本文介绍使用 StrongSwan 搭建 VPN 的过程，适合有一定 linux 基础的用户。
StrongSwan 是基于 OpenSource IPsec 的 VPN 解决方案，官方网站：https://www.strongswan.org/ ，如果无法访问请使用科学上网，原因你懂的。
1 2 3 4 5 6 7 8 | #下载安装脚本 wget https://raw.githubusercontent.com/Angristan/OpenVPN-install/master/openvpn-install.sh #给脚本增加可执行权限 chmod +x openvpn-install.sh #运行脚本安装 ./openvpn-install.sh |
想要更多？没了！就是这么简单。
安装过程需要用户选择多次选择设置项。按提示输入序号就可以。 具体说明请看 这里
如果你同我一样需要在路由器上连接 OpenVPN 服务端，可能会遇到一些问题，最典型的就是客户端的版本过低，服务端不支持。例如我的华硕路由器的 OpenVPN 客户端是 2.3.2 版本的，上面安装的服务端加密方式要求最低版本为2.4。
要解决这个问题，只需修改几项配置即可。
修改服务端配置
1 | nano /etc/openvpn/server.conf |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 | port 1194 proto udp dev tun user nobody group nobody persist-key persist-tun keepalive 10 120 topology subnet server 10.8.0.0 255.255.255.0 ifconfig-pool-persist ipp.txt push "dhcp-option DNS 8.8.8.8" push "dhcp-option DNS 8.8.4.4" push "redirect-gateway def1 bypass-dhcp" crl-verify crl.pem ca ca.crt cert server_7nXHxN25RjHzpvzv.crt key server_7nXHxN25RjHzpvzv.key dh dh.pem compress lz4-v2 push "compress lz4-v2" tls-server tls-auth tls-auth.key 0 cipher AES-256-CBC status /var/log/openvpn/status.log verb 3 |
修改客户端配置
在脚本的同一目录下会生成一个 .ovpn 文件，这是给客户端的配置文件。编辑它。
1 | nano client.ovpn |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 | client proto udp remote 你的ip或域名 1194 dev tun resolv-retry infinite nobind persist-key persist-tun remote-cert-tls server verify-x509-name server_TP2kfJ5lwhmkDCEc name auth SHA256 auth-nocache cipher AES-128-CBC tls-client #注释掉下面两行 #tls-version-min 1.2 #tls-cipher TLS-DHE-RSA-WITH-AES-128-GCM-SHA256 setenv opt block-outside-dns verb 3 <ca> #此处省略 </ca> <cert> #此处省略 </cert> <key> #此处省略 </key> key-direction 1 <tls-auth> #此处省略 </tls-auth> |
保存之后将此文件上传到路由器，即可成功连接vpn。
查看服务端运行状态
1 | systemctl status openvpn@server |
CentOS 8 安装请移步 《CentOS 8 使用 Strongswan IPsec IKEv2 搭梯》
本文介绍使用 StrongSwan 搭建 VPN 的过程，适合有一定 linux 基础的用户。
本文使用的服务器
StrongSwan 是基于 OpenSource IPsec 的 VPN 解决方案，官方网站：https://www.strongswan.org/ ，如果无法访问请使用科学上网，原因你懂的。
StrongSwan 运行于 Linux 系统上，本文使用 CentOS 7 系统。
由于基于源码自行编译安装过于繁琐，这里只介绍使用 yum 的安装方式。
首先，配置 StrongSwan 的源，此软件已包含在 EPEL 源中，关于配置 yum 源，请参考 《CentOS 7 配置 LNMP + FTP 环境》文中的 “添加常用软件源” 部分。
安装 StrongSwan
1 | yum install strongswan |
启用开机启动
1 | systemctl enable strongswan |
StrongSwan IPsec IKEv2 连接需要用到服务器证书，用于验证服务器身份。由于自签发证书不受操作系统信任，我们需要申请 Let’s Encrypt 免费证书。
申请方式参考《CentOS 7 Nginx Let’ s Encrypt SSL 证书安装配置》, 申请的域名必须是明确的，不能用通配符证书代替。例如，vpn.xxx.com, 申请证书时，必须带上 -d vpn.xxx.com 参数。
安装证书
假设上一步我们申请的证书保存在 /etc/letsencrypt/live/xxx.com 中，xxx.com 是你申请证书使用的域名。
我们使用创建软连接的方式使用证书
1 2 3 4 5 6 | cd /etc/strongswan/ipsec.d ln -s /etc/letsencrypt/live/xxx.com/fullchain.pem ./certs/fullchain.pem ln -s /etc/letsencrypt/live/xxx.com/privkey.pem ./private/privkey.pem #下载 letsencrype 中间证书, 此步对于 windows 客户端连接至关重要。 wget https://letsencrypt.org/certs/lets-encrypt-r3-cross-signed.pem -O /etc/strongswan/ipsec.d/cacerts/lets-encrypt-x3-cross-signed.pem |
