因為他們的CA里沒有這個擴展。
comp-lzo
啟用允許數(shù)據(jù)壓縮，這個地方需要嚴格和Server端保持一致。
verb 3
設(shè)置日志記錄冗長級別。
新聞熱點
疑難解答
