硬體拜拜：方便X價廉X安全的OpenVPN

前言

第1章 認識OpenVPN
1.1 OpenVPN 的選項
∥ 1.1.1 通道選項
∥ 1.1.2 伺服器模式選項
∥ 1.1.3 使用者端模式選項
∥ 1.1.4 資料通道加密選項
∥ 1.1.5 TLS 模式選項
∥ 1.1.6 TUN/TAP 持久通道設定模式
∥ 1.1.7 PKCS#11 獨立選項
1.2 指令稿和環境變數
∥ 1.2.1 指令稿的執行順序
∥ 1.2.2 字串型態和重新映射
∥ 1.2.3 環境變數
1.3 可用訊號
1.4 TUN/TAP 驅動設定
1.5 範例
∥ 1.5.1 TUN/TAP設定
∥ 1.5.2 Firewall 設定
∥ 1.5.3 VPN位址設定
∥ 1.5.4 例1: 沒有安全保護的簡單VPN通道
∥ 1.5.5 例2:使用靜態安全金鑰的VPN通道
∥ 1.5.6 例3:基於TLS的秘密頻道目錄
Contents
∥ 1.5.7 路由設定
1.6 防火牆設定

第2章 安裝OpenVPN 伺服器
2.1 相關軟體的安裝
∥ 2.1.1 安裝TUN/TAP驅動
∥ 2.1.2 安裝OpenSSL函數庫
∥ 2.1.3 安裝lzo
2.2 安裝OpenVPN 伺服器
∥ 2.2.1 下載OpenVPN伺服器
∥ 2.2.2 解壓縮並安裝OpenVPN伺服器
∥ 2.2.3 安裝OpenVPN後的目錄結構
∥ 2.2.4 建立憑證
2.3 啟動OpenVPN 伺服器
∥ 2.3.1 命令列方式啟動
∥ 2.3.2 後台服務方式啟動

第3章 分析OpenVPN 安裝套件中的部分目錄和檔案
3.1 sample-keys 目錄
3.2 sample-config-files 目錄
∥ 3.2.1 OpenVPN 執行在C/S 多使用者端下的範例設定檔
∥ 3.2.2 OpenVPN 執行在SSL/TLS 模式下的範例設定檔
∥ 3.2.3 OpenVPN 執行在預共用的靜態金鑰方式下的範例設定檔
∥ 3.2.4 OpenVPN用於測試的TLS範例設定檔
∥ 3.2.5 相關的指令檔
3.3 sample-scripts 目錄
∥ 3.3.1 auth-pam.pl 檔案
∥ 3.3.2 ucn.pl 檔案
∥ 3.3.3 verify-cn 檔案
∥ 3.3.4 b r i d g e - s t a r t、b r i d g e - s t o p 和
openvpn.init 檔案
3.4 easy-rsa 目錄
3.5 plugin 目錄
∥ 3.5.1 auth-pam 外掛程式
∥ 3.5.2 down-root 外掛程式
∥ 3.5.3 defer 外掛程式

第4章 OpenVPN使用者端的安裝
4.1 Windows 系統下安裝OpenVPN 使用者端
∥ 4.1.1 安裝OpenVPN使用者端
∥ 4.1.2 執行OpenVPN使用者端
4.2 Linux 系統下安裝OpenVPN 使用者端
∥ 4.2.1 安裝OpenVPN使用者端
∥ 4.2.2 執行OpenVPN使用者端
4.3 Mac 系統下安裝OpenVPN 使用者端
∥ 4.3.1 安裝OpenVPN使用者端
∥ 4.3.2 執行OpenVPN使用者端
4.4 對其他使用者端的支援
∥ 4.4.1 IOS系統下安裝OpenVPN使用者端
∥ 4.4.2 Android 系統下安裝OpenVPN使用者端
∥ 4.4.3 Windows Mobile 系統下安裝
OpenVPN 使用者端

