freeradius+openvpn+mysql搭建

dirtysea 发表于 2012-8-17 18:08:33

<A href="http://blog.chinaunix.net/space.php?uid=8551991&do=blog&id=94037">http://blog.chinaunix.net/space.php?uid=8551991&do=blog&id=94037</A>
 
<DIV><PRE>一、前言<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" /><o:p></o:p></PRE><PRE>具体的调用流程是：<o:p></o:p></PRE><PRE>win的openvpn客户端 auth-user-pass认证模式（通过ca.crt  ta.key  server.crt）,到openvpn服务器，调用插件radiusplugin (<o:p></o:p></PRE><PRE>/usr/local/openvpn/radiusplugin.so /usr/local/openvpn/radiusplugin.cnf)，radiusplugin调用radiusd(name=127.0.0.1、sharedsecret= testing123和radius的服务端口)，通过radiusd的clients.conf配置实现服务器的本身127.0.0.1密匙模式调用radiusd,再通过radiusd.conf的配置 sql方式的认证，再到radiusd的sql.conf配置（通过rlm_sql_mysql调用）到mysql数据库<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>具体的安装是上述调用的逆向过程<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>二、安装freeradius以及rlm_sql_mysql.so<o:p></o:p></PRE><PRE style="MARGIN-LEFT: 39pt; TEXT-INDENT: -18pt; tab-stops: list 39.0pt left 45.8pt 91.6pt 137.4pt 183.2pt 229.0pt 274.8pt 320.6pt 366.4pt 412.2pt 458.0pt 503.8pt 549.6pt 595.4pt 641.2pt 687.0pt 732.8pt; mso-list: l2 level2 lfo1">1、  编译安装<o:p></o:p></PRE><PRE>(1)、编译安装freeradius<o:p></o:p></PRE><PRE>wget  <A href="ftp://ftp.freeradius.org:/pub/radius/freeradius-1.1.7.tar.gz">ftp://ftp.freeradius.org:/pub/radius/freeradius-1.1.7.tar.gz</A><o:p></o:p></PRE><PRE>tar zxvf freeradius-1.1.7.tar.gz<o:p></o:p></PRE><PRE>cd freeradius-1.1.7<o:p></o:p></PRE><PRE>./configure <o:p></o:p></PRE><PRE>cp libltdl/ltdl.h src/include/ 
make<o:p></o:p></PRE><PRE>make install<o:p></o:p></PRE><PRE>注释：如果没有cp libltdl/ltdl.h src/include/  在make的时候会有2个错误，应该是路径的问题<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>(2)、安装rlm_sql_mysql相关<o:p></o:p></PRE><PRE>由于我的mysql是编译好的二进制包安装的，所以系统没有rlm_sql_mysql.so这个东西<o:p></o:p></PRE><PRE>所以要重新编译出rlm_sql_mysql.so这个东西来。<o:p></o:p></PRE><PRE>ln -s /usr/local/mysql/bin/mysql_config /sbin/mysql_config 
cd  /usr/local/src/freeradius-1.1.7/src/modules/rlm_sql/drivers/rlm_sql_mysql<o:p></o:p></PRE><PRE>./configure  --with-mysql-dir=/usr/local/mysql  --with-mysql-lib-dir=/usr/local/mysql/lib \<o:p></o:p></PRE><PRE>--with-mysql-include-dir=/usr/local/mysq/include<o:p></o:p></PRE><PRE>make<o:p></o:p></PRE><PRE>make install<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>这里的编译参数是根据每个人的实际情况设定的，这一步的编译要在freeradius编译安装后再做。<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>vi /etc/ld.so.conf<o:p></o:p></PRE><PRE>/usr/local/lib<o:p></o:p></PRE><PRE>ldconfig<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE> <o:p></o:p></PRE>
2、构建radius数据库(建立相关用户和密码) /usr/local/mysql/bin/mysql –uroot –pXXXX
mysql>create database radius;<o:p></o:p>
mysql>GRANT ALL PRIVILEGES ON radius.* TO <A href="mailto:radius@localhost">radius@localhost</A> IDENTIFIED BY  'AAAA';<o:p></o:p><PRE>mysql>\q<o:p></o:p></PRE><PRE>cd /usr/local/src/freeradius-1.1.7<o:p></o:p></PRE><PRE>/usr/local/mysql/bin/mysql -uroot -pXXXX radius < ./doc/examples/mysql.sql<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>3、配置radiusd.conf以及sql.conf<o:p></o:p></PRE><PRE>(1)、radiusd.conf配置<o:p></o:p></PRE><PRE>vi /usr/local/etc/raddb/radiusd.conf<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>proxy_requests = no<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>authorize {<o:p></o:p></PRE><PRE style="tab-stops: 45.75pt 137.4pt 183.2pt 229.0pt 274.8pt 320.6pt 366.4pt 412.2pt 458.0pt 503.8pt 549.6pt 595.4pt 641.2pt 687.0pt 732.8pt">preprocess 
