openvpn下的配置文件与iptables优化

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

[root@test conf]# cat server.conf 

local 192.168.168.253#vpn服务器需要监听的ip，如果有外网尽量用外网

port 1194

proto udp#尽量用udp端口，保证远程桌面等服务的连接，如果只是传文件就用tcp，客户端要和服务端一样

dev tap#tap模式

ca /usr/local/openvpn/easy-rsa/keys/ca.crt

cert /usr/local/openvpn/easy-rsa/keys/server.crt

key /usr/local/openvpn/easy-rsa/keys/server.key

dh /usr/local/openvpn/easy-rsa/keys/dh2048.pem

tls-auth /usr/local/openvpn/easy-rsa/keys/ta.key 0#在生成证书的时候生成ta.key用于防御DOS、udp淹没

#要注意的是服务器上是 0 客户端是1，两个文件必须一样，不然就连不上

server 10.8.0.0 255.255.255.0#给客户端分配的IP地址段，tap模式下一般是服务是10.8.0.1作为网关

ifconfig-pool-persist /usr/local/openvpn/conf/ipp.txt#设置客户端ip地址池

push “redirect-gateway def1 bypass-dhcp”#自动推送客户端上的网关 及DHCP，这是优化的关键

push "dhcp-option DNS 114.114.114.114"#推送一些通用DNS，当然也可已加上服务器上的DNS

push "dhcp-option DNS 8.8.8.8"

client-to-client

duplicate-cn

keepalive 10 120

comp-lzo

max-clients 100

persist-key

tls-server#使用TLS加密传输，本端为Server，Client端为tls-client

persist-tun

verb 3

status /usr/local/openvpn/log/openvpn-status.log

log /usr/local/openvpn/log/openvpn.log

mute 20#相同信息的数量，如果连续出现 20 条相同的信息，将不记录到日志中

auth-user-pass-verify /usr/local/openvpn/conf/checkpsw.sh via-env#这个脚本到处都可以下下载

client-cert-not-required

script-security 3 system

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

client

dev tap

proto udp

remote xx.xx.xx.xx 1194

resolv-retry infinite

redirect-gateway def1#让客户端发起的所有IP请求都通过OpenVPN服务器

nobind

persist-key

persist-tun

ca ca.crt

cert client.crt

key client.key

auth-user-pass

remote-cert-tls server

tls-auth ta.key 1#ta.key

tls-client#TLS加密传输

ns-cert-type server

comp-lzo

verb 3

mute 20

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

[root@test conf]# vi /etc/sysconfig/iptables

*nat

:PREROUTING ACCEPT [45:3684]

:POSTROUTING ACCEPT [1:92]

:OUTPUT ACCEPT [1:92]

#-A POSTROUTING -s 10.8.0.0/24 -d 192.168.168.0/24 -o eth0 -j MASQUERADE

-A POSTROUTING -s 10.8.0.0/24 -d 192.168.168.0/24 -o eth0 -j SNAT --to-source 192.168.168.253

#如果是静态ip就用这条以节省系统开销，如果是动态公网ip用上面的MASQUERADE伪装,nat表就做这些

COMMIT

*filter

:INPUT ACCEPT [0:0]

-A OUTPUT -m state --state INVALID -j DROP

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [278:27552]

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

-A INPUT -i lo -j ACCEPT

-A INPUT -p icmp -j ACCEPT

-A INPUT -s 192.168.168.0/24 -d 192.168.168.253 -i eth0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

-A INPUT -i eth0 -p udp -m state --state NEW -m udp --dport 1194 -j ACCEPT 

-A INPUT -j REJECT --reject-with icmp-host-prohibited 

COMMIT

[root@test conf]# /etc/init.d/iptables restart