专栏首页技术向树莓派搭建docker openvpn以及ipv6隧道

树莓派搭建docker openvpn以及ipv6隧道

本文由腾讯云+社区自动同步,原文地址 https://stackoverflow.club/article/openvpn_pi_ipv6/

简介

openvpn可以方便地穿越nat,是替代pptp的好工具。但是openvpn也有配置证书的步骤繁多的难点,本文主要介绍几种安装openvpn的方法,以及ipv6 in ipv4的方法(客户端通过openvpn获取ipv6地址并上网)

本文介绍的方法同样适用于x86 amd64设备。

最简方法

最简单的方法当然是docker,在树莓派中先安装docker,然后下载openvpn的镜像

docker pull giggio/openvpn-arm

设置一个本地存储

OVPN_DATA="/home/wenfeng/ovpn-data"

生成ca

VPN.SERVERNAME.COM是你的服务器域名或者ip地址

docker run -v $OVPN_DATA:/etc/openvpn --rm giggio/openvpn-arm ovpn_genconfig -u udp://VPN.SERVERNAME.COM
docker run -v $OVPN_DATA:/etc/openvpn --rm -it giggio/openvpn-arm ovpn_initpki nopass

运行服务进程

docker run -v $OVPN_DATA:/etc/openvpn -d --name openvpn -p 1194:1194/udp --cap-add=NET_ADMIN giggio/openvpn-arm

为客户端生成证书

CLIENTNAME是自定义的客户端名称。

docker run -v $OVPN_DATA:/etc/openvpn --rm -it giggio/openvpn-arm easyrsa build-client-full CLIENTNAME nopass

将证书从container中取出

docker run -v $OVPN_DATA:/etc/openvpn --rm giggio/openvpn-arm ovpn_getclient CLIENTNAME > CLIENTNAME.ovpn

如果不出意外,openvpn服务端已经搭建起来了

手工安装

手工安装即不借助docker,在裸机上安装openvpn服务器。可以参考ubuntu安装openvpn的方法,在树莓派上安装openvpn(这篇文章中很多都在讲证书的生成,openvpn的配置倒是很少)。

所以我们可以考虑使用docker openvpn中生成的ca与证书,以及配置文件来启动本地的openvpn server,可以省很多力气。

使用下面的脚本将docker的配置文件放到本地

sudo rm /etc/openvpn
sudo ln -s /home/wenfeng/ovpn-data /etc/openvpn

其实就是做了个软连接,配置文件通用。

系统启动时使用sudo systemctl start openvpn@openvpn的方法,这个@挺特别,后面跟着自己的配置文件名称(去除后缀)。这意味着我们可以有很多配置文件,通过@setting_name来选择。

如果出错,建议用sudo /usr/sbin/openvpn --status /run/openvpn/openvpn.status 10 --cd /etc/openvpn --config /etc/openvpn/openvpn.conf,观察输出log

增加ipv6支持

因为docker container中没有ipv6地址(应该没有),ipv6 in ipv4 只能在裸机上进行。

转发ipv6包

修改/etc/sysctl.conf文件

net.ipv4.ip_forward=1  
    ...
net.ipv6.conf.all.forwarding=1  
net.ipv6.conf.all.proxy_ndp = 1

设置iptables

注意修改为你自己的ip地址

iptables -t nat -A POSTROUTING -s 10.11.0.0/16 -j SNAT --to 172.16.8.1

修改openvpn配置文件

服务器端server.conf中的相关配置:
# Server mode and client subnets
server 10.8.0.0 255.255.255.0  
server-ipv6 aaaa:bbbb:cccc:dddd:80::/112  
topology subnet
# IPv6 routes
push "route-ipv6 aaaa:bbbb:cccc:dddd::/64"  
push "route-ipv6 2000::/3"

修改aaaa:bbbb:cccc:dddd为你的真实网址前缀。

为客户端增加proxy

ipv4包由iptables 进行nat,ipv6包是proxy。

先在客户端查看ipv6地址,然后运行下面命令。

sudo /sbin/ip -6 neigh add proxy aaaa:bbbb:cccc:dddd:80::1002  dev eth0

aaaa:bbbb:cccc:dddd:80::1002修改为你自己的ip地址,eth0修改为你自己的网卡。

测试ipv6

客户端ping通openvpn服务器网关

ping6 aaaa:bbbb:cccc:dddd:80::1

用curl测试ipv6网站

curl -g -6 https://www.google.com.hk

自动添加ipv6 proxy

服务器端server.conf配置

# Run client-specific script on connection and disconnection
script-security 2  
client-connect "/etc/openvpn/up.sh"  
client-disconnect "/etc/openvpn/down.sh"

这里的script-security 2很重要,不设置会出现WARNING: External program may not be called unless '--script-security 2' or higher is enabled.

