主页 / server / 问题 / 27148
Accepted
Aron Rotteveel
Asked: 2009-06-18 02:33:20 +0800 CST

创建基于 UNIX 的 VPN：指针、指南和陷阱？

  • 772
  • 有人有创建基于 UNIX 的虚拟专用网络的第一手经验吗？
  • 可用于完成此任务的最佳 VPN 客户端/工具有哪些？
  • 有什么我应该避免的常见陷阱吗？

在我的特殊情况下，我的主要兴趣在于与 Debian 兼容的解决方案。我的主要目标是让它工作，因为我以前没有做过，但在我不想使用 SSH 连接的情况下，我可以看到一些可能的好处。

vpn linux networking debian unix

6 个回答

  1. Best Answer

    在 linux 中，您有两个主要选择：

    • ipsec 兼容 vpn - 使用freeswan / openswan / strongswan。我记得设置起来非常困难......
    • 未标准化 [但非常好] sslvpn - openvpn。很容易设置。

    第二个真的很棒，我已经在生产中使用它几年了。它在 debian 中作为标准包提供。它在数十兆比特的容量下表现相当不错[数百兆比特，但我办公室之间没有那么快的互联网连接]

    openvpn的一些提示：

    • 为了更安全，不要使用“共享秘密”类型的密钥，而是创建证书颁发机构并使用由它签名的密钥。
    • 如果可能，使用 tun 模式而不是 tap [通过 vpn 路由流量，而不是在其上桥接两个以太网段]
    • 如果您选择证书颁发机构解决方案 - 请记住密钥过期。为自己设置几个提醒以重新生成密钥。
    • 为了安全起见，使用 opensvn [ ping-restart 选项 ] 内置的软件看门狗 + 放置附加的简单 bash 脚本，该脚本循环检查 openvpn 进程是否正在运行。在过去的 3 年中，openpn 为我死了 ~2 次。
    • 尽可能使用 udp 上的隧道 [而不是 tcp]。我在 nat 后面的办公室遇到了 vpn 问题 [其中 linux 盒子在我无法控制的廉价 dlink 路由器后面] 一段时间后 udp 数据包被阻塞 - 在这种情况下，我被迫使用 tcp。
    • 从防火墙/ nats 后面享受 openvpn .. 只要一侧有公共 ip 并且可以通过一个端口上的 tcp 或 udp 访问 - 你可以建立 vpn 到它，另一个节点不需要有公共 ip！
    • 12

  2. 真正的 IPsec 只是一个令人头疼的问题。该协议偶然发现了不同的网络拓扑。无论操作系统是什么，客户端都普遍缺乏。除非您需要只执行 IPsec 的硬件端点，否则不惜一切代价避免它。

    然而，OpenVPN 设置简单，使用坚如磐石，并且具有非常直观的 Linux、Windows 和 Mac 客户端。

    考虑您将如何管理新用户和撤销旧用户。这将取决于您预计支持多少用户。就个人而言，我们使用放置在双因素令牌上的 x509 证书，它可以很好地扩展，但如果您成长，确实需要一些方法来管理 PKI。

    • 4

  3. 在这里再次为 OpenVPN 投票。我们在以前的工作中使用过它，它坚如磐石，与我们在当前工作中使用的 PPTP 和 IPSEC VPN 隧道相比，我们遇到的问题更少。OpenVPN 提供的灵活性也很难超越。但在我看来，OpenVPN 确实有一个弱点。目前很多智能手机都不支持。事实上，我不知道有什么这样做的。我知道有人试图将它移植到 iPhone 上，但我不确定那个项目在哪里。

    您没有提到您的 vpn 解决方案需要支持哪种类型的客户端。因此，考虑到这一点，如果您需要避免第三方客户或需要智能手机支持，那么 PPTP 可能更适合。Windows、OSX 和许多智能手机都有本机 PPTP 客户端。Poptop 是实现 PPTP 的 Linux 项目。

    • 1

  4. 我可以推荐的两个工具是 OpenVPN（前面提到过）和 Adito（最近更名为 OpenVPN ALS）。 http://sourceforge.net/projects/adito/ http://adito.wiki.sourceforge.net/

    • 1

  5. OpenVPN（ http://openvpn.net/ ）是一个非常灵活且有据可查的解决方案，它可以从 Ubuntu 的标准存储库中作为一个包提供，并且也应该在 Debian 中。

    • 0

  6. 我已经在我的公司使用 OpenVPN 大约 2 年了。几乎没有问题。

    我们正在使用特定于客户端的配置来为不同子网中的用户分配 IP。从那时起，我们可以通过防火墙限制对内部资源的访问。

    不太舒服的是 PKI 管理（我们使用证书来验证客户端）。但是使用 2 或 3 个脚本，这变得可以忍受。

    • 0

相关问题