chap 
mschap 
suffix 
eap<o:p></o:p></PRE><PRE style="TEXT-INDENT: 42pt; tab-stops: 45.75pt 137.4pt 183.2pt 229.0pt 274.8pt 320.6pt 366.4pt 412.2pt 458.0pt 503.8pt 549.6pt 595.4pt 641.2pt 687.0pt 732.8pt; mso-char-indent-count: 4.0; mso-char-indent-size: 10.5pt">sql<o:p></o:p></PRE><PRE style="MARGIN-LEFT: 42pt; TEXT-INDENT: -42pt; tab-stops: 45.75pt 137.4pt 183.2pt 229.0pt 274.8pt 320.6pt 366.4pt 412.2pt 458.0pt 503.8pt 549.6pt 595.4pt 641.2pt 687.0pt 732.8pt; mso-char-indent-count: -4.0; mso-char-indent-size: 10.5pt">#      pap<o:p></o:p></PRE><PRE>#      files<o:p></o:p></PRE><PRE>} 
注释：使用sql，authorize中的file必须被注释掉。<o:p></o:p></PRE><PRE>preacct {<o:p></o:p></PRE><PRE>        preprocess<o:p></o:p></PRE><PRE>        acct_unique<o:p></o:p></PRE><PRE>        suffix<o:p></o:p></PRE><PRE>#       files<o:p></o:p></PRE><PRE>}<o:p></o:p></PRE><PRE> 
accounting { 
      detail 
      unix 
      radutmp 
      sql 
}      
 
<o:p></o:p></PRE><PRE style="TEXT-INDENT: -0.1pt; mso-char-indent-count: -.01; mso-char-indent-size: 10.0pt">(2)、sql.conf配置<o:p></o:p></PRE><PRE>vi /usr/local/etc/raddb/sql.conf 
driver = "rlm_sql_mysql"<o:p></o:p></PRE><PRE>server = "localhost" 
login = "radius" 
password = "AAAA" 
 
radius_db = "radius" 
 
<o:p></o:p></PRE><PRE>配置NAS信息： 
vi /usr/local/etc/raddb/clients.conf 
 
#本地帐号，用于测试 
client 127.0.0.1 { 
        secret          = testing123 
        shortname       = localhost 
        nastype         = other 
}<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>注释：<o:p></o:p></PRE><PRE>secret  这里是针对client 127.0.0.1通讯密匙 
 
<o:p></o:p></PRE><PRE>#mysql -u root -p 
mysql> use radius; 
建立组信息： 
mysql> insert into radgroupreply (groupname,attribute,op,value) values ('user','Auth-Type',':=','Local'); 
mysql> insert into radgroupreply (groupname,attribute,op,value) values ('user','Service-Type',':=','Framed-User'); 
mysql> insert into radgroupreply (groupname,attribute,op,value) values ('user','Framed-IP-Address',':=','255.255.255.255'); 
mysql> insert into radgroupreply (groupname,attribute,op,value) values ('user','Framed-IP-Netmask',':=','255.255.255.0'); 
建立用户信息： 
mysql> insert into radcheck (username,attribute,op,value) values ('test','User-Password',':=','test'); 
mysql> insert into radcheck (username,attribute,op,value) values ('sense','User-Password',':=','123456'); 
将用户加入组中： 
mysql> insert into usergroup (username,groupname) values ('test','user'); 
 
<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>注释：<o:p></o:p></PRE><PRE>对于 radcheck 这个表attribute的项有好几种设置的，我们设置的是认证的密码模式明码User-Password，也可以设置成加密Crypt-Password，如果是加密模式需要libgcrypt支持。