OpenVPN 安全灵活组网方案

商品介绍

由炽聚网络提供的 CentOS 7.9 镜像，预装了 OpenVPN 社区版，OpenVPN 是一个基于 OpenSSL 库的应用层 VPN 实现。和传统 VPN 相比，它的优点是简单易用，方便灵活组网。

OpenVPN 社区版 允许参与建立 VPN 的单点使用共享金钥，电子证书，或者用户名/密码来进行身份验证。它大量使用了 OpenSSL 加密库中的 SSLv3/TLSv1 协议函式库。OpenVPN 能在 Solaris、Linux、OpenBSD、FreeBSD、NetBSD、Mac OS X 与 Windows 2000/XP/Vista 上运行，并包含了许多安全性的功能。

功能：

1，身份验证

OpenVPN提供了多种身份验证方式，用以确认连接双方的身份，包括：

- 预共享密钥
- 数字证书
- 用户名／密码组合

预共享密钥最为简单，但它只能用于创建点对点的VPN；基于PKI的第三方证书提供了最完善的功能，但是需要额外维护一个PKI证书系统。OpenVPN2.0后引入了用户名／口令组合的身份验证方式，它可以省略客户端证书，但是仍需要>一份服务器证书用作加密。

2，功能与端口

OpenVPN所有的通信都基于一个单一的IP端口，默认且推荐使用UDP协议通讯，同时也支持TCP。IANA（Internet Assigned Numbers Authority）指定给OpenVPN的官方端口为1194。OpenVPN 2.0以后版本每个进程可以同时管理数个
并发的隧道。OpenVPN使用通用网络协议（TCP与UDP）的特点使它成为IPsec等协议的理想替代，尤其是在ISP（Internet service provider）过滤某些特定VPN协议的情况下。
OpenVPN连接能通过大多数的代理服务器，并且能够在NAT的环境中很好地工作。
服务端具有向客户端“推送”某些网络配置信息的功能，这些信息包括：IP地址、路由设置等。
OpenVPN提供了两种虚拟网络接口：通用TUN/TAP驱动，通过它们，可以创建三层IP隧道，或者虚拟二层以太网，后者可以传送任何类型的二层以太网络数据。
传送的数据可通过LZO算法压缩。 但传输时使用lzo压缩将遭受VORACLE威胁而暴露传输资料，官方默认不使用也不建议开启此功能。[9]

3，安全性

OpenVPN 与生俱来便具备了许多安全特性：它在用户空间运行，无须对内核及网络协议栈作修改；初始完毕后以chroot方式运行，放弃root权限；使用 mlockall（页面存档备份，存于互联网档案馆）以防止敏感数据交换到磁盘。

OpenVPN 通过PKCS#11支持硬件加密标识，如智能卡。

使用：

镜像安装到云服务器后，待 CVM 状态处于“运行中”，OpenVPN 服务会自动运行，创建账户的脚本在 /etc/openvpn/createVpnAccount.sh ，使用 OpenVPN Connect 或 Tunnelblick 客户端软件进行连接。