9、网络配置与证书管理全解析

网络配置与证书管理全解析

客户端 - 服务器以太网风格网络配置

在客户端 - 服务器以太网风格网络配置中，不同操作系统和设备的配置有所不同。服务器运行 CentOS 6 Linux 和 OpenVPN 2.3.10，第一个客户端运行 Fedora 20 Linux 和 OpenVPN 2.3.10，第二个客户端运行 Windows 7 64 位和 OpenVPN 2.3.10。

以下是具体的操作步骤：
1.创建服务器配置文件：在example3 - 1 - server.conf文件中添加一行management tunnel 23000 stdin，并保存为example3 - 8 - server.conf。
2.启动服务器：使用命令[root@server]# openvpn --config example3 - 8 - server.conf启动服务器，此时 OpenVPN 服务器会要求输入管理界面的密码。
3.启动客户端：
- Linux 客户端使用命令[root@client1]# openvpn --config example3 - 1 - client.conf启动。
- 启动 Windows 客户端。
4.连接到管理界面：VPN 建立后，使用telnet程序从服务器连接到 OpenVPN 客户端的管理界面，命令为[server]$ telnet 127.0.0.1 23000，输入密码cookbook进行验证。
5.查看客户端列表和状态：输入status命令查看客户端列表和状态信息。
6.断开客户端连接：使用kill <clientcommonname>命令断开指定客户端的连接，例如kill client2。
7.退出telnet程序：使用Ctrl + ]或exit退出telnet程序。

管理界面的工作原理是，OpenVPN 服务器启动时，使用management 127.0.0.1 23000 stdin指令设置一个特殊的管理界面。该界面绑定到本地主机127.0.0.1，监听端口为23000，密码在 OpenVPN 启动时指定。

管理界面的状态命令输出与之前的状态文件输出有所不同，这里列出的是客户端的 MAC 地址，而不是 VPN IP 地址。OpenVPN 不需要知道客户端的 IP 地址，因为它们可以由外部 DHCP 服务器分配。

集成 IPv6 到 TAP 风格网络

TAP 风格网络比 TUN 风格网络更早支持 IPv6 流量，因为 TAP 风格网络提供了类似以太网的层，能够传输包括 IPv6 在内的几乎任何网络协议。在 OpenVPN 2.3 中，增加了更好的 IPv6 支持，使得 OpenVPN 服务器可以提供带有 IPv6 地址的 DHCP 池。

以下是集成 IPv6 到 TAP 风格网络的操作步骤：
1.准备工作：使用之前的方法设置客户端和服务器证书。服务器和客户端计算机都运行 CentOS 6 Linux 和 OpenVPN 2.3.10，准备好服务器配置文件example3 - 1 - server.conf和客户端配置文件example3 - 1 - client.conf。
2.修改服务器配置文件：在example3 - 1 - server.conf文件中添加一行server - ipv6 2001:db8:99::0/112，并保存为example3 - 9 - server.conf。
3.启动服务器：使用命令[root@server]# openvpn --config example3 - 9 - server.conf启动服务器。
4.启动客户端：使用命令[root@client1]# openvpn --config example3 - 1 - client.conf --suppress - timestamps启动客户端，这里使用--suppress - timestamps指令抑制日志文件中的时间戳。
5.验证连接：VPN 建立后，使用ping6命令验证是否可以连接到服务器，命令为[client]$ ping6 - c 4 2001:db8:99::1。

IPv6 支持在 TAP 风格网络和 TUN 风格网络中几乎相同，通过在服务器配置文件中添加一行代码，就可以为连接的 VPN 客户端提供 IPv6 地址。

防火墙规则对于 IPv6 流量和 IPv4 流量略有不同。在 TAP 风格网络中，允许tap+适配器范围的所有传入和传出流量通常很有用，可用于调试非工作设置：

# iptables -I INPUT -i tap+ -j ACCEPT # iptables -I OUTPUT -o tap+ -j ACCEPT # ip6tables -I INPUT -i tap+ -j ACCEPT # ip6tables -I OUTPUT -o tap+ -j ACCEPT # iptables -I FORWARD -i tap+ -j ACCEPT # iptables -I FORWARD -o tap+ -j ACCEPT # ip6tables -I FORWARD -i tap+ -j ACCEPT # ip6tables -I FORWARD -o tap+ -j ACCEPT

这些规则仅用于调试目的。

PKI、证书和 OpenSSL

在 PKI、证书和 OpenSSL 方面，主要涉及证书生成、OpenSSL 技巧、证书撤销、CRL 使用等内容。

证书生成

使用纯openssl命令创建和签署证书请求的步骤如下：
1.设置环境变量：

$ cd /etc/openvpn/cookbook $ . ./vars $ export KEY_CN= $ export KEY_OU= $ export KEY_NAME= $ export OPENSSL_CONF=/etc/openvpn/cookbook/openssl - 1.0.0.cnf