<o:p></o:p></PRE><PRE>同时对于表radgroupreply中项attribute，的含义不是太明白：Auth-Type 、 Service-Type 、 Framed-IP-Address、 Framed-IP-Netmask、Acct-Interim-Interval<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>测试：<o:p></o:p></PRE><PRE>radiusd –x &<o:p></o:p></PRE><PRE>这个时候控制台会被占用<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>另开一个控制台进行测试<o:p></o:p></PRE><PRE>ln -s /usr/local/bin/radtest /sbin/radtest<o:p></o:p></PRE><PRE>/sbin/radtest test test localhost 0 testing123<o:p></o:p></PRE><PRE>Sending Access-Request of id 204 to 127.0.0.1 port 1812<o:p></o:p></PRE><PRE>        User-Name = "test"<o:p></o:p></PRE><PRE>        User-Password = "test"<o:p></o:p></PRE><PRE>        NAS-IP-Address = 255.255.255.255<o:p></o:p></PRE><PRE>        NAS-Port = 0<o:p></o:p></PRE><PRE>rad_recv: Access-Accept packet from host 127.0.0.1:1812, id=204, length=38<o:p></o:p></PRE><PRE>        Service-Type = Framed-User<o:p></o:p></PRE><PRE>        Framed-IP-Address = 255.255.255.255<o:p></o:p></PRE><PRE>        Framed-IP-Netmask = 255.255.255.0<o:p></o:p></PRE><PRE>/sbin/radtest sense 123456 localhost 0 testing123<o:p></o:p></PRE><PRE>Sending Access-Request of id 212 to 127.0.0.1 port 1812<o:p></o:p></PRE><PRE>        User-Name = "sense"<o:p></o:p></PRE><PRE>        User-Password = "123456"<o:p></o:p></PRE><PRE>        NAS-IP-Address = 255.255.255.255<o:p></o:p></PRE><PRE>        NAS-Port = 0<o:p></o:p></PRE><PRE>rad_recv: Access-Accept packet from host 127.0.0.1:1812, id=212, length=20<o:p></o:p></PRE><PRE>由于test加入了组所以信息量多一点<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>以上测试说明freeradius-mysql工作正常！<o:p></o:p></PRE><PRE>说明（freeradius\rlm_sql_mysql.so\mysql\）正常！ 
 
<o:p></o:p></PRE><PRE style="MARGIN-LEFT: 36pt; TEXT-INDENT: -36pt; tab-stops: list 36.0pt left 45.8pt 91.6pt 137.4pt 183.2pt 229.0pt 274.8pt 320.6pt 366.4pt 412.2pt 458.0pt 503.8pt 549.6pt 595.4pt 641.2pt 687.0pt 732.8pt; mso-list: l4 level1 lfo7">三、     装OpenVPN<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>1、其中我的openssl我是系统自带的,所以不要再次安装<o:p></o:p></PRE><PRE>rpm -aq|grep openssl<o:p></o:p></PRE><PRE>openssl-devel-0.9.8b-8.3.el5<o:p></o:p></PRE><PRE>openssl-0.9.8b-8.3.el5<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>2、安装openvpn2.09<o:p></o:p></PRE><PRE>cd /usr/local/src<o:p></o:p></PRE><PRE>wget http://openvpn.net/release/openvpn-2.0.9.tar.gz<o:p></o:p></PRE><PRE>tar zxvf openvpn-2.0.9.tar.gz<o:p></o:p></PRE><PRE>cd openvpn-2.0.9<o:p></o:p></PRE><PRE>首先是看一下openvpn.spec里面对于liblzo1和openssl的版本要求，对照自己的版本看符合要求吗<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>检查pam-devel包是否安装，否则从系统盘安装改软件包，一般系统安装时都已经安装了<o:p></o:p></PRE><PRE>这一部分的pam不一定要安装，因为openvpn不是直接调用mysql的，如果是openvpn直接调用mysql需要安装pam。（openvpn直接通过mysql,跟通过radius调用mysql主要是在计费统计上有很大区别，认证什么的差不多） 
rpm -qa | grep pam 
pam_passwdqc-1.0.2-1.2.2<o:p></o:p></PRE><PRE>pam-0.99.6.2-3.14.el5<o:p></o:p></PRE><PRE>pam_pkcs11-0.5.3-23<o:p></o:p></PRE><PRE>pam_krb5-2.2.11-1<o:p></o:p></PRE><PRE>pam-devel-0.99.6.2-3.14.el5<o:p></o:p></PRE><PRE>pam_smb-1.1.7-7.2.1<o:p></o:p></PRE><PRE>pam_ccreds-3-5<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>（1）、lzo<o:p></o:p></PRE><PRE>wget <A href="http://www.oberhumer.com/opensource/lzo/download/lzo-2.02.tar.gz">http://www.oberhumer.com/opensource/lzo/download/lzo-2.02.tar.gz</A><o:p></o:p></PRE><PRE>tar zxvf lzo-2.02.tar.gz<o:p></o:p></PRE><PRE>cd lzo-2.02<o:p></o:p></PRE><PRE>./configure<o:p></o:p></PRE><PRE>make<o:p></o:p></PRE><PRE>make install<o:p></o:p></PRE><PRE>这一部分是支持openvpn的压缩功能<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>(2)、安装openvpn<o:p></o:p></PRE><PRE>cd