【Docker】docker搭建open虚拟专用通道服务

OpenVpn

官方服务端社区版下载地址：Community Downloads | OpenVPN

官方客户端下载地址:OpenVPN Client Connect For Windows | OpenVPN

拉取镜像

docker pull 2392944043/openvpn:1.0

打开路由转发

# 查询是否打开路由转发，1是开启，0是关闭
cat /proc/sys/net/ipv4/ip_forward
# 临时设置
echo 1 > /proc/sys/net/ipv4/ip_forward
# 永久开启
vi /etc/sysctl.conf
sysctl -p

启动镜像

#前台启动并运行：先前台启动，把密钥、证书生成
sudo docker run -it --network=host  --privileged=true --name=openvpn --restart=always  -v /openvpn:/openvpn wss/openvpn:1.0 bash

生成服务端证书，在容器中查找easyrsa

find . -name easy-rsa
cd ./usr/share/easy-rsa/3

创建证书

mkdir -p /openvpn/server/easy-rsa
cd /openvpn/server/easy-rsa
cp -drp /usr/share/easy-rsa/3/* .
cd /openvpn/server/easy-rsa
./easyrsa init-pki
./easyrsa build-ca [nopass]   #nopass可以移除，如果每次客户端需要输入密码
cp /openvpn/server/easy-rsa/pki/ca.crt /openvpn/ca.crt
./easyrsa gen-dh
./easyrsa gen-req server nopass
./easyrsa sign-req server server
cp /openvpn/server/easy-rsa/pki/issued/server.crt /openvpn/server.crt
cp /openvpn/server/easy-rsa/pki/ca.crt /openvpn
cp /openvpn/server/easy-rsa/pki/dh.pem /openvpn
cp /openvpn/server/easy-rsa/pki/private/server.key /openvpn

准备server.conf

port 1194
proto udp
dev tun
ca /openvpn/ca.crt
cert /openvpn/server.crt
key /openvpn/server.key
dh /openvpn/dh.pem
server 10.9.0.0 255.255.255.0
keepalive 20 120
user root
group root
persist-key
persist-tun
verb 3
client-to-client
client-config-dir /openvpn/ccd
topology subnet
log /openvpn/openvpn.log
push "route 192.168.68.0 255.255.255.0"
route 192.168.68.0 255.255.255.0 10.9.0.1

再次启动镜像

exit # 退出容器
mkdir /openvpn/ccd/
#删除容器
docker rm -f openvpn
#后台启动并运行
sudo docker run -d --network=host  --privileged=true --name=openvpn --restart=always  -v /openvpn:/openvpn wss/openvpn:1.0 openvpn --config /openvpn/server.conf

#查看日志 
docker log openvpn
#查看网卡
ifconfig

出现下面这个tun0的网卡就说明启动成功

tun0: flags=4305<UP,POINTOPOINT,RUNNING,NOARP,MULTICAST> mtu 1500
inet 10.9.0.1 netmask 255.255.255.0 destination 10.9.0.1
inet6 fe80::30c5:e7f8:ee39:e5a4 prefixlen 64 scopeid 0x20
unspec 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 txqueuelen 100 (UNSPEC)
RX packets 0 bytes 0 (0.0 B)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 2 bytes 96 (96.0 B)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

创建客户端密钥证书

这里创建的是client1用户

mkdir  /openvpn/client/
cd /openvpn/server/easy-rsa/
./easyrsa gen-req client1 nopass
cp /openvpn/server/easy-rsa/pki/issued/client1.crt /openvpn/client/
cp /openvpn/server/easy-rsa/pki/ca.crt /openvpn/client/
cp /openvpn/server/easy-rsa/pki/private/client1.key /openvpn/client/	

到openvpn/client路径下找到这三个文件下载下来

编写client.ovpn

client
dev tun
proto udp
remote 服务器ip 1194
tun-mtu 1500
resolv-retry infinite
persist-key
persist-tun
verb 3
ca ca.crt
cert client.crt #文件名和你下载的文件名保持一致
key client.key #文件名和你下载的文件名保持一致
remote-cert-tls server
auth-nocache
cipher AES-256-GCM

如果需要将某一用户的ip锁定

可以在/openvpn/ccd/下创建与用户同名的文件，无后缀，如client1即可

iroute 192.168.68.0 255.255.255.0  #路由转发，其他用户请求该网段IP时会自动通过当前客户端转发
ifconfig-push 10.9.0.34 255.255.255.0  # 固定ip为10.9.0.34