對你在互聯(lián)網(wǎng)上傳送的數(shù)據(jù)采取一層妥當(dāng)安然的加密機(jī)制，以挫敗各類各樣的窺視勾當(dāng)，這總回是謹(jǐn)嚴(yán)的步履;因為我們的當(dāng)局大年夜量獲得每則信息，此舉顯得愈發(fā)地首要。說到呵護(hù)在不成相信的收集上傳送的數(shù)據(jù)，OpenVPN是首要選擇。本文將簡要介紹一下若何設(shè)置OpenVPN，那樣即便你出門在外，也能夠安然地拜候本身的家庭辦事器。
先簡單地說一說VPN：市道上有良多并不是名至實回的商用VPN。它們其實不比由SSL呵護(hù)的網(wǎng)站強(qiáng)一點(diǎn)，因為它們信賴所有客戶機(jī)。真實的VPN(虛擬專用網(wǎng))經(jīng)由過程不成相信的收集連接兩個可托賴的端點(diǎn)設(shè)備。你底子沒法從隨便找到的任何一臺電腦登錄上往，這是功德，因為你大年夜概也大白這個事理：從一個被傳染的主機(jī)登錄到你的專有收集是件壞事，不管收集連接本身有多么安然。所以，你必需同時建設(shè)辦事器和客戶機(jī)。
OpenVPN快速進(jìn)門
你需要在不合子網(wǎng)上的兩臺電腦，好比統(tǒng)一個收集上的一臺有線電腦和一臺無線電腦(或在Virtualbox中的幾個Linux訪客系統(tǒng))，你還要知道這兩臺電腦的IP地址。假定把示例中的這兩臺電腦別離定名為Studio和Shop。在這兩臺電腦上都安裝OpenVPN。OpenVPN內(nèi)置在大年夜大都Linux發(fā)行版中，所以你可以借助常常利用的法度包治理器來安裝它。本文這個示例合用于Debian、Ubuntu及浩繁的派生版本：
$ sudo apt-get install openvpn openvpn-blacklist
該號令可安裝辦事器和查抄已泄密密鑰黑名單的一個小法度。你必需安裝這個黑名單查抄法度!因為疇前Debian發(fā)行了一款破損版的OpenSSL(參閱http://www.debian.org/security/2008/dsa-1571)，該版本OpenSSL有一個破損的隨機(jī)數(shù)生成器，所以用該版本OpenSSL生成的密鑰按理說不堪一擊，不成相信。隨機(jī)數(shù)生成器其實并不是隨機(jī)性的，而是可以猜想的。這類環(huán)境產(chǎn)生于早在2008年的時辰，利用過缺點(diǎn)版OpenSSL的人都理應(yīng)可以或許查到并改換安然性差的密鑰。雖然這是五年多前的工作，但為了保險起見，仍是應(yīng)當(dāng)用黑名單查抄法度。
此刻無妨測試一下，為此在我們的兩臺電腦之間成立一條未經(jīng)加密的地道。起首ping每臺電腦，確保它們彼此可以正常聯(lián)系。然后確保OpenVPN沒有在運(yùn)行，因為我們要開端手動啟動它：
$ ps ax|grep openvpn
假定它在運(yùn)行，就終止它。假定Studio的IP地址是192.168.1.125，Shop的IP地址是192.168.2.125。成立一條從Studio到Shop的未經(jīng)加密的地道：
$ sudo openvpn --remote 192.168.2.125 --dev tun0 --ifconfig 10.0.0.1 10.0.0.2
然后，成立一條從Shop到Studio的未經(jīng)加密的地道：
$ sudo openvpn --remote 192.168.1.125 --dev tun0 --ifconfig 10.0.0.2 10.0.0.1
你成功成立了連接后，看到諸如斯類的信息：
Wed Oct 16 2013 ******* WARNING *******: all encryption and authentication
features disabled -- all data will be tunnelled as cleartext
Wed Oct 16 2013 TUN/TAP device tun0 opened
Wed Oct 16 2013 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Wed Oct 16 2013 /sbin/ifconfig tun0 10.0.0.1 pointopoint 10.0.0.2 mtu 1500
Wed Oct 16 2013 UDPv4 link local (bound): [undef]
Wed Oct 16 2013 UDPv4 link remote: [AF_INET]192.168.2.125:1194
Wed Oct 16 2013 Peer Connection Initiated with [AF_INET]192.168.2.125:1194
Wed Oct 16 2013 Initialization Sequence Completed
“Initialization Sequence Completed”(初始化序列已完成)這幾個奇異的字眼證實了你的做法準(zhǔn)確。你應(yīng)當(dāng)可利用地道地址來回ping，即ping 10.0.0.1和ping 10.0.0.2。你成立起地道后，應(yīng)當(dāng)可利用你想利用的任何IP地址，只要沒有與現(xiàn)有收集的IP地址堆疊就行。想封鎖地道，只要按Ctrl+c組合鍵。
純粹為了試著玩，在你的地道上打開一個SSH會話。圖1顯示了基于VPN地道的成功的SSH登錄，它還顯示了每日動靜(Message of the Day)：
$ ssh [email protected]
圖1：基于VPN地道的成功的SSH會話，和每日動靜。
哇，它成功了!