openvpn-2.0.9 <o:p></o:p></PRE><PRE><TT>./configure --prefix=/usr/local/openvpn --with-lzo-headers=/usr/local/include/lzo \<o:p></o:p></TT></PRE><PRE><TT>--with-lzo-lib=/usr/local/lib --with-ssl-headers=/usr/include/openssl</TT> \<o:p></o:p></PRE><PRE><TT>--with-ssl-lib=/usr/lib<o:p></o:p></TT></PRE><PRE><TT>make<o:p></o:p></TT></PRE><PRE><TT>make install</TT><o:p></o:p></PRE><PRE><TT><o:p></o:p></TT></PRE><PRE><TT>注释：以上路径请根据自己系统的配置调整<o:p></o:p></TT></PRE><PRE><TT> <o:p></o:p></TT></PRE><PRE><TT>(3)、生成密匙<o:p></o:p></TT></PRE><PRE><TT>cd /usr/local/src/openvpn-2.0.9<o:p></o:p></TT></PRE><PRE><TT>cp -rf ./easy-rsa/  /usr/local/openvpn/<o:p></o:p></TT></PRE><PRE><TT>cd /usr/local/openvpn/easy-rsa/2.0<o:p></o:p></TT></PRE><PRE>source ./vars<TT><o:p></o:p></TT></PRE><PRE><TT>./clean-all<o:p></o:p></TT></PRE><PRE>./build-ca<o:p></o:p></PRE><PRE>./build-key-server server<o:p></o:p></PRE><PRE>./build-dh<o:p></o:p></PRE><PRE>./build-key cl1<o:p></o:p></PRE><PRE>cd keys<o:p></o:p></PRE><PRE>/usr/local/openvpn/sbin/openvpn --genkey --secret ta.key<o:p></o:p></PRE><PRE>cd /usr/local/openvpn<o:p></o:p></PRE><PRE>mkdir ssl<o:p></o:p></PRE><PRE>cp -a ./easy-rsa/keys/2.0/ca.crt ./ssl/<TT><o:p></o:p></TT></PRE><PRE>cp -a ./easy-rsa/keys/2.0/dh1024.pem ./ssl/<TT><o:p></o:p></TT></PRE><PRE>cp -a ./easy-rsa/keys/2.0/ta.key ./ssl/<TT><o:p></o:p></TT></PRE><PRE>cp -a ./easy-rsa/keys/2.0/server.crt ./ssl/<TT><o:p></o:p></TT></PRE><PRE>cp -a ./easy-rsa/keys/2.0/server.key ./ssl/<TT><o:p></o:p></TT></PRE><PRE> <o:p></o:p></PRE><PRE>3、安装 RadiusPlugin<o:p></o:p></PRE><PRE>（1）、安装<o:p></o:p></PRE><PRE>cd /usr/local/src/<o:p></o:p></PRE><PRE>wget <A href="http://www.nongnu.org/radiusplugin/RadiusClass_v2.0.2.tar.gz"> wget http://www.nongnu.org/radiusplugin/radiusplugin_v2.0b_beta2.tar.gz </A><o:p></o:p></PRE><PRE>tar zxvf radiusplugin_v2.0b_beta2.tar.gz<o:p></o:p></PRE><PRE>cd radiusplugin_v2.0b_beta2<o:p></o:p></PRE><PRE>make<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>cp /usr/local/src/radiusplugin_v2.0b_beta2/radiusplugin.so /usr/local/openvpn/<o:p></o:p></PRE><PRE>cp /usr/local/src/radiusplugin_v2.0b_beta2/radiusplugin.cnf /usr/local/openvpn/<o:p></o:p></PRE><PRE style="tab-stops: 45.8pt 137.4pt 183.2pt 229.0pt 274.8pt 320.6pt 366.4pt 412.2pt 458.0pt 503.8pt 549.6pt 595.4pt 641.2pt 687.0pt 732.8pt">vi /usr/local/openvpn/radiusplugin.cnf<o:p></o:p></PRE><PRE style="tab-stops: 45.8pt 137.4pt 183.2pt 229.0pt 274.8pt 320.6pt 366.4pt 412.2pt 458.0pt 503.8pt 549.6pt 595.4pt 641.2pt 687.0pt 732.8pt">这里2个文件的位置，是自己定义的，根据这个定义的位置，后面相关配置要设定这里路径的<o:p></o:p></PRE><PRE style="tab-stops: 45.8pt 137.4pt 183.2pt 229.0pt 274.8pt 320.6pt 366.4pt 412.2pt 458.0pt 503.8pt 549.6pt 595.4pt 641.2pt 687.0pt 732.8pt"> <o:p></o:p></PRE><PRE style="tab-stops: 45.8pt 137.4pt 183.2pt 229.0pt 274.8pt 320.6pt 366.4pt 412.2pt 458.0pt 503.8pt 549.6pt 595.4pt 641.2pt 687.0pt 732.8pt">（2）、配置radiusplusin插件的配置文件radiusplugin.cnf<o:p></o:p></PRE><PRE style="tab-stops: 45.8pt 137.4pt 183.2pt 229.0pt 274.8pt 320.6pt 366.4pt 412.2pt 458.0pt 503.8pt 549.6pt 595.4pt 641.2pt 687.0pt 732.8pt"> <o:p></o:p></PRE><PRE># The NAS identifier which is sent to the RADIUS server<o:p></o:p></PRE><PRE>NAS-Identifier=OpenVpn<o:p></o:p></PRE><PRE># The