证书安装完成
修改 ipsec.conf 主配置文件
1 | nano /etc/strongswan/ipsec.conf |
删除原有内容，写入已下内容
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 | conn setup uniqueids = no conn %default compress = yes keyexchange=ike ike=aes256-sha256-sha1-modp2048-modp1024,3des-sha256-sha1-modp2048-modp1024! esp=aes256-sha256-sha1,3des-sha256-sha1! leftdns=8.8.8.8,8.8.4.4 rightdns=8.8.8.8,8.8.4.4 conn ikev2 dpdaction=clear dpddelay=60s rekey=no fragmentation=yes eap_identity=%identity left=%any leftid=这里用你申请证书时使用的域名，如“xxx.com” leftsubnet=0.0.0.0/0 leftauth=pubkey leftcert=fullchain.pem leftsendcert=always leftfirewall=yes right=%any rightid=%any rightsourceip=10.1.0.0/24 rightauth=eap-mschapv2 rightsendcert=never auto=add |
修改 charon.conf, 配置日志输出文件。
1 | nano /etc/strongswan/strongswan.d/charon.conf |
日志不是必要项，建议只用在调试配置时使用，配置正常后注释掉 filelog 节部分。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 | charon { filelog { charon-debug-log { path = /var/log/charon_debug.log time_format = %b %e %T default = 2 mgr = 0 net = 1 enc = 1 asn = 1 job = 1 ike_name = yes append = no flush_line = yes } } #这里是其它设置...... } |
修改 ipsec.secrets , 增加 vpn 账户。
1 | nano /etc/strongswan/ipsec.secrets |
添加服务端证书私钥，新建用户账号。
1 2 3 4 5 | #这是申请的证书的私钥 : RSA privkey.pem #这是用户账号，每行一个账号，格式为 [账号 %any : EAP "密码"] user1 %any : EAP "password1" user2 %any : EAP "password2" |
1 | nano /etc/sysctl.conf |
增加下面的内容
1 2 3 4 5 | # VPN net.ipv4.ip_forward = 1 net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.all.send_redirects = 0 net.ipv6.conf.all.forwarding=1 |
重新加载规则
1 | sysctl -p |
CentOS 7 默认使用 firewalld 防火墙， 有关 firewalld 的介绍请看这里。
允许 ‘AH’ 和 ‘ESP’ 身份验证协议和加密协议通过防火墙
1 2 | firewall-cmd --zone=public --permanent --add-rich-rule='rule protocol value="esp" accept' firewall-cmd --zone=public --permanent --add-rich-rule='rule protocol value="ah" accept' |
开放 ipsec 和相关端口
1 2 3 | firewall-cmd --zone=public --permanent --add-port=500/udp firewall-cmd --zone=public --permanent --add-port=4500/udp firewall-cmd --zone=public --permanent --add-service="ipsec" |
允许 ip 伪装
1 | firewall-cmd --zone=public --permanent --add-masquerade |
然后重新加载防火墙
1 | firewall-cmd --reload |
首先禁用 firewalld
1 2 | systemctl stop firewalld systemctl disable firewalld |
然后安装 iptables
1 2 | yum install iptables-services systemctl enable iptables |
配置 iptables
1 | nano /etc/sysconfig/iptables |