加密的VPN地道
這么做很好玩，但如果沒有采納加密，毫無意義可言，因而我們將搭建一種簡單的靜態(tài)密鑰建設(shè)架構(gòu)。它不如真實的公開密鑰根本舉措措施(PKI)來得安然安穩(wěn)，PKI凡是具有根證書、撤消和所有諸如斯類的機(jī)制，但這類靜態(tài)密鑰架構(gòu)對出門在外時需要拜候家庭辦事器的那些人來講是一種足夠好的解決方案。好在，OpenVPN有一個號令，可以成立靜態(tài)密鑰，所以成立一個用來存放密鑰的文件夾，成立密鑰，然后將其設(shè)成只有文件具有者才能讀取：
$ sudo mkdir /etc/openvpn/keys/
$ sudo openvpn --genkey --secret /etc/openvpn/keys/static.key
$ sudo chmod 0400 /etc/openvpn/keys/static.key
這是一個明文格局的密鑰，你可以在文本編纂器中打開及查看――假定你很好奇的話，還可以將其隨便取成想要的名稱;你沒需要把它取為“static.key”。將該密鑰拷貝到兩臺電腦上――沒錯，拷貝統(tǒng)一個密鑰。它不是私有-公共密鑰對，而是一個單一的共享密鑰。
此刻，我們將為每臺電腦成立一些簡單而根基的建設(shè)文件。(在Debian/Ubuntu等發(fā)行版上，沒有默許的建設(shè)文件，不外在/usr/share/doc/openvpn/中有浩繁的示例文件。)在我小小的測試環(huán)境中，Studio是辦事器，Shop是將登錄到辦事器上的移動筆記本電腦。我的辦事器建設(shè)文件是/etc/openvpn/studio.conf，這就是它具有的一切：
# config for Studio
dev tun
ifconfig 10.0.0.1 10.0.0.2
secret /etc/openvpn/keys/static.key
確保只有文件所有者才能讀取并寫進(jìn)該文件：
$ sudo chmod 0600 /etc/openvpn/studio.conf
客戶機(jī)上的建設(shè)文件很類似，只不外添加了辦事器的IP地址：
# config for Shop
dev tun
ifconfig 10.0.0.2 10.0.0.1
secret /etc/openvpn/keys/static.key
remote 192.168.1.125
請寄望ifconfig這一行上你那些IP地址的挨次，因為它們要遵循本地地址>長途地址的挨次。此刻開啟辦事器上的OpenVPN，指定辦事器建設(shè)文件，然后在客戶機(jī)長進(jìn)行一樣一番把持：
$ sudo openvpn /etc/openvpn/studio.conf
$ sudo openvpn /etc/openvpn/shop.conf
你會看到成功的連接顯示一樣的“初始化序列已完成”這條動靜;你還必需寄望沒有呈現(xiàn)下面這條動靜，成立未經(jīng)加密的地道時，應(yīng)當(dāng)會呈現(xiàn)這條動靜：
******* WARNING *******: all encryption and authentication features disabled
******* 警告 *******：所有加密和驗證特點(diǎn)被禁用
防火墻和動態(tài)IP地址
OpenVPN本身建設(shè)起來很簡單。最麻煩的處所仍是在于措置防火墻和動態(tài)IP地址。世界上有沒有數(shù)不合的防火墻，所以我感覺你應(yīng)當(dāng)事前弄清晰若何安然地拜候防火墻。OpenVPN需要端口1194，然后你需要有一條轉(zhuǎn)發(fā)法則，可以指向你想拜候的那臺電腦。
動態(tài)IP地址是另外一個麻煩的處所。Dyn.com供給了一個成本低廉的編制，它可以治理你的互聯(lián)網(wǎng)辦事供給商(ISP)為你分派的動態(tài)IP地址?；蚰阋材軌蛳騃SP付幾塊錢，獲得一個靜態(tài)地址。