service type which is sent to the RADIUS server<o:p></o:p></PRE><PRE>Service-Type=5<o:p></o:p></PRE><PRE># The framed protocol which is sent to the RADIUS server<o:p></o:p></PRE><PRE>Framed-Protocol=1<o:p></o:p></PRE><PRE># The NAS port type which is sent to the RADIUS server<o:p></o:p></PRE><PRE>NAS-Port-Type=5<o:p></o:p></PRE><PRE># The NAS IP address which is sent to the RADIUS server<o:p></o:p></PRE><PRE>NAS-IP-Address=127.0.0.1<o:p></o:p></PRE><PRE># Path to the OpenVPN configfile. The plugin searches there for<o:p></o:p></PRE><PRE># client-config-dir PATH   (searches for the path)<o:p></o:p></PRE><PRE># status FILE                      (searches for the file, version must be 1)<o:p></o:p></PRE><PRE># client-cert-not-required (if the option is used or not)<o:p></o:p></PRE><PRE># username-as-common-name  (if the option is used or not)<o:p></o:p></PRE><PRE>OpenVPNConfig=/usr/local/openvpn/server.conf<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE> </PRE><PRE> # Support for topology option in OpenVPN 2.1<o:p></o:p></PRE><PRE># If you don't specify anything, option "net30" (default in OpenVPN) is used. <o:p></o:p></PRE><PRE># You can only use one of the options at the same time.<o:p></o:p></PRE><PRE># If you use topology option "subnet", fill in the right netmask, e.g. from OpenVPN option "--server NETWORK NETMASK"  <o:p></o:p></PRE><PRE>#subnet=255.255.255.0<o:p></o:p></PRE><PRE># If you use topology option "p2p", fill in the right network, e.g. from OpenVPN option "--server NETWORK NETMASK"<o:p></o:p></PRE><PRE>#p2p=10.10.0.1<o:p></o:p></PRE><PRE>####################### Ich benutze die Default Option<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE># Allows the plugin to overwrite the client config in client config file directory,<o:p></o:p></PRE><PRE># default is true<o:p></o:p></PRE><PRE>overwriteccfiles=true<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE># Path to a script for vendor specific attributes.<o:p></o:p></PRE><PRE># Leave it out if you don't use an own script.<o:p></o:p></PRE><PRE># vsascript=/root/workspace/radiusplugin_v2.0.5_beta/vsascript.pl<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE># Path to the pipe for communication with the vsascript.<o:p></o:p></PRE><PRE># Leave it out if you don't use an own script.<o:p></o:p></PRE><PRE># vsanamedpipe=/tmp/vsapipe<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE># A radius server definition, there could be more than one.<o:p></o:p></PRE><PRE># The priority of the server depends on the order in this file. The first one has the highest priority.<o:p></o:p></PRE><PRE>server<o:p></o:p></PRE><PRE>{<o:p></o:p></PRE><PRE>        # The UDP port for radius accounting.<o:p></o:p></PRE><PRE>        acctport=1813<o:p></o:p></PRE><PRE>        # The UDP port for radius authentication.<o:p></o:p></PRE><PRE>        authport=1812<o:p></o:p></PRE><PRE>        # The name or ip address of the radius server.<o:p></o:p></PRE><PRE>        name=127.0.0.1<o:p></o:p></PRE><PRE>        # How many times should the plugin send the if there is no response?<o:p></o:p></PRE><PRE>        retry=1<o:p></o:p></PRE><PRE>        # How long should the plugin wait for a response?