在默认内容基础上，添加几条规则（下面高亮的部分）。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 | *nat :PREROUTING ACCEPT [0:0] :INPUT ACCEPT [0:0] :OUTPUT ACCEPT [0:0] :POSTROUTING ACCEPT [0:0] -A POSTROUTING -m policy --pol ipsec --dir out -j ACCEPT -A POSTROUTING -s 10.1.0.0/24 -o eth0 -j MASQUERADE COMMIT *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p icmp -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -i eth0 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT -A INPUT -p ah -j ACCEPT -A INPUT -p esp -j ACCEPT -A INPUT -p udp -m udp --dport 500 -j ACCEPT -A INPUT -p udp -m udp --dport 4500 -j ACCEPT -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -i eth0 -m policy --pol ipsec --dir in -j ACCEPT -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT |
重新加载 iptables 规则
1 | systemctl restart iptables |
1 | systemctl restart strongswan |
开始->设置->网络和Internet->vpn->添加vpn连接
添加完成后点击“更改适配器选项”
在vpn连接项点右键，属性->网络
双击 ipv4 ，点击“高级”
勾选“在远程网络上使用默认网关”， 取消“自动跃点”，手动填写跃点数为“10”（当自动跃点无法上网时才设置手动跃点）。如何确定跃点数，请看下面内容。
确定后连接 vpn 即可。
确定跃点数
因为 win10 系统的问题，经常会出现vpn连接能连上，就是打不开网页的情况，这是因为“本地连接”的优先级高于“vpn”的优先级，导致所有的请求优先使用“本地连接”的dns去解析域名，由于我们国家坚持推行使用社会主义特色的dns，所以某些域名解析会返回无效或错误的ip地址，这就导致我们无法正常访问网站！跃点数就是设定优先级用的。
我们需要做的就是让 “vpn 连接” 的跃点数小于 “本地连接” 的跃点数。
断开vpn, 打开 PowerShell 窗口，输入下面命令。
1 2 | #查看接口 Get-NetIPInterface -AddressFamily ipv4 |
第一列表示当前接口的索引号，第二列是名称，InterfaceMetric 列即接口的跃点，我的本地连接名是 WLAN, 跃点是35。
查看“本地连接”网卡的跃点数为 35，因此上一步中设置的跃点数只要小于35即可（跃点数越小优先级越高），所以我们设置为10。
“设置->VPN->添加配置”, 选 IKEv2
描述: 随便填
服务器: 填url或ip
远程ID: ipsec.conf 中的 leftid, 如 “xxx.com”
用户鉴定: 用户名
用户名: EAP 项用户名, 如 “user1”
密码: EAP 项密码, 如 “password1”
原理同 ios, 我没有 mac 做验证。
需下载安装客户端程序，前往官网下载
最新版 apk 程序
当前最新 .net core 版本为 2.1
打开 .net core 下载页面，https://www.microsoft.com/net/download/linux ，页面包含 .net core sdk 及 .net core runtime 两个安装包。
如果需要在 linux 上进行开发，要安装 .net core sdk 版本，不需要开发推荐安装 .net core runtime 版本。
点击 install .NET Core 2.1 Runtime ，进入下载页面,在下拉框中选择 Centos。
按提示输入以下命令
1 2 3 4 5 6 7 | rpm -Uvh https://packages.microsoft.com/config/rhel/7/packages-microsoft-prod.rpm #如果需要同时支持运行 asp.net core 和 .net core app ,则运行这条命令 yum install aspnetcore-runtime-2.1 #如果只要需运行 .net core app, 不需要 asp.net core ,则运行这条命令 yum install dotnet-runtime-2.1 |
安装完成后运行 dotnet –info 查看版本信息
VMware Workstation Pro 12.5.2
CentOS 7.3 minimal
如按菜单上的 “安装 VMware Tools” 安装到最后会看到几处错误提示, 都是有关 “wait_on_bit” 的, 最终结果就是 vmhgfs 组件编译出错, 不能共享文件夹.
1 2 | warning: passing argument 3 of ‘wait_on_bit’ ... error: too many arguments to function ‘wait_on_bit’ ... |
要解决这个问题需要修改 hgfs 相关的源码.
启动虚拟机, 以 root 用户登录
安装必备软件
1 2 3 4 | yum install perl gcc kernel-headers kernel-devel #必须重启 reboot |
先安装 open-vm-tools
1 2 | #此 vm tools 提供除了与主机文件共享外的其他功能 yum install open-vm-tools |
创建光盘挂载点
1 | mkdir /mnt/cdrom |
点击 vm 菜单上的 虚拟机->安装 VMware Tools 项, 将 VMware Tools 光盘载入光驱.
挂载光盘到刚创建的目录
1 | mount /dev/cdrom /mnt/cdrom |
进入挂载后的目录, 找到 VMwareTools-xxxx.tar.gz 文件, 将它解压到其他目录, 我这里解压到 /root 下
1 2 | cd /mnt/cdrom tar zxvf VM*.gz -C /root |
修改 hgfs 源码
1 2 3 4 5 6 7 | #进入源码目录 cd /root/vmware-tools-distrib/lib/modules/source #解压 hgfs 源码 tar xf vmhgfs.tar cd vmhgfs-only #编辑 page.c 文件, 如果没有安装 nano 用 yum 安装 nano page.c |
按 Ctrl + w 打开搜索框, 输入以下内容, 按回车搜索.