这里的up.shdown.sh可以在这里找到,但是我试了之后缺少环境变量,所以目前仍是手工设置ipv6 proxy,研究中。

排错方法

系统一般提示通过journalctl -xe或者systemctl status来排错,但是这两项并不能给出有效信息。

server端无法启动服务,又找不到出错信息

启动服务时出现错误:

pi@raspberrypi:~ $ sudo service openvpn@server start
Job for openvpn@server.service failed because the control process exited with error code.
See "systemctl status openvpn@server.service" and "journalctl -xe" for details.

journalctl -xe返回的结果

<pre>- The unit openvpn@server.service has entered the &apos;failed&apos; state with result &apos;exit-code&apos;.
Jul 26 17:27:15 raspberrypi systemd[1]: <font color="#EF2929"><b>Failed to start OpenVPN connection to server.</b></font>
-- Subject: A start job for unit openvpn@server.service has failed
</pre>

systemctl status openvpn@server.service返回的结果,都没有有效的错误信息,只是告诉你出错了。

● openvpn@server.service - OpenVPN connection to server
   Loaded: loaded (/lib/systemd/system/openvpn@.service; disabled; vendor preset: enabled)
   Active: activating (auto-restart) (Result: exit-code) since Fri 2019-07-26 17:28:21 CST; 509ms ago
     Docs: man:openvpn(8)
           https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage
           https://community.openvpn.net/openvpn/wiki/HOWTO
  Process: 13082 ExecStart=/usr/sbin/openvpn --daemon ovpn-server --status /run/openvpn/server.status 10 --cd /etc/openv
 Main PID: 13082 (code=exited, status=1/FAILURE)

所以我想可以将后台程序变成前台方式,来查看log排错。

将下面命令中的--config换为自己的配置文件即可

sudo /usr/sbin/openvpn --status /run/openvpn/openvpn.status 10 --cd /etc/openvpn --config /etc/openvpn/openvpn.conf

错误1:no such openssl.h

发现在./build-ca时报错

no such openssl.cnf

查看脚本发现,easy-rsa自己带了三个不同版本的openssl.cnf,唯独没有系统中的1.1.0版本的,无奈打算将树莓派的openssl降级到1.0.0

使用apt-cache madison openssl发现没有低版本的,只能自己手动编译。

树莓派编译openssl, 源码下载地址下载地址

错误2:客户端无法上网

现象:

客户端正常连接服务端,并且两者互相可以ping通,客户端甚至可以请求服务端自己的http服务数据,但就是无法请求其他数据,例如www.baidu.com

测试1: 使用下面的命令请求数据:

curl www.baidu.com --interface tun0

会在很长时间后显示time out

测试2: 使用下面的命令ping外网主机

ping 220.181.38.149 -I tun0

没有响应,100% loss

用下面的命令对tun0抓包(客户端运行)

sudo tcpdump -v  -i tun0

抓包结果如下:

22:28:14.638190 IP (tos 0x0, ttl 64, id 35007, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.0.6 > 220.181.38.149: ICMP echo request, id 18716, seq 1, length 64
22:28:14.645933 IP (tos 0x0, ttl 52, id 35007, offset 0, flags [DF], proto ICMP (1), length 84)
    220.181.38.149 > 10.8.0.6: ICMP echo reply, id 18716, seq 1, length 64
22:28:15.643038 IP (tos 0x0, ttl 64, id 35227, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.0.6 > 220.181.38.149: ICMP echo request, id 18716, seq 2, length 64
22:28:15.650823 IP (tos 0x0, ttl 52, id 35227, offset 0, flags [DF], proto ICMP (1), length 84)
    220.181.38.149 > 10.8.0.6: ICMP echo reply, id 18716, seq 2, length 64
22:28:16.667028 IP (tos 0x0, ttl 64, id 35436, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.0.6 > 220.181.38.149: ICMP echo request, id 18716, seq 3, length 64
22:28:16.677797 IP (tos 0x0, ttl 52, id 35436, offset 0, flags [DF], proto ICMP (1), length 84)
    220.181.38.149 > 10.8.0.6: ICMP echo reply, id 18716, seq 3, length 64
22:28:17.691232 IP (tos 0x0, ttl 64, id 35689, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.0.6 > 220.181.38.149: ICMP echo request, id 18716, seq 4, length 64
22:28:17.701566 IP (tos 0x0, ttl 52, id 35689, offset 0, flags [DF], proto ICMP (1), length 84)
    220.181.38.149 > 10.8.0.6: ICMP echo reply, id 18716, seq 4, length 64
22:28:18.715232 IP (tos 0x0, ttl 64, id 35725, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.0.6 > 220.181.38.149: ICMP echo request, id 18716, seq 5, length 64
22:28:18.723667 IP (tos 0x0, ttl 52, id 35725, offset 0, flags [DF], proto ICMP (1), length 84)
    220.181.38.149 > 10.8.0.6: ICMP echo reply, id 18716, seq 5, length 64
22:28:19.716722 IP (tos 0x0, ttl 64, id 35833, offset 0, flags [DF], proto ICMP (1), length 84)
    10.8.0.6 > 220.181.38.149: ICMP echo request, id 18716, seq 6, length 64
22:28:19.731483 IP (tos 0x0, ttl 52, id 35833, offset 0, flags [DF], proto ICMP (1), length 84)
    220.181.38.149 > 10.8.0.6: ICMP echo reply, id 18716, seq 6, length 64

