如何在Debian 9上设置OpenVPN服务器

无论您是想在不信任的公共Wi-Fi网络上连接时安全，安全地访问Internet，绕过地理限制内容还是要允许您的同事在远程工作时安全地连接到公司网络，都是使用VPN的最佳解决方案。

VPN允许您连接到远程VPN服务器，从而使您的连接得以加密和安全，并通过将流量数据保密来匿名浏览Web。

您可以从许多商业VPN提供商中进行选择，但是您永远不能真正确定该提供商没有记录您的活动。 最安全的选择是设置自己的VPN服务器。

本教程将说明如何在Debian 9上安装和配置OpenVPN。我们还将向您展示如何生成客户端证书和创建配置文件。

OpenVPN是功能齐全的开源安全套接字层（SSL）VPN解决方案。 它使用SSL / TLS协议实现OSI第2层或第3层安全网络扩展。

先决条件

要完成本教程，您将需要：

吊销客户证书

吊销证书意味着使已签名的证书无效，以使其不再可用于访问OpenVPN服务器。

要撤消客户端证书，请按照以下步骤操作：

1. 登录到您的CA计算机并切换到EasyRSA目录：

   cd EasyRSA-v3.0.6

   使用 revoke 参数运行easyrsa脚本，然后输入要撤销的客户端名称：

   ./easyrsa revoke client1

   系统将提示您确认是否要吊销证书。 enter yes ，然后按 enter 确认：

   Please confirm you wish to revoke the certificate with the following subject: subject= commonName = client1 Type the word 'yes' to continue, or any other input to abort. Continue with revocation: yes…

   如果您的CA密钥受密码保护，则会提示您输入密码。 验证后，脚本将吊销证书。

   … Revocation was successful. You must run gen-crl and upload a CRL to your infrastructure in order to prevent the revoked cert from being accepted.

   使用 gen-crl 选项生成证书吊销列表（CRL）：

   ./easyrsa gen-crl

   An updated CRL has been created. CRL file: /home/causer/EasyRSA-v3.0.6/pki/crl.pem

   将CRL文件上传到OpenVPN服务器：

   scp ~/EasyRSA-v3.0.6/pki/crl.pem serveruser@your_server_ip:/tmp

   登录到您的OpenVPN服务器服务器，并将文件移至 /etc/openvpn 目录：

   sudo mv /tmp/crl.pem /etc/openvpn

   打开OpenVPN服务器配置文件：

   sudo nano /etc/openvpn/server1.conf

   将以下行粘贴到文件末尾

   /etc/openvpn/server1.conf

   crl-verify crl.pem

   保存并关闭文件。

   重新启动OpenVPN服务，以使撤销指令生效：

   sudo systemctl restart openvpn@server1

   此时，客户端应该不再能够使用已撤销的证书访问OpenVPN服务器。

结论

在本教程中，您学习了如何在Debian 9机器上安装和配置OpenVPN服务器。

VPN安全Debian