1 | #if LINUX_VERSION_CODE >= KERNEL_VERSION(3, 19, 0) |
多次 Ctrl + w 查找, 直到找到包含以下内容的代码
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 | int HgfsWbRequestWait(HgfsWbPage *req) { #if LINUX_VERSION_CODE >= KERNEL_VERSION(3, 19, 0) return wait_on_bit_io(&req->wb_flags, PG_BUSY, TASK_UNINTERRUPTIBLE); #elif LINUX_VERSION_CODE >= KERNEL_VERSION(2, 6, 13) return wait_on_bit(&req->wb_flags, PG_BUSY, #if LINUX_VERSION_CODE < KERNEL_VERSION(3, 17, 0) HgfsWbRequestWaitUninterruptible, #endif TASK_UNINTERRUPTIBLE); #else wait_event(req->wb_queue, !test_bit(PG_BUSY,&req->wb_flags)); return 0; #endif } |
将 #if LINUX_VERSION_CODE >= KERNEL_VERSION(3, 19, 0) 中的 3, 19, 0 替换为 3, 10, 0
1 | #if LINUX_VERSION_CODE >= KERNEL_VERSION(3, 10, 0) |
保存退出
1 2 3 | cd .. #将改好的代码重新打包 tar cf vmhgfs.tar vmhgfs-only |
开始安装
1 2 | cd /root/vmware* ./vmware-install.pl |
一路回车,直到安装完毕.
重启系统
1 | reboot |
设置共享文件夹, 之后再次重启系统, 共享目录就生效了
1 2 | reboot ls /mnt/hgfs |
刚安装的系统 分辨率非常小, 不方便操作, 这里修改分辨率为 1152 * 864 32位色.
CentOS 7 使用 grub2 启动, 修改分辨率的参数放在 /etc/default/grub 文件中
1 | nano /etc/default/grub |
在 GRUB_CMDLINE_LINUX=”xxxx” 项最后插入 vga=0x342 (分辨率为 1152*864*32)
1 | GRUB_CMDLINE_LINUX="xxxx vga=0x342" |
保存退出
令配置生效
1 | grub2-mkconfig -o /boot/grub2/grub.cfg |
重启系统就能看到分辨率变化了.
1 | reboot |
如果想查看所有支持的分辨率, 可将0x342改为ask, 当系统启动时会列出所有分辨率供选择.
记住要改的分辨率对应的三位数编码再按上面的方法改 /etc/default/grub 就可以了.
更全面的内容可以查看 FirewallD 官网文档
firewalld 最重要的是 zone 区域的概念
什么是区域？
网络区域定义了网络连接的可信等级。这是一个一对多的关系，这意味着一次连接可以仅仅是一个区域的一部分，而一个区域可以用于很多连接。
预定义的区域列表如下, 每个区域都是一个 xml 文件, 保存在 /usr/lib/firewalld/zones/ 中, 不要编辑这里的文件
自定义区域则保存在 /etc/firewalld/zones/ 中, 可以编辑这里的文件, 这里的设置将覆盖 /usr/lib/firewalld/zones/ 中的设置
区域列表, public 是默认区域, 由 firewalld 提供的区域按照从不信任到信任的顺序排序。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 | drop（丢弃） 任何接收的网络数据包都被丢弃，没有任何回复。仅能有发送出去的网络连接。 block（阻塞） 任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。 public（公开） 用以可以公开的部分。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。 external（外部） 用在路由器等启用伪装的外部网络。你认为网络中其他的计算机不可信并且可能伤害你的计算机。只允许选中的连接接入。 dmz（隔离区） 用以允许隔离区（dmz）中的电脑有限地被外界网络访问。只接受被选中的连接。 work（工作） 用于工作网络。您可以基本相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选择的连接。 home（家庭） 用于家庭网络。您可以基本信任网络内的其他计算机不会危害您的计算机。仅仅接收经过选择的连接。 internal（内部） 用于内部网络。您可以基本上信任网络内的其他计算机不会威胁您的计算机。仅仅接受经过选择的连接。 trusted（信任） 可接受所有的网络连接。 |
什么是接口?