到此刻為止，你可以稱之為一切進(jìn)展杰出，因為你可以在辦事器上手動啟動OpenVPN，讓它等候你的指令，你可以將筆記本電腦帶到外面，隨時連接到辦事器。不外，我們可以在一些方面加以改進(jìn)，好比讓OpenVPN在辦事器上后臺運(yùn)行，利用Network Manager(收集治理器)主動成立連接，而OpenVPN實際把持方面貧乏的最首要一項內(nèi)容是：若何拜候你的長途資本。下次我們將側(cè)重介紹這方面的內(nèi)容。
上面我們首要講了如安在家庭辦事器與長途節(jié)點(diǎn)(好比筆記本電腦)之間成立一條簡單的OpenVPN加密地道。下面我們將介紹一些改進(jìn)，好比若何讓OpenVPN在后臺運(yùn)行，那樣我們沒需要手動啟動它，利用Network Manager(收集治理器)以便易于連接到我們的長途辦事器，和拜候辦事。
集成了收集治理器
收集治理器是一款超卓的OpenVPN客戶法度;只要確保你已安裝了network-manager-openvpn這個插件。我們將利用上篇中的示例建設(shè)。打開你的收集治理器建設(shè)，找到可以成立新VPN連接的窗口。這在KDE和GNOME上看起來不一樣，可是你需要的信息卻一樣。當(dāng)你開端著手時，需要查看OpenVPN連接類型，好比圖2中那樣;假定你沒有看到這個信息，那么表白貧乏這個插件。(以下圖形來自GNOME。)
圖2：在收集治理器中成立新的OpenVPN客戶機(jī)建設(shè)。
圖3顯示了主建設(shè)屏幕。從上往下別離以下：
·你想為該連接取的任何名稱。
·網(wǎng)關(guān)是你那臺長途辦事器的IP地址。
·從下拉菜單選擇靜態(tài)密鑰。
·然后利用文件選擇器，找到你想要利用的密鑰。
·這不是一個單向/雙向密鑰，所以選擇None。
·長途IP地址和本地IP地址是你的虛擬OpenVPN地址，來自/etc/openvpn/foo.conf文件。
·我們沒有設(shè)定暗碼。
·可以設(shè)置“所有效戶可用”或只有你可用，隨你喜好。
圖:3：針對OpenVPN客戶機(jī)的收集治理器主建設(shè)屏幕
保留設(shè)置，然后利用收集治理器來進(jìn)行連接。就是這么等閑!此刻，你只要點(diǎn)擊一下按鈕，便可以成立連接和斷開連接了(圖3)。
圖4：點(diǎn)擊一下按鈕，便可以成立連接和斷開連接了。
主動運(yùn)行OpenVPN
手動啟動OpenVPN很簡單，可是為了便利起見，你可能想讓它在辦事器上后臺運(yùn)行，并且在不測重啟后繼續(xù)保持連接。在Debian/Ubuntu/及浩繁派生發(fā)行版上，這一步主動措置：當(dāng)你安裝了OpenVPN后，它可以建設(shè)成系統(tǒng)啟動時主動啟動。所以，安裝終了后，你需要重啟，或利用下面此中一個號令來啟動這個后臺法度：
$ sudo /etc/init.d/openvpn start
$ sudo service openvpn start
第一個號令是傳統(tǒng)編制，第二個號令則利用了service號令。早在之前，service最早呈此刻紅帽Linux中;假定你的發(fā)行版在默許環(huán)境下沒有安裝該號令，它很可能暗藏在軟件庫中，假定你想利用它的話。
Fedora利用了systemd初始化系統(tǒng)，比擬之下Ubuntu利用Upstart，而Debian仍利用傳統(tǒng)的SysV初始化系統(tǒng)。假定你在/etc/openvpn中有多個OpenVPN建設(shè)，可以在systemd中有所選擇地啟動每個建設(shè)，就像如許：
