帮助设置 OpenVPN 服务器

Question

我按照此处的说明在 ec2 上设置了 openvpn 服务器：http : //alestic.com/2009/05/openvpn-ec2

这一切都很好。

我想将其更改为使用非对称密钥，并允许多个客户端连接，但我发现很难遵循 openvpn 文档。任何人都知道一个很好的教程可以弥补我的差距？

是否可以设置 openvpn 以使用人们现有的 ssh 密钥？

Answer 1

我认为您不会找到一种将现有 SSH 密钥与 OpenVPN 一起使用的方法。OpenVPN 需要 X.509 证书才能运行，我不相信 OpenSSH 会使用没有补丁的 x.509 证书（参见http://roumenpetrov.info/openssh/）。

了解 OpenVPN 和非对称加密的关键是了解 PKI 的工作原理。OpenVPN 服务器配置有自己的证书，并且仅当客户端证书由与其自己的证书签名相同的 CA 签名时才接受客户端证书。

在官方 HOWTO ( http://www.openvpn.net/index.php/open-source/documentation/howto.html ) 中，您将创建一个 CA 公钥/私钥对和证书（“主 CA”）正如文档所指的那样），然后为服务器和 3 个客户端创建证书。您不必在 OpenVPN 服务器机器上执行此操作（事实上，最好不要这样做）。

HOWTO 让您使用 OpenVPN 发行版中的一些脚本来操作 OpenSSL 命令行工具（“easy-rsa”脚本）。如果您可以花一些时间熟悉 OpenSSL 命令行工具，那么您将获得更好的运气。随便玩玩，easy-rsa 脚本和 HOWTO 都很好。

为了获得最佳安全性，您将在脱机计算机（即没有或最小网络连接）和 OpenVPN 服务器和每个客户端上的证书请求（公钥/私钥对）上创建 CA。您将通过某种方式将证书请求发送到 CA，在 CA 签署请求，然后将生成的证书发送回各种机器。这可以防止私钥越过线路，并确保 CA 不受威胁。