<o:p></o:p></PRE><PRE>        wait=1<o:p></o:p></PRE><PRE>        # The shared secret.<o:p></o:p></PRE><PRE>        sharedsecret= testing123<o:p></o:p></PRE><PRE>}<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE style="MARGIN-LEFT: 21.1pt; TEXT-INDENT: -21.1pt; mso-char-indent-count: -2.0; mso-char-indent-size: 10.55pt">注释：这里的sharedsecret= testing123跟radiusd的设置相关，注意/usr/local/etc/raddb/clients.conf中的client 127.0.0.1 的设置，（这个clients.conf是调用radius的客户端配置）<o:p></o:p></PRE><PRE style="MARGIN-LEFT: 42pt"> client 127.0.0.1 { 
    secret = testing123 
       shortname = localhost 
    nastype = other 
}<o:p></o:p></PRE><PRE>同时重要的是要在正式应用的时候 同时修改这2个地方的testing123，这个就是radius的密匙<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>4、配置openvpn的服务器设置文件server.conf<o:p></o:p></PRE><PRE>cp /usr/local/src/openvpn-2.0.9/sample-config-files/server.conf /usr/local/openvpn/server.conf<o:p></o:p></PRE><PRE>vi /usr/local/openvpn/server.conf<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>注释：注意这里的server.conf要与/usr/local/openvpn/radiusplugin.cnf中OpenVPNConfig的设置一致<o:p></o:p></PRE><PRE style="TEXT-INDENT: 31.6pt; mso-char-indent-count: 3.0; mso-char-indent-size: 10.5pt">这里的openvpn服务器端可以有多个配置文件，每一个配置等于开启了一个单独的vpn服务，但是要单独设置每个服务器端配置文件./build-key-server ser***  同时不同的客户端./build-key cl1*** 对应于相应 ser****的unit name，同时客户端要拷贝不同的ser***.crt<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>port 1194   <o:p></o:p></PRE><PRE>proto udp<o:p></o:p></PRE><PRE># Which device<o:p></o:p></PRE><PRE>dev tun<o:p></o:p></PRE><PRE>;fast-io<o:p></o:p></PRE><PRE>user nobody<o:p></o:p></PRE><PRE>group nogroup<o:p></o:p></PRE><PRE>persist-tun<o:p></o:p></PRE><PRE>persist-key<o:p></o:p></PRE><PRE>server 10.14.0.0 255.255.0.0<o:p></o:p></PRE><PRE>management 127.0.0.1 7505<o:p></o:p></PRE><PRE>float<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>username-as-common-name<o:p></o:p></PRE><PRE>;client-config-dir ccd <o:p></o:p></PRE><PRE>client-cert-not-required<o:p></o:p></PRE><PRE>client-to-client<o:p></o:p></PRE><PRE>#push "redirect-gateway def1"<o:p></o:p></PRE><PRE>push "dhcp-option DNS 172.21.41.15"<o:p></o:p></PRE><PRE>ping-timer-rem<o:p></o:p></PRE><PRE>keepalive 10 120<o:p></o:p></PRE><PRE># Use compression<o:p></o:p></PRE><PRE>comp-lzo<o:p></o:p></PRE><PRE># Strong encryption<o:p></o:p></PRE><PRE>tls-server<o:p></o:p></PRE><PRE>tls-auth ssl/ta.key 0<o:p></o:p></PRE><PRE>dh ssl/dh1024.pem<o:p></o:p></PRE><PRE>ca ssl/ca.crt<o:p></o:p></PRE><PRE>cert ssl/server.crt<o:p></o:p></PRE><PRE>key ssl/server.key<o:p></o:p></PRE><PRE>max-clients 200<o:p></o:p></PRE><PRE>plugin /usr/local/openvpn/radiusplugin.so /usr/local/openvpn/radiusplugin.cnf<o:p></o:p></PRE><PRE>verb 3<o:p></o:p></PRE><PRE>mute 10<o:p></o:p></PRE><PRE>status /var/log/openvpn/status.log 1<o:p></o:p></PRE><PRE>log /var/log/openvpn/openvpn.log<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>mkdir /usr/local/openvpn/ccd<o:p></o:p></PRE><PRE>mkdir /var/log/openvpn<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>这里我定义10.14段主要是不想跟别人定义的冲突：<o:p></o:p></PRE><PRE>#让客户端发起的所有IP请求都通过OPENVPN服务器 </PRE><PRE>#这一句还是不用的好，没必要全部从vpn走，一般通过dns把内网的通过这里就可以了</PRE><PRE>#除非对方本地上网是被限制的，那么可以考虑开放这个配置，所有的通过vpn上网</PRE><PRE>push "redirect-gateway