用Linux建立肉鸡来做加密代理！

添加时间: 2007-3-22 3:00:37 作者: 阅读次数:120 来源:

一、背景

对VPN的分类什么的有个大概的了解，知道是个大概怎么回事，如果不大清楚的朋友可以google一下。本文就不对这些内容进行具体的介绍了。

目标系统：Red Hat Linux 9默认安装。

二、需求

说白了就是用肉鸡做加密代理。

1：对系统尽可能小的改变，包括添加文件和系统日志，因为我们用的是肉鸡。

2：是client-->server的模式，而不是net-net的模式，浏览网页而已。

3：无论server还是client都要配置方便，简单好用，我们要的是快速。

三、选型

1：*swan

A：ipsec vpn的代表，默认端口tcp/udp 500。

B：优点：加密强，对网络游戏什么的支持好(我们用不上)。

C：缺点：部署麻烦，配置麻烦，关键是他的nat-t，就是nat穿越功能需要打内核补丁，重新编译内核才行，这事在肉鸡做不得。大概的说说swan系列吧，最开始是freeswan，然后大概在2004年停止开发，衍生出openswan和strongswan两个分支，openswan发展的不错，strongswan连个rpm包都没。swan系列分两块，一个是用户空间程序，一个是内核空间程序。内核空间的包括模块和补丁，大概就那么回事。就是说，要做到nat-t，就需要用户空间程序，lkm和内核补丁，需要重新编译内核，这个我们在肉鸡没法做。还有他要用root运行。

2：pptpd

A：pptp vpn的典型代表，默认端口tcp 1723。

B：优点：Windows带了他的client，安装也方便，就几个rpm，配置也不难。

C：缺点：一拨进去他就会改缺省网关，很烦，要么拨进去自己route add/delete几下改改，一直别断开，看个网站犯得着那么麻烦吗。

3：openvpn

A：SSL VPN的典型代表，默认端口tcp/udp 1194。

B：优点：简单好装，一个rpm搞定，要压缩的话多一个lzo的rpm包。配置也是简单的很，就生成一个static.key，还可以chroot，并且可以以nobody运行，肉鸡的安全也是很重要的，保管不好就被抢了，不过chroot就没必要了，有兴趣的朋友可以自己搞搞。一下把要的东西都丢到一个地方然后加上配置文件就差不多了，再改改启动脚本。

还有就是拨进VPN之后，他不会改你默认网关，免去了折腾的烦恼，我们可以把sf.net的地址加到静态路由去。

在server那边只需要开一个udp or tcp端口就可以了，不怎么需要去动别人的iptables。

C：缺点：除了要额外装一个client之外，相对我们的需求来说基本没什么缺点了。

四、开始

1：安装client and server程序

[root@RH9 root]# rpm -ivh lzo-1.08-2_2.RHL9.at.i386.rpm
warning： lzo-1.08-2_2.RHL9.at.i386.rpm：

 V3 DSA signatur    E： NOKEY, key ID 66534c2b 
Preparing...

 ########################################### [100%] 
1：lzo

 ########################################### [100%] 
[root@RH9 root]# rpm -ivh openvpn-2.0.7-1.rh9.rf.i386.rpm 
warning： openvpn-2.0.7-1.rh9.rf.i386.rpm： V3 DSA signatur

    E： NOKEY, key ID 6b8d79e6 
Preparing...

   ########################################### [100%] 
1：openvpn

  ########################################### [100%]

2：服务端配置

[root@RH9 root]# cat > /etc/openvpn/server.conf 
dev tun 
ifconfig 10.8.0.1 10.8.0.2 
secret static.key ; 
user nobody ;
group nobody 
port 3389 ;
comp-lzo ;
;keep alive 
keepalive 10 60 ;
ping-timer-rem 
persist-tun 
persist-key 
;no-log ;
verb 0 
status /dev/null 
log         /dev/null 
log-append  /dev/null

server配置完毕。

3：客户端配置

安装openvpn-2.0.9-gui-1.0.3-install.exe，然后打开“开始”--“程序”--“openvpn”--“Generate a static OpenVPN key”，这会在C:\Program Files\OpenVPN\config下生成一个叫key.txt的文件，把他重命名为static.key。