第二部分 OpenVPN 的應用

第5章 OpenVPN 的兩種使用者登入驗證方式
5.1 憑證驗證方式
∥ 5.1.1 憑證的使用
∥ 5.1.2 吊銷憑證
5.2 使用者名稱/ 密碼驗證方式
5.3 指令稿驗證方式
∥ 5.3.1 下載並編輯指令稿
∥ 5.3.2 編輯一個密碼檔案
∥ 5.3.3 存取測試
5.4 使用MySQL 驗證OpenVPN 使用者登入存取
∥ 5.4.1 下載pam_mysql 模組
∥ 5.4.2 解壓縮pam_mysql 模組
∥ 5.4.3 認識configure 選項
∥ 5.4.4 安裝pam_mysql 模組
∥ 5.4.5 建立mysql 表
∥ 5.4.6 設定pam_mysql 模組
∥ 5.4.7 存取測試
5.5 使用OpenLDAP 驗證OpenVPN使用者登入存取
∥ 5.5.1 下載openvpn-auth-ldap外掛程式
∥ 5.5.2 安裝必要的相關軟體
∥ 5.5.3 安裝OpenlDAP
∥ 5.5.4 安裝auth-ldap
∥ 5.5.5 認識auth-ldap
∥ 5.5.6 實例執行

第6章 OpenVPN 的兩種典型應用
6.1 多個遠端單使用者存取內網
6.2 連接兩個區域網路
∥ 6.2.1 安裝OpenVPN 伺服器端和使用者端 
∥ 6.2.2 內網機器的設定

第7章 OpenVPN 的兩種執行模式
7.1 橋接器
∥ 7.1.1 什麼是橋接器
∥ 7.1.2 橋接器的實現方式
7.2 Linux 下實現橋接器
∥ 7.2.1 安裝bridge-utils
∥ 7.2.2 安裝後的目錄結構
7.3 brctl 指令
∥ 7.3.1 設定橋接器的實例
∥ 7.3.2 設定橋接器的通訊埠
∥ 7.3.3 MAC 地址管理
∥ 7.3.4 設定產生樹狀協定
7.4 橋接模式OpenVPN
∥ 7.4.1 橋接器管理
∥ 7.4.2 修改設定檔
∥ 7.4.3 啟動橋接器式OpenVPN伺服器
∥ 7.4.4 檢視伺服器端的網路情況
∥ 7.4.5 使用者端連接OpenVPN伺服器
∥ 7.4.6 檢視使用者端的網路情況
7.5 路由模式OpenVPN
∥ 7.5.1 修改設定檔
∥ 7.5.2 啟動路由模式OpenVPN伺服器
∥ 7.5.3 檢視伺服器端的網路情況
∥ 7.5.4 開啟路由轉發
∥ 7.5.5 使用者端連接OpenVPN伺服器
∥ 7.5.6 檢視使用者端的網路情況

第8章 管理OpenVPN 伺服器
8.1 管理指令
8.2 管理訊息輸出格式
8.3 即時訊息格式
8.4 CLIENT 通知格式
8.5 指令解析
8.6 管理工具的使用
∥ 8.6.1 命令列工具——telnet
∥ 8.6.2 OpenVPN MI GUI工具
∥ 8.6.3 OpenVPN-Admin 工具
8.7 實現OpenVPN 伺服器的高可用性
∥ 8.7.1 使用者端實現
∥ 8.7.2 伺服器端實現
∥ 8.7.3 實例
8.8 使用者端IP 位址的使用
∥ 8.8.1 net30 模式
∥ 8.8.2 subnet 模式
∥ 8.8.3 p2p 模式

第9章 控制OpenVPN使用者的存取
9.1 封包過濾檔案格式
∥ 9.1.1 限制物件
∥ 9.1.2 過濾檔案語法
9.2 設定OpenVPN 伺服器
∥ 9.2.1 編譯minimal_pf.so 模組
∥ 9.2.2 撰寫指令稿
∥ 9.2.3 策略檔案
9.3 啟動OPenVPN 伺服器
9.4 實例測試
∥ 9.4.1 針對使用者的限制
∥ 9.4.2 針對IP的限制
9.5 透過iptables 防火牆規則限制 
∥ 9.5.1 OpenVPN的設定檔
∥ 9.5.2 針對OpenVPN使用者的防火牆策略
∥ 9.5.3 針對OpenVPN 使用者群組的防火牆策略