def1"<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE>#定义客户端的dns服务器地址，设置本地的服务器内网地址就可以了 <o:p></o:p></PRE><PRE>push "dhcp-option DNS 172.21.41.15"<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE>注释：（这一部分暂时用不到,就是端到端的服务配置）<o:p></o:p></PRE><PRE>关于服务器端内网可以访问客户端内网的设置</PRE><PRE># 使服务器子网内机器可以访问客户端子网内机器 </PRE># 仅用于路由模式 # 假设:客户端子网网段192.168.1.0 # 首先,在服务器配置文件中添加下面这两行 #     client-config-dir ccd #   和route 192.168.1.0   255.255.255.0 # 然后在服务器端ccd目录下创建一个文件,文件名是客户端的公共名，这里的公共名是客户证书的公共名<o:p></o:p><PRE># 文件内容是: 
#    iroute 192.168.1.0   255.255.255.0 
;client-config-dir ccd 
;route 192.168.1.0   255.255.255.0<o:p></o:p></PRE>
ccd目录通常在配置文件目录下面建立,公共名(common name)在生成证书,回答问题时填上的,跟证书的文件名一至. route 192.168.1.0   255.255.255.0表示在服务器端增加访问客户端的路由(192.168.1.0/24指的是客户端网段)<o:p></o:p><PRE>我现在的配置还暂时用不到这个设置项，以上只是参考，感觉有些特殊的地方还是用的到的！<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE>client-to-client 如果让Client之间可以相互看见，去掉本行的注释掉，否则Client之间无法相互访问<o:p></o:p></PRE><PRE>duplicate-cn  是否允许一个User同时登录多次，去掉本行注释后可以使用同一个用户名登录多次 
plugin /usr/local/openvpn/radiusplugin.so /usr/local/openvpn/radiusplugin.cnf 说明使用的插件， 
client-cert-not-required #不请求客户的CA证书 
username-as-common-name #使用客户提供的UserName作为Common Name 
 
<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE>四、开启radius和openvpn服务<o:p></o:p></PRE><PRE>1、建立openvpn的shell执行脚本<o:p></o:p></PRE><PRE>cp /usr/local/src/openvpn-2.0.9/sample-scripts/openvpn.init  /etc/init.d/<o:p></o:p></PRE><PRE>ln -s /usr/local/openvpn/sbin/openvpn  /usr/sbin/openvpn<o:p></o:p></PRE><PRE>vi /etc/init.d/openvpn.init<o:p></o:p></PRE><PRE>work=/usr/local/openvpn<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE>2、开启 openvpn服务器进程<o:p></o:p></PRE><PRE>/etc/init.d/openvpn.init start<o:p></o:p></PRE><PRE>这个时候要看一下  ifconfig 有没有 tun0设备，如果有就基本ok了！<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE>如果有错误，请看/var/log/messages 和 /var/log/openvpn/openvpn.log的信息<o:p></o:p></PRE><PRE>如果关闭openvpn使用 ：/etc/init.d/openvpn.init stop<o:p></o:p></PRE><PRE>在测试的时候，由于配置出错，会碰到/etc/init.d/openvpn.init stop关闭不了，使用killall openvpn来关闭<o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>3、开启radius服务<o:p></o:p></PRE><PRE>这个做到这里容易忘记，我就忘了，还查了一阵子错误<o:p></o:p></PRE><PRE>radiusd &<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE> </PRE><PRE>五、windows下client.opvn客户端配置文件：<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE># Which device<o:p></o:p></PRE><PRE>dev tun<o:p></o:p></PRE><PRE>persist-key<o:p></o:p></PRE><PRE>persist-tun<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE># Our remote peer<o:p></o:p></PRE><PRE>nobind<o:p></o:p></PRE><PRE>remote *.*.*.* 1194<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE>#出现用户、密码的认证<o:p></o:p></PRE><PRE>auth-user-pass<o:p></o:p></PRE><PRE>ns-cert-type server<o:p></o:p></PRE><PRE>tls-auth ta.key 1<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE>#对于客户端建立了vpn连接后，通过vpn远程走的route设定（这里172.16.0.0  255.248.0.0是所有的内网包括从内部路由走出去的其他公司的内网，可以添加多个网段。）<o:p></o:p></PRE><PRE>route 172.16.0.0 255.240.0.0<o:p></o:p></PRE><PRE># Use compression<o:p></o:p></PRE><PRE>comp-lzo<o:p></o:p></PRE><PRE># Strong encryption<o:p></o:p></PRE><PRE>verb 3<o:p></o:p></PRE><PRE>mute 10<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>六、服务器端的路由和防火墙的调整<o:p></o:p></PRE><PRE>把以下的iptables命令放在靠前的规则中<o:p></o:p></PRE><PRE>#我这里定义$IPT 是 /sbin/iptables<o:p></o:p></PRE><PRE>#对于udp 1813和udp 1812 端口，因为radius是127.0.0.1本地的调用，所以不要另外再开许可<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE>#打开openvpn连接端口udp 1194<o:p></o:p></PRE>