2. 生成证书请求：使用openssl req - nodes - newkey rsa:2048 - new - out client.req - subj "/C=NL/O=Cookbook/CN=MyClient"命令生成无密码的证书请求。
3. 签署证书请求：使用openssl ca - in client.req - out client.crt命令签署证书请求，需要输入 CA 密钥的密码。

生成证书的工作原理是，首先生成私钥，然后使用私钥签署证书请求，证明证书请求和私钥属于同一实体。最后，使用证书颁发机构（CA）的私钥签署证书请求，生成 X.509 证书文件。

也可以生成受密码保护的私钥，只需移除-nodes命令行参数：

$ openssl req - newkey rsa:1024 - new - out client.req - subj "/C=NL/O=Cookbook/CN=MyClient"

此时 OpenSSL 命令会要求输入密码。

OpenSSL 技巧 - x509、pkcs12、验证输出

OpenSSL 提供了许多有用的命令来查看和管理 X.509 证书和私钥。以下是一些常用命令的操作步骤：
1.查看证书的主题和过期日期：

$ cd /etc/openvpn/cookbook/keys $ openssl x509 - subject - enddate - noout - in client1.crt

2. 导出证书和私钥为 PKCS12 格式：

$ openssl pkcs12 - export - in client1.crt - inkey client1.key - out client1.p12

输入导出密码并验证，然后使用chmod 600 client1.p12命令确保 PKCS12 文件只能由用户读取。
3.验证证书的用途：

$ openssl verify - purpose sslclient - CAfile ca.crt client1.crt

4. 选择错误用途时查看错误信息：

$ openssl verify - purpose sslclient - CAfile ca.crt server.crt

5. 更改证书的密码：

$ openssl rsa - in client2.key - aes256 - out newclient.key

输入旧密码和新密码进行更改。

OpenSSL 工具包包含广泛的命令来生成、操作和查看 X.509 证书和私钥。这些命令只是可用命令的一小部分，在 Linux 和 UNIX 系统中，可以使用openssl - h和相关手册页获取更多详细信息。

撤销证书

撤销证书是管理 PKI 时的常见任务。以下是撤销证书的操作步骤：
1.生成证书：

$ cd /etc/openvpn/cookbook $ . ./vars $ ./build - key client4

2. 撤销证书：

$ ./revoke - full client4

这将更新 CRL 列表。
3.查看 CRL 列表：

$ openssl crl - text - noout - in keys/crl.pem

CRL 包含已撤销证书的序列号列表，每个序列号只能由 CA 分配一次，因此该序列号对于特定 CA 是唯一的。CRL 使用 CA 的私钥签名，确保其确实由适当的一方颁发。

撤销证书需要证书主题（“DN”）和证书序列号。如果证书丢失，则无法撤销。

使用 CRL

配置 OpenVPN 使用 CRL 的步骤如下：
1.复制 CRL 文件：

[root@server]# cd /etc/openvpn/cookbook [root@server]# cp keys/crl.pem .

2. 修改服务器配置文件：在basic - udp - server.conf文件中添加crl - verify /etc/openvpn/cookbook/crl.pem行，并保存为example4 - 6 - server.conf。
3. 启动服务器：

[root@server]# openvpn --config example4 - 6 - server.conf

4. 创建客户端配置文件：

client proto udp remote openvpnserver.example.com port 1194 dev tun nobind

通过以上步骤，可以完成客户端 - 服务器以太网风格网络配置、集成 IPv6 到 TAP 风格网络、证书生成、OpenSSL 操作、证书撤销和 CRL 使用等任务。这些技术和操作对于构建安全、高效的网络环境非常重要。

以下是一个简单的 mermaid 流程图，展示客户端 - 服务器网络配置的主要步骤：

graph LR A[准备配置文件] --> B[创建服务器配置文件] B --> C[启动服务器] C --> D[启动客户端] D --> E[连接管理界面] E --> F[查看状态和操作] F --> G[断开客户端连接] G --> H[退出telnet程序]