第三部分 應用案例-- 使用
FreeRADIUS 驗證
OpenVPN 使用者登入

第10 章 方案一：MySQL 後台
10.1 安裝FreeRADIUS
∥ 10.1.1 下載FreeRADIUS
∥ 10.1.2 出錯處理
∥ 10.1.3 安裝FreeRADIUS後的目錄結構
10.2 安裝RadiusPlugin
∥ 10.2.1 下載RadiusPlugin
∥ 10.2.2 解決相關問題
∥ 10.2.3 安裝RadiusPlugin
10.3 相關設定
∥ 10.3.1 設定FreeRADIUS
∥ 10.3.2 增加資料庫
∥ 10.3.3 設定RadiusPlugin
∥ 10.3.4 設定OpenVPN
10.4 啟動服務
∥ 10.4.1 啟動FreeRADIUS 伺服器
∥ 10.4.2 啟動OpenVPN伺服器
10.5 OpenVPN 使用者登入驗證
∥ 10.5.1 增加OpenVPN使用者端使用者
∥ 10.5.2 測試OpenVPN使用者
∥ 10.5.3 OpenVPN使用者端登入
10.6 了解OpenVPN 的使用情況
10.7 使用daloRADIUS Web 程式
∥ 10.7.1 下載安裝
∥ 10.7.2 解決相關前提
∥ 10.7.3 匯入資料庫
∥ 10.7.4 設定資料庫連接
∥ 10.7.5 使用daloRADIUS
10.8 禁止使用者登入
∥ 10.8.1 透過操作MySQL 資料庫禁止使用者登入
∥ 10.8.2 透過daloRADIUS Web 應用程式禁止使用者登入

第11 章 方案二：OpenLDAP後台
11.1 下載安裝FreeRADIUS-Server-2.1
∥ 11.1.1 編譯安裝
∥ 11.1.2 安裝後的目錄結構
11.2 相關設定
∥ 11.2.1 設定FreeRADIUS-Server
∥ 11.2.2 設定OpenLDAP
∥ 11.2.3 設定RadiusPlugin
11.3 啟動服務
∥ 11.3.1 啟動FreeRADIUS 伺服器
∥ 11.3.2 啟動OpenVPN伺服器
∥ 11.3.3 啟動OpenLDAP 伺服器
11.4 OpenVPN 使用者登入驗證
∥ 11.4.1 增加OpenVPN使用者端使用者
∥ 11.4.2 登入測試
∥ 11.4.3 OpenVPN使用者端登入
11.5 禁止使用者登入
∥ 11.5.1 透過LAM Web 應用程式
∥ 11.5.2 使用ldapdelete

第四部分 商用OpenVPN 伺服器

第12 章 OpenVPN_AS 伺服器
12.1 認識OpenVPN Access Server
∥ 12.1.1 OpenVPN Access Server 系統的構成
∥ 12.1.2 OpenVPN Access Server 開啟的通訊埠和服務
∥ 12.1.3 OpenVPN Access Server 在網路中的佈署圖
∥ 12.1.4 OpenVPN Access Server 的使用者認證和管理
∥ 12.1.5 Virtual VPN 子網設定
∥ 12.1.6 Admin Web UI 的主選單
12.2 安裝OpenVPN_AS 伺服器
∥ 12.2.1 下載並安裝OpenVPN_AS 伺服器 
∥ 12.2.2 安裝OpenVPN_AS 後的目錄結構 
12.3 設定OpenVPN_AS 伺服器
∥ 12.3.1 伺服器狀態(Status)
∥ 12.3.2 AS伺服器設定(Configuration)
∥ 12.3.3 使用者管理(User Management)
∥ 12.3.4 設定使用者的認證方式(Authentication)
∥ 12.3.5 工具（Tools）
12.4 防火牆設定
∥ 12.4.1 執行中的規則
∥ 12.4.2 將執行的規則儲存為檔案
12.5 使用OpenVPN_AS 伺服器
∥ 12.5.1 啟動OpenVPN_AS伺服器
∥ 12.5.2 使用者端的安裝及存取
∥ 12.5.3 使用LDAP方式驗證OpenVPN
使用者

序

　　隨著網際網路的發展和電腦技術的普及，在網路中傳輸的資料的安全也尤為重要，因此在很多地方都使用了虛擬私有網路，也就是我們所說的VPN。透過使用VPN，在兩個連接在公網的點上建構一條虛擬通道，這樣，傳輸在此通道中的資料將被視為是安全的資料。

　　在實現VPN 的技術中，有Cisco 提供的專用裝置，由硬體實現，還有其他透過軟體實現的VPN。在許多的VPN 產品中，OpenVPN 以其優秀的效能被開放原始碼市場認可，尤其是它對網路的強大穿透力。

　　OpenVPN 就是VPN 的一個實作方式，它穿透能力強，是所有VPN 產品中的佼佼者，不但效能優秀，而且是開放原始碼軟體，可以免費使用，並進行延伸開發。OpenVPN 提供了多種平台的安裝版本，此外，它還提供了許多種類別的使用者端，包含Windows、Linux 和MAC 下的使用者端，以及各種行動裝置的使用者端安裝套件。