就是指实际的网卡, 如 eth0, em1. 一个接口只能属于一个区域
什么是服务?
一项服务可以是本地和目的地端口的列表，如果服务被允许的话，也可以是一系列自动加载的防火墙辅助模块。服务通过单个的 XML 配置文件来指定，这些配置文件则按以下格式命名：service-name.xml。
预定义服务保存在 /usr/lib/firewalld/services/ 中
自定义服务保存在 /etc/firewalld/services/ 中
CentOS 7 默认使用 firewalld 防火墙, 如果没有启用. 先启用.
1 2 | systemctl enable firewalld systemctl start firewalld |
有两种工具可以配置
firewall-config ,图形界面工具, 需要安装图形界面相关的依赖, 这里就不多介绍了.
firewall-cmd , 命令行工具, 主要使用它来配置防火墙.
在设置命令后加 –permanent 参数才会永久保存, 否则在重新加载配置后会丢失设置.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 | #查看版本 firewall-cmd --version #显示帮助 firewall-cmd --help #查看防火墙状态 firewall-cmd --state #列出所有支持的icmp类型 firewall-cmd --permanen --get-icmptypes #列出所有区域 firewall-cmd --permanen --get-zones #查看当前活动区域 firewall-cmd --get-active-zones #设置默认区域 firewall-cmd --set-default-zone=public #列出某个区域的所有设置 firewall-cmd --permanen --zone=public --list-all #列出所有区域的所有设置 firewall-cmd --permanen --list-all-zones #把指定的接口加入到某个区域中 firewall-cmd --permanen --zone=public --add-interface=eth0 #修改接口所属区域 firewall-cmd --permanen --zone=public --change-interface=eth0 #从区域中删除一个接口 firewall-cmd --permanen --zone=public --remove-interface=eth0 #查询区域中是否包含某接口 firewall-cmd --permanen --zone=public --query-interface=eth0 #列出所有预定义和自定义服务 firewall-cmd --get-service #列出某区域已允许的服务 firewall-cmd --permanen --zone=public --list-services #查询某区域是否启用了某服务 firewall-cmd --permanen --zone=public --query-service=ssh #为某个区域启用某种服务 firewall-cmd --permanen --zone=public --add-service=ssh #禁用某区域的某服务 firewall-cmd --permanen --zone=public --remove-service=ssh #列出某区域的所有端口,定义在服务中的端口不会显示在这 firewall-cmd --permanen --zone=public --list-ports #为某区域启用端口和协议组合 firewall-cmd --permanen --zone=public --add-port=8080/tcp #为某区域启用端口范围和协议组合 firewall-cmd --permanen --zone=public --add-port=5060-5061/udp #为某区域移除某端口 firewall-cmd --permanen --zone=public --remove-port=8080/tcp #配置伪装 IP 地址 #查询是否支持伪装 firewall-cmd --permanen --zone=external --query-masquerade #允许ip伪装 firewall-cmd --permanen --zone=external --add-masquerade #禁用ip伪装 firewall-cmd --permanen -zone=external --remove-masquerade #配置端口转发, 首先用上面的命令启用ip伪装 #本来要送到 22 端口的程序包现在被转发到 3753 端口。 #源目的端口用 port 选项指定。这个选项可以是一个端口，或者一组端口范围并加上协议。如果指定协议的话，这个协议必须是 tcp 或 udp。 #这个新的本地端口，即流量被转发过去的端口或者端口范围，需用 toport 选项指定。 firewall-cmd --permanen --zone=external --add-forward-port=port=22:proto=tcp:toport=3753 #不改变目的端口将程序包转发到另一个通常是内部地址的 IPv4 地址 #原本发往22端口的程序包现在被转发到相同的端口，地址则由 toaddr 提供。 #源目的地端口用 port 指定。这个选项可能是一个端口，或者一组端口范围并加上协议。如果被指定，协议必须是 tcp 或 udp 中的一个。 firewall-cmd --permanen --zone=external --add-forward-port=port=22:proto=tcp:toaddr=192.0.2.55 #改变目的端口和地址 firewall-cmd --permanen --zone=external --add-forward-port=port=22:proto=tcp:toport=2055:toaddr=192.0.2.55 #复杂防火墙规则配置 “Rich Language" 语法 #列出某区域已添加的规则 firewall-cmd --permanen --zone=public --list-rich-rule #检查一项规则是否存在 firewall-cmd --permanen --zone=public --query-rich-rule='rule' #为 zone 分区增加一项多语言规则 rule 。这个选项可以多次指定。如果分区被省略，将使用默认分区。如果出现超时，规则将在指定的秒数内被激活，并在之后被自动移除。 firewall-cmd --permanen --zone=public --add-rich-rule='rule' [--timeout 9=seconds] #为 zone 分区移除一项多语言规则 （rule） 。这个选项可以多次指定。如果分区被省略，将使用默认分区。 firewall-cmd --permanen --zone=public --remove-rich-rule='rule' #重启防火墙 firewall-cmd --reload |
RichLanguage 官方文档
Shadowsocks 需要 python 运行.