表格总结不同操作的命令：
| 操作 | 命令 |
| — | — |
| 创建服务器配置文件 |management tunnel 23000 stdin并保存为example3 - 8 - server.conf|
| 启动服务器 |[root@server]# openvpn --config example3 - 8 - server.conf|
| 启动 Linux 客户端 |[root@client1]# openvpn --config example3 - 1 - client.conf|
| 连接管理界面 |[server]$ telnet 127.0.0.1 23000|
| 查看状态 |status|
| 断开客户端连接 |kill <clientcommonname>|
| 退出telnet程序 |Ctrl + ]或exit|
| 生成证书请求 |openssl req - nodes - newkey rsa:2048 - new - out client.req - subj "/C=NL/O=Cookbook/CN=MyClient"|
| 签署证书请求 |openssl ca - in client.req - out client.crt|
| 导出 PKCS12 格式 |openssl pkcs12 - export - in client1.crt - inkey client1.key - out client1.p12|
| 验证证书用途 |openssl verify - purpose sslclient - CAfile ca.crt client1.crt|
| 更改证书密码 |openssl rsa - in client2.key - aes256 - out newclient.key|
| 撤销证书 |./revoke - full client4|
| 查看 CRL 列表 |openssl crl - text - noout - in keys/crl.pem|
| 配置 OpenVPN 使用 CRL |crl - verify /etc/openvpn/cookbook/crl.pem|

网络配置与证书管理全解析

多 CA 与椭圆曲线支持

多个 CAs：堆叠，使用 capath 指令

在管理公钥基础设施（PKI）时，有时需要使用多个证书颁发机构（CAs）。使用capath指令可以实现多个 CAs 的堆叠。

操作步骤如下：
1.准备多个 CA 证书目录：确保每个 CA 的证书都存放在不同的子目录中，这些子目录位于一个共同的父目录下。
2.配置 OpenVPN：在 OpenVPN 服务器或客户端配置文件中添加capath指令，指向包含多个 CA 子目录的父目录。例如：

capath /etc/openvpn/cookbook/cas

当 OpenVPN 验证客户端或服务器证书时，它会在capath指定的所有子目录中查找合适的 CA 证书进行验证。这样可以灵活地管理多个不同的 CA，适用于复杂的网络环境。

椭圆曲线支持

OpenVPN 支持椭圆曲线密码学，它提供了与传统 RSA 算法相同级别的安全性，但使用更小的密钥长度，从而提高了性能和效率。

要在 OpenVPN 中使用椭圆曲线，需要进行以下配置：
1.生成椭圆曲线密钥对：使用openssl命令生成椭圆曲线密钥对。例如，生成一个 P - 256 曲线的私钥：

openssl ecparam -genkey -name prime256v1 -out ec.key

然后生成证书请求：

openssl req -new -key ec.key -out ec.csr -subj "/C=US/O=Example/CN=MyClient"

使用 CA 签署证书请求：

openssl ca -in ec.csr -out ec.crt

2. 配置 OpenVPN：在 OpenVPN 配置文件中指定椭圆曲线密钥和证书。例如：

cert ec.crt key ec.key

通过使用椭圆曲线密码学，可以在保证安全的同时，减少计算资源的消耗，提高网络性能。

总结与展望

本文详细介绍了客户端 - 服务器以太网风格网络配置、集成 IPv6 到 TAP 风格网络、PKI 与证书管理以及 OpenSSL 的使用等方面的知识和操作步骤。这些技术在构建安全、高效的网络环境中起着至关重要的作用。

在网络配置方面，通过合理设置服务器和客户端的配置文件，可以实现稳定的 VPN 连接，并通过管理界面进行灵活的监控和控制。集成 IPv6 到 TAP 风格网络为网络的未来发展提供了支持，满足了不断增长的网络需求。

PKI 和证书管理是保障网络安全的核心。通过正确生成、管理和撤销证书，可以有效防止非法访问和数据泄露。OpenSSL 作为一个强大的工具包，为证书的操作和验证提供了丰富的功能。

未来，随着网络技术的不断发展，我们可以期待 OpenVPN 等工具在安全性、性能和易用性方面有进一步的提升。同时，随着 IPv6 的广泛应用，网络的规模和复杂性将不断增加，需要更加完善的网络配置和管理方法。

以下是一个 mermaid 流程图，展示 PKI 证书管理的主要流程：

graph LR A[生成证书请求] --> B[CA 签署证书] B --> C[使用证书] C --> D{是否需要撤销?} D -- 是 --> E[撤销证书] D -- 否 --> C E --> F[更新 CRL 列表] F --> G[验证证书时检查 CRL]

表格总结椭圆曲线支持的相关命令：
| 操作 | 命令 |
| — | — |
| 生成椭圆曲线私钥 |openssl ecparam -genkey -name prime256v1 -out ec.key|
| 生成证书请求 |openssl req -new -key ec.key -out ec.csr -subj "/C=US/O=Example/CN=MyClient"|
| CA 签署证书请求 |openssl ca -in ec.csr -out ec.crt|
| OpenVPN 配置证书 |cert ec.crt和key ec.key|

通过以上内容的学习和实践，读者可以更好地理解和掌握网络配置与证书管理的相关技术，为构建安全、可靠的网络环境奠定基础。