近期研究VPN的一些记录(OpenVPN,pptp,l2tp)

近期由于一些需要（特别是上Google），研究了下在VPS上搭建VPN服务器的方法。其中遇到一些坑，顺带记下来以备下次使用。

其实在有VPS的情况下，还有另外一种替代方案。那就是在路由器上直接ssh隧道+sock5代理+使用autossh自动重连+使用polipo作HTTP代理+PAC文件自动代理切换。实现，最终我在家里就是这么搞得，而且这样对网络结构没有其他影响。

我的PAC文件

以上那些都不重要，话不多说直接开始VPN的部分吧

OpenVPN

OpenVPN的话网上有很多教程啦，很容易配，过程挺繁琐。大致过程是

1. 如果使用tun（第三层协议）的话检查tun设备(/dev/net/tun)

2. 生成CA证书、服务器证书、客户端证书。（可以用easy-rsa生成，比较简单点）

3. 配置防火墙端口开放和路由转发 （可以拷贝openvpn的sample里的firewall.sh来用，注意没有内网网络设备的话把eth1相关的东西注释掉）

4. OpenVPN配置

要注意的一点是其实OpenVPN示例里有很多配好的带注释的配置，不需要照很多教程里的完全自己写iptables和server配置的

#!/bin/sh
# CentOS 6 x86_64 下的命令，其他系统类似

# 检查tun （如果出错说内核不支持tun）
modinfo tun;

# EPEL源
rpm -ivh "http://dl.fedoraproject.org/pub/epel/6/i386/epel-release-6-8.noarch.rpm";

# 安装软件包
yum install -y easy-rsa openvpn;
mkdir -p /etc/openvpn;
cp -f /usr/share/doc/openvpn-*/sample/sample-config-files/* /etc/openvpn ;
cp -rf /usr/share/easy-rsa /etc/openvpn/ ;

# 手动生成证书 ...
# 配置firewall.sh(防火墙和路由转发，注意不要把你开放了的端口又屏蔽了)
# 配置openvpn-startup.sh里要启动的VPN配置文件（最后几行）

# 启动openvpn
cd /etc/openvpn && ./openvpn-startup.sh
# 关闭openvpn
cd /etc/openvpn && ./openvpn-shutdown.sh

建议尝试配置的过程中先使用虚拟机试一下，因为GFW灰常牛逼的可以按协议把握手包和丢掉。我就是卡在这非常久，UDP连接提示验证失败，TCP连接客户端和服务器都收到错误码为-1的断开连接报文。死活没连上，最后我换用国内的一个VPS同样的搭建方法就直接正常连上了。

PPP和PPTPD

由于OpenVPN各种墙，所以我就想换一个支持度比较高的解决方案，使用pptp协议。CentOS 6 下大致过程如下：

#!/bin/sh
# 1. 安装软件包
# EPEL源
rpm -ivh "http://dl.fedoraproject.org/pub/epel/6/i386/epel-release-6-8.noarch.rpm";
yum install ppp pptp pptpd pptp-setup -y;

# 2. 配置
vim /etc/pptpd.conf;
# 2.1.1 去除 localip 前注释
# 2.1.2 去除 remoteip 前注释并把内容改为 192.168.10.100-200
vim /etc/ppp/option.pptpd
# 2.2 ms-dns 8.8.8.8 和 ms-dns 8.8.4.4
# 2.3 配置账户 
vim /etc/ppp/chap/secrets
# 添加 [用户名] pptpd [密码] * （pptpd应该可以改成*，表示匹配所有名称，不过我没尝试过）

# 3. 启动模块和添加初始化启动模块
modprobe ppp_mppe
modprobe ip_gre
echo "#!/bin/sh" > /etc/sysconfig/modules/pptpd.modules
echo "modprobe ppp_mppe" >> /etc/sysconfig/modules/pptpd.modules
echo "modprobe ip_gre" >> /etc/sysconfig/modules/pptpd.modules

# 4. pptpd启动和开机启动
service pptpd start
chkconfig --add pptpd
chkconfig --level 5 pptpd on
chkconfig --level 6 pptpd on

# 5. 开启防火墙策略
iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
iptables -A INPUT -p tcp --dport 47 -j ACCEPT
iptables -A INPUT -p gre -j ACCEPT
iptables -A POSTROUTING -t nat -s 192.168.10.0/24 -o eth0 -j MASQUERADE
iptables -A INPUT -p UDP --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
service iptables save

最后客户端连接的时候的配置里要注意 1. 关闭EAP 2. 打开 使用点到点加密(MPPE) 3. 放心地使用MS-Chapv2吧 4. 另外貌似要内核支持某个功能，可以通过dkms提供（忘记哪个模块了但是我的VPS里自带）

我按这个配置成功连上了，但是后来配置l2tp的时候给搞乱了配置，又不知道为什么连不上了，好麻烦。

IPSec和l2tp协议

这个协议最麻烦，而且我没连成功过。不过记录一下操作流程。

# 1. 安装 yum install openswan xl2tpd openswan-doc lsof libpcap-devel
# 2. 配置
vim  /etc/ipsec.conf
# 编辑 dumpdir=/var/run/pluto/
# 编辑 virtual_private=%v4:10.0.0.0/8,%v4:192.168.11.0/24,%v4:172.16.0.0/12,%v4:25.0.0.0/8,%v6:fd00::/8,%v6:fe80::/10

