自建虚拟专用网络 ｜ 奇怪的知识又增加了

我是一个喜欢折腾的人，至死方休那种，所以就有了今天这篇文章

为了避免隐私过度泄漏，我选择了自建 NAS 来存储照片视频一类的信息，为了可以像百度云一样使用链接分享文件，需要将 NAS 映射到公网。之前呢，主要是使用frp内网穿透；最近新办了一条宽带，提供公网IP，直接端口转发+DDNS就搞定了

为了团队做实验方便，我购置了一台服务器，装了 ESXI，大量扩展虚拟机。问题来了，总不能新建一个虚拟机就映射几个端口吧，这怎么能忍，于是产生了自建虚拟专用网络的想法

选择方案筛选条件也很简单

• 免费，最好开源

• 有好的客户端支持

• IPSec或者SSL

• 不复杂、不反人类

问了一小圈，最终选择了 OpenConnect

0x01 搭建服务端

系统选择：Ubuntu Server 18.04 x64

sudo apt update 
sudo apt install ocserv

0x02 配置SSL证书

我这没有申请证书，自己签一个吧，还能咋整

创建存储证书临时文件夹

sudo mkdir /tmp/certificates
sudo cd /tmp/certificates

创建相关文件

sudo vim ca.tmpl

# 填入以下信息，保持不变也可以 
cn = "your organization’s certificate authority"  
organization = "your organization"  
serial = 1  
expiration_days = 3650  
ca  
signing_key  
cert_signing_key  
crl_signing_key

sudo vim server.tmpl

# 填入以下信息，保持不变也可以
cn = "a sever's name, usually matches hostname"  
organization = "your organization"  
serial = 2  
expiration_days = 3650
signing_key
encryption_key
tls_www_server
dns_name = "your organization's host name"
#ip_address = "if no hostname uncomment and set the IP address here"

生成证书

sudo certtool --generate-privkey --outfile ca-key.pem
sudo certtool --generate-self-signed --load-privkey ca-key.pem --template ca.tmpl --outfile     ca-cert.pem

使用CA签署VPN证书

sudo certtool --generate-privkey --outfile server-key.pem
sudo certtool --generate-certificate --load-privkey server-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template server.tmpl --outfile server-cert.pem

将生成的证书放在openconnect配置目录

sudo cp server-cert.pem server-key.pem /etc/ocserv/

0x03 配置OpenConnect

修改登录方式

使用 Linux 用户名密码进行登录

sudo vim  /etc/ocserv/ocserv.conf

# 修改 auth 为 以下内容
auth = "pam"

修改监听端口

默认80，443是无法映射到公网的，所以选择一个自己喜欢的端口

tcp-port = 8443
udp-port = 8443

OpenConnect网段配置

我家是 192.168.1.0/24 ,我们需要配置一个相对冷门的网段

ipv4-network = 192.168.56.0
ipv4-netmask = 255.255.255.0

配置需要使用OpenConnect访问的网段(192.168.1.0/24)

route = 192.168.1.0/255.255.255.0

sudo vim /etc/sysctl.conf

net.ipv4.ip_forward=1

sudo sysctl -p

配置持久化 iptables

sudo apt install iptables-persistent
sudo iptables -t nat -A POSTROUTING -j MASQUERADE
sudo netfilter-persistent save

0x04 启动OpenConnect

sudo systemctl start ocserv

0x05 客户端

https://openconnect.github.io/openconnect-gui/

安卓客户端无法在Android 10上使用，可以使用 AnyConnect 代替，直接在google play中可以下载

0x06 端口转发

如果没有公网IP，那你就直接做frp内网穿透就好，具体是路由器做穿透还是服务器做穿透，那就取决于你了

如果家用宽带有公网IP，那么就在PPPoE认证的路由器上做端口转发，把我们设置的8443端口转发到公网

通过 curl ip.sb 可以查到自己的公网IP，可以使用OpenConnect客户端连接一下试试

0x07 DDNS

DDNS的核心其实非常简单，就是定时的确定自己的ip来更改dns解析记录，我是在godaddy买的域名，所以使用godaddy的api来进行ddns

• 购买一个域名，并配置A记录指向我们的公网IP

• 获取 GoDaddy API Key

• 访问 https://developer.godaddy.com/keys

• 点击新建key

• 获取到 API key 和 secret

• 创建脚本

• #!/bin/bash
  
  mydomain="baidu.com"
  myhostname="gateway"
  gdapikey="api_key:key_secret"
  logdest="local7.info"
  
  myip=`curl -s "https://api.ipify.org"`
  dnsdata=`curl -s -X GET -H "Authorization: sso-key ${gdapikey}" "https://api.godaddy.com/v1/domains/${mydomain}/records/A/${myhostname}"`
  gdip=`echo $dnsdata | cut -d ',' -f 1 | tr -d '"' | cut -d ":" -f 2`
  echo "`date '+%Y-%m-%d %H:%M:%S'` - Current External IP is $myip, GoDaddy DNS IP is $gdip"
  
  if [ "$gdip" != "$myip" -a "$myip" != "" ]; then
    echo "IP has changed!! Updating on GoDaddy"
    curl -s -X PUT "https://api.godaddy.com/v1/domains/${mydomain}/records/A/${myhostname}" -H "Authorization: sso-key ${gdapikey}" -H "Content-Type: application/json" -d "[{"data": "${myip}"}]"
    logger -p $logdest "Changed IP on ${hostname}.${mydomain} from ${gdip} to ${myip}"
  fi
  

• 将 mydomain 的值替换为自己的域名，比如 baidu.com

• 将 myhostname的值替换为你的字域名，比如 gateway

• 将 gdapikey 的值按照格式替换为之前获取到的值

• 保存文件为 /usr/local/sbin/gd-dyndns 并且赋予执行权限

• 添加到计划任务

• sudo crontab -e
  
  # 添加以下内容
  */10 * * * *    /usr/local/sbin/gd-dyndns > /dev/null
  

这样就可以直接在外网直接访问到家里的网络了！

参考链接：

https://yuerblog.cc/2020/11/21/%E5%AE%B6%E5%BA%AD%E6%90%AD%E5%BB%BAopenconnect-vpn/

https://www.instructables.com/Quick-and-Dirty-Dynamic-DNS-Using-GoDaddy/