1 2 3 4 5 6 7 8 9 10 11 12 | #安装 python setup tools yum install python-setuptools #安装pip easy_install pip #升级 pip pip install --upgrade pip #安装git yum install git #安装 shadowsocks, 当前版本为 3.0 pip install git+https://github.com/shadowsocks/shadowsocks.git@master #升级 shadowsocks pip install --upgrade git+https://github.com/shadowsocks/shadowsocks.git@master |
1 | nano /usr/lib/systemd/system/shadowsocks.service |
写入下面的内容
1 2 3 4 5 6 7 8 9 10 11 12 13 14 | [Unit] Description=Shadowsocks Server Documentation=https://github.com/shadowsocks/shadowsocks After=network.target remote-fs.target nss-lookup.target [Service] Type=forking #设置启动时的配置文件,根据自己的需求改. ExecStart=/usr/bin/ssserver -c /usr/share/nginx/etc/shadowsocks.json -d start ExecReload=/bin/kill -HUP $MAINPID ExecStop=/usr/bin/ssserver -d stop [Install] WantedBy=multi-user.target |
保存退出
添加配置文件
1 2 | #改为上一步中的路径, 确保各级目录存在 nano /usr/share/nginx/etc/shadowsocks.json |
写入配置内容
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 | { "port_password": { "8388":"密码1", "端口2":"密码2" }, "_comment": { "8388":"注释1,日志中标识用户用的", "端口2":"注释2" }, "timeout":300, "method":"aes-256-gcm", "fast_open": false } |
保存退出
启动服务
1 2 | systemctl enable shadowsocks systemctl start shadowsocks |
配置完成
记得在防火墙中开放相应端口
首先下载客户端, 虽然原作者删除了服务端代码, 但他仍在开发客户端.
下载后解压, 配置服务器参数即可使用, 方法就不多说了.
本次安装使用的服务器配置:
DigitaIOcean VPS + CentOS 7 + vsftpd 3.0.2
这里只介绍 TLS 的启用, 安装与其他配置部分请参考 <<CentOS 7 配置 LNMP + FTP 环境>> .
FTP 有两种加密方式, SSH 和 SSL/TLS, 这里使用 SSL/TLS 中的 TLS.
使用 SSL/TLS 方式需要有加密证书, 获取免费证书请参考 <<CentOS 7 Nginx Let’ s Encrypt SSL 证书安装配置>> 中的内容.
安装配置完毕后, 修改 vsftpd.conf 文件.
1 | nano /etc/vsftpd/vsftpd.conf |
添加以下内容
1 2 3 4 5 6 7 8 9 10 11 12 | #启用加密 ssl_enable=YES #使用 TSL v1 加密协议 ssl_tlsv1=YES #使用eof标志表示上传完成 strict_ssl_read_eof=YES #证书路径 rsa_cert_file=/etc/letsencrypt/live/itnmg.net/fullchain.pem #证书私钥路径 rsa_private_key_file=/etc/letsencrypt/live/itnmg.net/privkey.pem #指定加密算法, 如果不指定, 默认为 DES-CBC3-SHA ssl_ciphers=ECDHE-RSA-AES128-GCM-SHA256 |
保存退出并重启 vsftpd 服务.
1 | systemctl restart vsftpd |
到这里就已配置完成, 可以使用 FTP 客户端连接测试 .
提示:
使用 FileZilla 连接时, 主机栏要填写证书中绑定的域名, 首次连接时会弹出提示框, 提示”未知证书”, 确认证书无误后点确定按钮即可连接.
Let’ s Encrypt 是一个免费的 SSL/TLS 证书发行机构, 证书有效期为90天, 到期前30内可续期, 实现永久免费.