# /etc/ipsec.d/xl2tpd.conf
cat > /etc/ipsec.d/xl2tpd.conf <<EOF
# Add connections here

# sample VPN connection
# for more examples, see /etc/ipsec.d/examples/
#conn sample
#               # Left security gateway, subnet behind it, nexthop toward right.
#               left=10.0.0.1
#               leftsubnet=172.16.0.0/24
#               leftnexthop=10.22.33.44
#               # Right security gateway, subnet behind it, nexthop toward left.
#               right=10.12.12.1
#               rightsubnet=192.168.0.0/24
#               rightnexthop=10.101.102.103
#               # To authorize this connection, but not actually start it,
#               # at startup, uncomment this.
#               #auto=add

conn L2TP-PSK-NAT
    rightsubnet=vhost:%priv
    also=L2TP-PSK-noNAT

conn L2TP-PSK-noNAT
    authby=secret
    pfs=no
    auto=add
    keyingtries=3
    rekey=no
    ikelifetime=8h
    keylife=1h
    type=transport
    left=[本机IP或域名] #这里写公网IP，没固定IP的就到花生壳弄个动态域名解析。
    leftid=[本机IP或域名]
    leftprotoport=17/1701
    right=%any
EOF;

# 设置预共享密钥
vim  /etc/ipsec.d/xl2tpd.secrets
echo ': PSK "l2tpd.owent.net"' > /etc/ipsec.d/xl2tpd.secrets;
# 3. 网络设置
sysctl -w net.ipv4.ip_forward=1
sysctl -w net.ipv4.conf.default.rp_filter=0
sysctl -w net.ipv4.conf.default.send_redirects=0
sysctl -w net.ipv4.conf.default.accept_redirects=0
# 建议把以上内容写进 /etc/sysctl.conf 后 执行 sysctl -p
# 3. 启动和测试
service ipsec start
ipsec verify
# 全部通过或N/A就可以了

# 4. xl2tpd设置 
vim /etc/ppp/options.xl2tpd
# 去除require-mschap-v2前注释
# name l2tpd
vim /etc/xl2tpd/xl2tpd.conf
# 改写以下内容
# [global]
# listen-addr = [服务器IP]
# ipsec saref = yes # 如果 ipsec verify 返回 SAref kernel support                                  [N/A] 则改成 no
# [lns default]
# ip range = 192.168.11.128-192.168.11.254
# local ip = 192.168.11.1
# name = l2tpd
vim /etc/ppp/chap-secrets 
# 设置用户名密码 [用户名] l2tpd [密码] *

# 5. iptables 规则
iptables -A INPUT -p tcp --dport 1194 -j ACCEPT
iptables -A INPUT -p udp --dport 1701 -j ACCEPT
iptables -A INPUT -p udp --dport 500 -j ACCEPT
iptables -A INPUT -p udp --dport 4500 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.11.0/24 -o eth0 -j MASQUERADE 
iptables -A FORWARD -s 192.168.11.0/24 -j ACCEPT
iptables -A FORWARD -d 192.168.11.0/24 -j ACCEPT
service iptables save
# 6. 启动xl2tpd和自动运行
chkconfig --level 2345 ipsec on
chkconfig --level 2345 xl2tpd on

不过这个我没连接成功过，不知道什么原因。 另外据说也可以使用strongswan取代openswan，而且strongswan还可以用来配置IKEv1和IKEv2协议。

简化VPN服务器安装Softether VPN

痛苦了两周之后，发现其实有简单暴力的VPN方案，就是日本的开源软件Softether VPN

Source列表: https://www.softether.org/5-download/src Github地址: https://github.com/SoftEtherVPN/SoftEtherVPN/ Google Code地址: https://code.google.com/p/softether/source/browse/ Source Forge地址: http://sourceforge.net/p/softethervpn/code/ci/master/tree/src/

这玩意简化了VPN配置，可以再Linux上部署，然后用Windows管理程序连上去管理。并且支持很多协议，OpenVPN,l2tp,IKEv1,IKEv2,IKEv3,sstp等。（不够我值尝试过openvpn和l2tp，很好用）

这货安装很简单，直接按官网的文档即可。使用上有几个注意点 1. 加密算法最好选RC4-SHA，选其他的我的Android设备都有很大概率连不上 2. 需要开启虚拟HUB里的DHCP，否则不设置符合规范的地址会连不上 3. 注意设置left地址和right的地址范围，默认好像是192.168.1.1，和默认局域网网段冲突 4. 默认会监听443端口，建议关闭掉，否则和HTTPS冲突（我的VPS的Web服务器监听了443端口）。 5. 建议换掉OPenVPN协议的默认端口1194，原因嘛，嘿嘿 6. 需要开放使用的端口

#!/bin/sh
# 我开放的端口如下
iptables -A INPUT -p tcp --dport 47 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 992 -j ACCEPT
iptables -A INPUT -p udp --dport 992 -j ACCEPT
iptables -A INPUT -p udp --dport 500 -j ACCEPT
iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
iptables -A INPUT -p udp --dport 4500 -j ACCEPT
iptables -A INPUT -p tcp --dport 5555 -j ACCEPT
service iptables save

通用要注意的地方

1. 最后检查一下/etc/sysconfig/iptables里的重复项，去掉保存

2. CentOS 7下默认使用firewall而不是iptables，需要相应地修改配置才行

3. 一些系统，比如CentOS 7下默认使用systemd的systemctl命令而不是传统的chkconfig来控制服务，也要做相应得变更

4. 注意CentOS里的selinux(可通过sestatus查看状态，建议关掉就好，没啥作用)

5. 注意Ubuntu下的防火墙ufw