# systemctl start systemctl start [email protected]
此中的“studio.service”援引上篇中的示例/etc/openvpn/studio.conf文件。這個調(diào)用在重啟后其實不繼續(xù)保持，所以它就像是運(yùn)行openvpn /etc/openvpn/studio.conf，這是我們在上篇中手動啟動OpenVPN會話的編制。只要借助chkconfig，就可以夠讓OpenVPN在systemd上后臺運(yùn)行：
# service openvpn start
# chkconfig openvpn on
這應(yīng)當(dāng)會以凡是的編制讓OpenVPN在后臺運(yùn)行，它作為一種整體式的后臺法度，而不是遵循/etc/openvpn/中的.conf文件伶仃建設(shè)。systemd撐持chkconfig號令和service號令，所以這應(yīng)當(dāng)能行。不外，利用systemd的發(fā)行版其環(huán)境很不一樣，所以假定你的發(fā)行版不一樣，請留言奉告我們。
加強(qiáng)你的連接
OpenVPN很強(qiáng)大年夜，善于保持一條持久性連接，哪怕呈此刻辦事間斷的環(huán)境下。你可讓連接更強(qiáng)大年夜，只要將下面這幾行添加到客戶機(jī)和辦事器上的.conf文件：
persist-tun
persist-key
這幾行對因為省電和移動而頻繁斷開連接的筆記本電腦用戶大年夜有幫忙。
此刻如何辦?
鑒于你已設(shè)置好了這個架構(gòu)，該若何措置它呢?假定你習(xí)慣于利用OpenSSH用于長途把持，可能會局限于利用SSH的這類心態(tài)：可以或許登錄到特定的機(jī)械，并運(yùn)行利用法度。如許不可，而是應(yīng)當(dāng)把OpenVPN當(dāng)作是虛擬以太網(wǎng)連線，通向你的辦事器或以太網(wǎng)，它們都采取了一層安穩(wěn)的加密機(jī)制。此刻你可以經(jīng)由過程統(tǒng)一條地道運(yùn)行未經(jīng)加密的辦事和加密的辦事，只要在防火墻中開一個口就行。
所以，你可以經(jīng)由過程你的OpenVPN地道按之前的編制來運(yùn)行SSH，還可以進(jìn)行長途治理，運(yùn)行利用法度。你可以拜候收集資本，好比文件共享區(qū)和Web利用法度。你可以迫使客戶機(jī)上的所有收集信息都經(jīng)由過程你的VPN地道來進(jìn)行傳送，可是就本文而言，我覺得你?？纯梢曰蛟S利用你的原生收集和VPN收集。
所以，假定你利用可托賴的筆記本電腦，便可以上彀沖浪，運(yùn)行SSH，在你連接的任何收集上措置想做的任何工作。以后，當(dāng)你想在OpenVPN地道上運(yùn)行某個法度，便可以打開它，并指定IP地址，就像如許：
$ ssh [email protected]
Web利用法度很等閑：將Web瀏覽器指定你的OpenVPN辦事器的虛擬IP地址，按泛泛那樣登錄。好比說，我運(yùn)行各類Web辦事，以便在家庭辦事器長進(jìn)行測試。所以，我可以拜候http://10.0.0.1/drupal處的Drupal，可以拜候http://10.0.0.1/owncloud處的OwnCloud。我利用了很棒的gFTP圖形化FTP客戶法度，所以假定我想要連接，只需要Host(主機(jī))這一行上的虛擬IP地址、用戶名和暗碼?；蚶眠@個號令行：
$ ftp 10.0.0.1 21
你可以長途治理本身的MySQL數(shù)據(jù)庫，只要利用你本身的用戶名和暗碼：
$ mysql -h 10.0.0.1 -u admin –p
所以，你需要知道的主如果，若何將主機(jī)規(guī)格添加到你想運(yùn)行的任何號令上。
很明顯，如果借助名稱辦事，而不長短得利用IP地址，這一切會來得更等閑，所以下一回我們將進(jìn)修如安在OpenVPN中實施名稱辦事。同時，請盡興享用你那條又棒又安然的OpenVPN地道。