A-A+

Linux 上的 VPN 服务器

2009年03月07日 学习随笔 暂无评论 阅读 1 次

 

Posted on 04月 26th, 2008 由 admin

公司最近希望为不在主厂区的子公司提供 VPN 服务。在 Linux 上,可选的 VPN 服务器软件大概有这么几种:

其中 PPTPD 最简单常用,网上资料也最多。它是“点对点隧道协议”的一种实现,主要基于 GRE 通过隧道来传送一个 PPP 连接。

而 OpenVPN 是一种基于 SSL 的 VPN。它最大好处在于,你仅仅需要一个单独的TCP或者UDP端口便可以轻易的穿越大多数的防火墙进行数据传送。我最终选择使用了它,也是由于这个原因。但它也有一个令一般用户觉得不够亲近的地方,它需要额外安装客户端软件,而且安装配置都不够傻瓜化。

L2TP 则是一种国际标准隧道协议,它结合了 PPTP 以及第二层转发协议的优点,但它本身没有任何加密措施,更多的是各 IPSec 协议结合使用,比如与 openswan 一起使用。

Openswan 是 Linux 下 IPSec 的最佳实现了,功能很强大、配置也非常灵活,因此成功配置运行也相当有难度。此外,尽管已经其在对NAT-Travel的支持方面做了不少改进,但还是不能较好的工作于一些NAT网关之后。(我自己并没有测试运行 openswan,所以这些我也只是道听途说。)

下面说我实际的配置过程。我首先试用了 PPTPD。在 Ubuntu 中,安装和配置它相当简单,我只简单的修改了几个地方:

/etc/pptpd.conf最后加上:

localip x.x.x.x #vpn 服务器地址remoteip x.x.x.x-x #为客户端分配的 IP 地址范围

然后 /etc/ppp/pptpd-options 中:

ms-dns x.x.x.x. #客户端连接后使用的 DNS 服务器地址

最后 /etc/ppp/chap-secrets中添加用户名密码:

"user" pptpd "passwd" *

除此之外,配置防火墙允许 1723 端口和 GRE 协议

iptables -A INPUT -i eth0 -p tcp --dport 1723 -j ACCEPT
iptables -A INPUT -i eth0 -p gre -j ACCEPT

第二条也可以写作:

iptables -A INPUT -i eth0 -p 47 -j ACCEPT

47 是 GRE 的协议号,网上还有很多人这样写:

iptables -A INPUT -i eth0 -p tcp --dport 47 -j ACCEPT

应该是错误的。

至此,重启 pptpd 服务就行了。但是实际使用中发现问题多多:

其一,DNS 无法解析。即使如前所述设置了客户端连接后使用的 DNS 服务器,仍旧无法解析私有域名,但直接用 IP 地址访问却是通的。
其二,连接不稳定。有的用户能拨上,有的用户拨不上,提示 619 错误。Google 多天,发现该问题很普遍,但没有人提供好的解决办法。大致是说 NAT 穿越问题,也就是客户端到服务器端的连接中间如果有 NAT 设备的话,需要在其上开通 nat-t。这样一来就麻烦了,这中间的设备是电信公司的,我们怎么管得了,如何开通呢?

于是,我改用 OpenVPN。配置有篇文章讲的很详细,基本照做就成,链接是:http://forum.ubuntu.org.cn/viewtopic.php?p=532825

需要说明的是 windows 客户端的安装。如果你使用的是 windows 2003,可能会遇到不能安装的问题,表现为装到一半时,安装程序进行不下去,其实安装程序并没有死,耐心等待半个小时以上(呵呵),大概就行了。如果还不行,可以试试检查你的本地安全策略,其中有一项“未签名驱动程序的安装操作”,把它改为“默认继续”,应该就行了。这个问题在非服务器版本的 windows 上似乎不存在。

这样 VPN 服务器就配好了,而且没有了前面使用 PPTPD 时那些烦恼。唯一不爽的地方如前所述,openvpn 的客户端对一般用户不够傻瓜化并且还是英文的,可能会让某些用户“不满”。

来源:Linux 上的 VPN 服务器

给我留言

Copyright © 浩然东方 保留所有权利.   Theme  Ality 07032740

用户登录