然后把这个文件复制到linux肉鸡的/etc/openvpn/static.key去，最后在C:\Program Files\OpenVPN\config目录下创建一个叫client.ovpn的文件，内容如下

remote 肉鸡的IP 
dev tun 
ifconfig 10.8.0.2 10.8.0.1 
secret static.key 
port 3389 
verb 3 
comp-lzo 
keepalive 10 60 
ping-timer-rem 
persist-tun 
persist-key

client配置完毕。

注意，无论是服务端还是客户端的IP，都不要和系统有的IP段冲突，另外改了端口需要在client and server都改一致。

4：启动并连接

A：启动服务端

[root@RH9 root]# /etc/init.d/openvpn start 
Starting openvpn:                                          [  OK  ]

这个时候理论上会发现多了一个接口，等会我们要收拾这个口子。

[root@RH9 root]# ifconfig tun0 
tun0      Link encap:Point-to-Point Protocol   
inet addr:10.8.0.1  P-t-P:10.8.0.2  Mask:255.255.255.255 
UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1 
RX packets:0 errors:0 dropped:0 overruns:0 frame:0 
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 
collisions:0 txqueuelen:100 
RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b) 
[root@RH9 root]# netstat -an 　 grep 3389 
udp        0      0 0.0.0.0:3389            0.0.0.0:*

这个时候理论上会起了一个3389的udp口，如果这两个事情都有了，那就好了，一般除了RP有WT之外，这里基本都不怎么可能出现错误。

如果有错误的话，就把上面的

verb 0 
status /dev/null 
log         /dev/null 
log-append  /dev/null

改成

verb 9 
status /usr/lib/0 
log         /usr/lib/1 
log-append  /usr/lib/1

然后重新启动openvpn服务并查看日志，注意，这个时候messages会有日志，调试完毕记得删除/usr/lib/0 /usr/lib/1。

B：启动客户端

“开始”--“程序”--“openvpn”--“OpenVPN GUI”，连接服务端，点右下角红色的图标--connect。图标变绿，就是成功连接并分配到地址了，注意让你的防火墙通过。如果没变绿色，从那个图标那view log，如果发现不到问题，就把client的配置文件的verb设置为9，重新连接，再看日志，再google。

C：检查连接：

在client里看到有这么个信息

Ethernet adapter 本地连接   4：
Connection-specific DNS Suffix  . : 
IP Address. . . . . . . . . . . . : 10.8.0.2
Subnet Mask . . . . . . . . . . . : 255.255.255.252 
Default Gateway . . . . . . . . . : 
C:\>ping 10.8.0.1 
Pinging 10.8.0.1 with 32 bytes of data: 
Reply from 10.8.0.1: bytes=32 time=7ms TTL=64

连接没有问题，这个时候就根据个人的喜好，是改默认网关还是只根据目的地址route add一下了，如果肉鸡速度快的话改默认网关吧。

C:\>route delete 0.0.0.0 
C:\>route add 0.0.0.0 mask 0.0.0.0 10.8.0.1 -->

注意，是vpn server的tun0的地址。

如果DNS服务器不在内网的话，自己再route add一次DNS的地址就OK，如果想长期生效，可在route add语句最后加-p参数。

D：服务端打开转发

做个nat，但注意一下eth0需要是可以去外网的接口，否则等会数据走不出去，如果肉鸡是单接口的话就不需要担心。

[root@RH9 root]# iptables -t nat -A

POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

再看看转发开了没

[root@RH9 root]# sysctl -a 　 grep net.ipv4.ip_forward 
net.ipv4.ip_forward = 0

我们把他打开

[root@RH9 root]# sysctl -w net.ipv4.ip_forward=1

5：找错

VPN一般出问题就只有三个地方，client的防火墙，server的防火墙，和转发开关是否打开，所以我们在服务端抓抓包就完全可以找到出问题的地方。ipsec pptp都可以这么找错。

A：在server的tun0口抓一切包，以检测client-->server是否连通，当然，一定是连通的，否则那图标就不会是绿色了。

[root@RH9 root]# tcpdump -n -i tun0 
tcpdump: listening on tun0

B：在server的eth0口抓目标地址包，以检测转发是否有问题。

[root@RH9 root]# tcpdump -n -i eth0 dst host baoz.net 
tcpdump: listening on eth0

C：

这个时候我们telnet一下baoz.net看看

C:\>telnet baoz.net

两边都看到有包就对了。如果有一边看不到包，就自己折腾一下好了。看看一路过来是不是都没搞错。

上下文章:

上一篇文章: DHCP、网关和DNS地址的捆绑技巧下一篇文章: 有线无线学生宿舍组网怎样最划算

相关文章:

相关软件:

用Linux建立肉鸡来做加密代理！

快速导航

网络技术分类导航

本类经典文章推荐

组网教程阅读排行

网络技术阅读总排行

广告位置