$IPT -A INPUT -p udp -m udp --dport 1194 -j ACCEPT<o:p></o:p><PRE>＃许可tun设备的，如果你开的是tap设备进行相应的更改<o:p></o:p></PRE><PRE>$IPT -A INPUT -i tun0  -j ACCEPT<o:p></o:p></PRE><PRE>$IPT -A OUTPUT -o tun0  -j ACCEPT<o:p></o:p></PRE><PRE>$IPT -A FORWARD -i tun0 -j ACCEPT<o:p></o:p></PRE><PRE>$IPT -t nat -A POSTROUTING -s 10.14.0.0/24 -o $LOCAL_IFACE -j SNAT --to-source $LOCAL_IP<o:p></o:p></PRE><PRE>七、自安装客户端的生成步骤<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE>1、下载客户端**程序<o:p></o:p></PRE>
<A href="http://www.openvpn.se/files/nsis/nsis205.exe">http://www.openvpn.se/files/nsis/nsis205.exe</A><o:p></o:p>
<A href="http://www.openvpn.se/files/install_packages_source/openvpn_install_source-2.0.9-gui-1.0.3.zip">http://www.openvpn.se/files/install_packages_source/openvpn_install_source-2.0.9-gui-1.0.3.zip</A><o:p></o:p>
 <o:p></o:p>
2、安装nsis205.exe<o:p></o:p>
 <o:p></o:p>
（1）、生成正确的配置源<o:p></o:p>
在windows下解压缩<A href="http://www.openvpn.se/files/install_packages_source/openvpn_install_source-2.0.7-gui-1.0.3.zip">openvpn_install_source-2.0.9-gui-1.0.3.zip</A><o:p></o:p>
**openvpn_install_source-2.0.9-gui-1.0.3/openvpn/目录下，建立config，<o:p></o:p>
将正确的客户端的配置文件和密匙放到这个目录下（一个配置文件、3个跟密匙有关的文件）：<o:p></o:p>
client.ovpn、 ta.key 、ca.crt、server.crt<o:p></o:p>
 <o:p></o:p>
注释：<o:p></o:p>
clint.ovpn就是client.conf！<o:p></o:p>
 <o:p></o:p>
(2)、编辑生成正确的配置文件<o:p></o:p>
编辑openvpn_install_source-2.0.9-gui-1.0.3目录下openvpn-gui.nsi文件<o:p></o:p>
查找  ;File "${HOME}\config\Office.ovpn"<o:p></o:p>
替换成<o:p></o:p>
  File "${HOME}\config\client.ovpn"<o:p></o:p>
  File "${HOME}\config\ca.crt"<o:p></o:p>
  File "${HOME}\config\server.crt"<o:p></o:p>
  File "${HOME}\config\ta.key"<o:p></o:p>
 <o:p></o:p>
（3）、生成自动安装程序<o:p></o:p>
运行NSIS Menu 的<o:p></o:p>
compiler -- star MakNsiSW<o:p></o:p>
菜单files--load script<o:p></o:p>
 <o:p></o:p>
导入openvpn_install_source-2.0.9-gui-1.0.3/目录下的openvpn-gui.nsi<o:p></o:p>
 <o:p></o:p><PRE>导入这个openvpn-gui.nsi就会在目录openvpn_install_source-2.0.9-gui-1.0.3下自动生成openvpn_install_source-2.0.9-gui-1.0.3-install.exe<o:p></o:p></PRE><PRE>在客户端运行这个程序就能得到正确配置的客户端！<o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE><o:p></o:p></PRE><PRE> <o:p></o:p></PRE><PRE>参考：<o:p></o:p></PRE><PRE><A href="http://www.roessner-net.com/VPN_RADIUS_MYSQL.howto.txt">http://www.roessner-net.com/VPN_RADIUS_MYSQL.howto.txt</A><o:p></o:p></PRE><PRE><A href="http://www.linuxfly.org/read.php?86">http://www.linuxfly.org/read.php?86</A><o:p></o:p></PRE><PRE><A href="http://www.xiaohui.com/dev/server/20070514-install-openvpn.htm">http://www.xiaohui.com/dev/server/20070514-install-openvpn.htm</A><o:p></o:p></PRE><PRE><A href="http://www.xxlinux.com/linux/article/development/database/20060707/2522_2.html">http://www.xxlinux.com/linux/article/development/database/20060707/2522_2.html</A><o:p></o:p></PRE><PRE><A href="http://blog.chinaunix.net/u/2389/">http://blog.chinaunix.net/u/2389/</A></PRE></DIV>

页: [1]

运维之家's Archiver

freeradius+openvpn+mysql搭建