可知对方主机正常响应,openvpn服务器正常,但是客户端主机自己不正常,无法将网络层的数据反馈到应用层。怀疑是iptables有误,全部清空后错误照常。

使用命令ip route show查看网关

修改前的网关

default via 10.135.0.1 dev wlp4s0b1  proto static  metric 600
10.8.0.1 via 10.8.0.5 dev tun0
10.8.0.5 dev tun0  proto kernel  scope link  src 10.8.0.6
10.134.118.131 via 10.135.0.1 dev wlp4s0b1  src 10.135.80.126
10.135.0.0/16 dev wlp4s0b1  proto kernel  scope link  src 10.135.80.126  metric 600
169.254.0.0/16 dev wlp4s0b1  scope link  metric 1000
192.168.19.0/24 dev enp3s0  proto kernel  scope link  src 192.168.19.1  metric 100
192.168.194.0/24 dev ztyourshd4  scope link
192.168.194.0/24 dev ztyourshd4  proto kernel  scope link  src 192.168.194.5

查看tun0配置 ifconfig

tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
          inet addr:10.8.0.6  P-t-P:10.8.0.5  Mask:255.255.255.255
          inet6 addr: fe80::15d6:6be6:afbd:cb5/64 Scope:Link
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:625 errors:0 dropped:0 overruns:0 frame:0
          TX packets:3293 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:114339 (114.3 KB)  TX bytes:445127 (445.1 KB)

新增网关

sudo route add default gw 10.8.0.5

这里不能用10.8.0.1做网关,如果添加该地址为网关,会有如下错误:

SIOCADDRT: Network is unreachable

(可选)如果域名服务不正常,需要手动更改

修改这个文件即改即用

vim /etc/resolv.conf
cat /etc/resolv.conf

修改后

nameserver 8.8.8.8

参考https://blog.csdn.net/u012732259/article/details/76502231

设置好默认网关后,ping正常,网络访问正常。

参考

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • numpy.logical_and()

    numpy.logical_and(x1, x2, /, out=None, *, where=True, casting='same_kind', order...

    于小勇
  • numpy.logical_or

    numpy.logical_or(x1, x2, /, out=None, *, where=True, casting='same_kind', order=...

    于小勇
  • Nginx多个子域名映射到不同的端口或 ip

    我决定采用采用 子域名区分服务 的方式,然后使用 nginx 做反向代理,分发到不同的端口。

    Java架构师历程
  • thinkphp执行计划任务crontab

    tp5.1中的php 计划任务的实现,本质上可以分为两种第一种封装在框架内部,在crontab -e中只要添加一条,然后在框架内去扩展内容就好了(Laravel...

    php007
  • Linux 命令(82)—— chgrp 命令

    版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。 ...

    Dabelv
  • Linux 命令(81)—— chmod 命令

    版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。 ...

    Dabelv
  • crontab定时执行python脚本不成功解决方案

    Learn the rules like a pro, so you can break them like an artist.

    小闫同学啊
  • Linux xargs 命令

    xargs 是给命令传递参数的一个过滤器,也是组合多个命令的一个工具。xargs 可以将管道或标准输入(stdin)数据转换成命令行参数,也能够从文件的输出中读...

    于小勇
  • 蓝默空间のLvBlog-1.1.2.20191030_release开源啦~

    The LvBlog Application is open-source software licensed under the MIT license.

    蓝默空间
  • mybatis批量增、删、改(更新)操作oracle和mysql批量写法小记

    版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。 ...

    eguid

扫码关注云+社区

领取腾讯云代金券