本次安装使用的服务器配置:
Let’ s Encrypt SSL 证书的的获取并不是像其他网站一样, 在页面上填写资申请证书, 而是需要在域名所在的服务器上安装一个客户端(python写的)去获取证书和续期.
目前 Let’ s Encrypt 支持两种类型的证书，一种是必须显示指定域名的证书，另一种是通配符证书，两种证书的申请方式略有不同。
Certbot 客户端是现在官方推荐的客户端
1 | yum install certbot |
运行 certbot，测试程序是否正常。
1 | certbot |
如果运行正常，将出现类似下面的提示。
1 2 | Saving debug log to /var/log/letsencrypt/letsencrypt.log Certbot doesn't know how to automatically configure the web server on this system. However, it can still get a certificate for you. Please run "certbot certonly" to do so. You'll need to manually configure your web server to use the resulting certificate. |
如果某些依赖包版本过低或不匹配，则可能会出现类似下面的提示。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 | Traceback (most recent call last): File "/usr/bin/certbot", line 9, in <module> load_entry_point('certbot==0.26.1', 'console_scripts', 'certbot')() File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 570, in load_entry_point return get_distribution(dist).load_entry_point(group, name) File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 2751, in load_entry_point return ep.load() File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 2405, in load return self.resolve() File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 2411, in resolve module = __import__(self.module_name, fromlist=['__name__'], level=0) File "/usr/lib/python2.7/site-packages/certbot/main.py", line 18, in <module> from certbot import account File "/usr/lib/python2.7/site-packages/certbot/account.py", line 18, in <module> from acme import messages File "/usr/lib/python2.7/site-packages/acme/messages.py", line 7, in <module> from acme import challenges File "/usr/lib/python2.7/site-packages/acme/challenges.py", line 11, in <module> import requests File "/usr/lib/python2.7/site-packages/requests/__init__.py", line 58, in <module> from . import utils File "/usr/lib/python2.7/site-packages/requests/utils.py", line 32, in <module> from .exceptions import InvalidURL File "/usr/lib/python2.7/site-packages/requests/exceptions.py", line 10, in <module> from .packages.urllib3.exceptions import HTTPError as BaseHTTPError File "/usr/lib/python2.7/site-packages/requests/packages/__init__.py", line 95, in load_module raise ImportError("No module named '%s'" % (name,)) ImportError: No module named 'requests.packages.urllib3' |
根据所缺少的依赖包的不同，提示内容可能不同，使用下面的命令尝试修复。
1 2 3 4 5 | #升级pip pip install -U pip #升级相关包,指定 requests 包的版本为 2.6.0, 使用其它版本可能无法解决依赖问题。 pip install --upgrade --force-reinstall 'requests==2.6.0' urllib3 pyOpenSSL |
再次运行 certbot ，程序正常。
一. 申请固定域名证书
1 2 3 4 5 | #安装 rpm 包工具和依赖项 yum install rpmdevtools pcre-devel gcc make #生成 rpm build 目录树 rpmdev-setuptree |
这里以 stunnel 这个软件为例, 官网为 https://www.stunnel.org
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 | cd /root #下载最新版源码, 放到 /root/rpmbuild/SOURCES 文件夹, 注意 SOURCES 必须大写 wget https://www.stunnel.org/downloads/stunnel-5.22.tar.gz -O /root/rpmbuild/SOURCES/stunnel-5.22.tar.gz #解压单个 stunnel.spec 文件 tar --strip-components 2 -xvf /root/rpmbuild/SOURCES/stunnel-5.22.tar.gz stunnel-5.22/tools/stunnel.spec #转到 SOURCES 文件夹 cd /root/rpmbuild/SOURCES #将 stunnel.spec 文件移动到 /root/rpmbuild/SPECS 文件夹 mv stunnel.spec /root/rpmbuild/SPECS #执行创建命令, 将在 /root/rpmbuild/RPMS 文件夹下生成 rpm 包 rpmbuild -bb /root/rpmbuild/SPECS/stunnel.spec --define "release 1" #查看生成文件 tree /root/rpmbuild/RPMS/ |
3. 从 RPM 包安装
1 2 3 4 5 6 7 8 | #使用 rpm 命令安装, -i 表示安装, -v 显示详细信息 rpm -iv /root/rpmbuild/RPMS/x86_64/stunnel-5.22-1.x86_64.rpm #查看安装目录 rpm -ql stunnel #卸载 rpm -ev stunnel |