客户端通过网口启动可过去的ip_透过open***来访问内网资源

谁借莪１个温暖的怀抱￠ 2021-09-07 06:12 114阅读 0赞

透过open\*\*\*来访问内网资源

本文经高人指点：http://hi.baidu.com/jiekech00

客户端和服务器端走open\*\*\*，服务器和客户机都不是网关设备，想让服务器可以通过隧道来访问客户端的内网的资源一直访问不了，后来发现要两边都要设置一下路由，然后在客户机上面设置一下SNAT进行源地址转换就可以了。

在×××服务器的配置文件里面添加路由

client-config-dir ccd //在ccd文件里面有一个和客户端的证书同名的文件内容如下：

iroute 172.16.8.0 255.255.255.0 //让客户端在他本地添加一条路由，当证书匹配的时候，要客户端运行此命令，加载在tun0上

push "route 192.168.10.0 255.255.255.0"//为客户端push一条路由

route 172.16.8.0 255.255.255.0在服务器本地添加一条路由

\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#33

配置之后服务器上面的OPEN×××完整配置如下：

dev tun

protoudp

mode server

tls-server

server10.1.1.0 255.255.255.0

ca/etc/open\*\*\*/ca.crt

cert/etc/open\*\*\*/server.crt

key/etc/open\*\*\*/server.key

dh/etc/open\*\*\*/dh1024.pem

ifconfig-pool-persist /etc/open\*\*\*/ipp.txt

keepalive 10 120

client-config-dir ccd

push "route 192.168.10.0 255.255.255.0"

route 172.16.8.0 255.255.255.0

max-clients 50

persist-key

persist-tun

status/etc/open\*\*\*/open\*\*\*-status.log

log/etc/open\*\*\*/open\*\*\*.log

log-append/etc/open\*\*\*/open\*\*\*.log

mtu-test

verb 3

客户端的配置文件不用更改但是要在iptables里面添加一条SNAT转换，把从隧道过来的数据的源IP全部替换为客户端eth0网卡的IP地址用以进行内网的访问

iptables -t nat -A POSTROUTING -d 172.16.8.0/24 -j SNAT --to 1.1.1.1

附加上open\*\*\*的配置文档解释

Open×××服务器端配置文件祥解

\# 哪个本地ip地址将被Open\*\*\*监听?

\# 也可以不注明

;local a.b.c.d

\# 哪一个tcp/udp端口将被监听?

\# 如果你要在一台机器上启动多个Open×××,你需要监听不同的端口

\# 记着在防火墙那里打开这些端口

port 1194

\# TCP还是UDP协议?

\# 如果采用HTTP proxy，必须使用TCP协议

proto udp

\# "dev tun" 将创建1个路由隧道

\# "dev tap" 将创建1个以太网隧道

\# 如果你选择桥模式,使用 "dev tap"

\# 如果你需要控制每个客户端的访问控制策略

\# 你必须创建防火墙规则到TUN/TAP接口

\# 在非Windows系统上,你可以明确该接口,如:tun0

\# 在Windows上,使用"dev-node"

\# 在大多数系统上,如果你的防火墙部分或全部禁止TUN/TAP接口的话,Open\*\*\*将可能不起作用

;dev tap

dev tun

\# 在Windows上如果你更多的网络接口，你需要在网络连接控制面板上增加

\# TAP-Win32适配器接口名

\# 在XP SP2或更高系统上，你需要使windows防火墙对该接口不执行过滤规则

\# 非Windows系统通常不需要设置这个

;dev-node MyTap

\# 证书/key文件指向

ca ca.crt \#Open×××使用的ROOT CA，使用build-ca生成的，用于验证客户是证书是否合法

cert server.crt \#Server使用的证书文件

key server.key \#Server使用的证书对应的key,该文件必须严格控制其安全性

\#CRL文件的申明，被吊销的证书链，这些证书将无法登录

;crl-verify \*\*\*crl.pem

\# Diffie hellman文件指向

\# 如果你在建立证书时使用2048的话这里是2048

\# 否则默认

dh dh1024.pem

\# 给接入的client分配的地址段

server 192.168.80.0 255.255.255.0

\# 维护客户端和虚拟ip地址联系

\# 在open\*\*\*重启时,再次连接的客户端将依然被分配和以前一样的

\# ip地址

ifconfig-pool-persist ipp.txt

\# open\*\*\*桥模式用的\[我不用桥模式\]

\# Configure server mode for ethernet bridging.

\# You must first use your OS's bridging capability

\# to bridge the TAP interface with the ethernet

\# NIC interface. Then you must manually set the

\# IP/netmask on the bridge interface, here we

\# assume 10.8.0.4/255.255.255.0. Finally we

\# must set aside an IP range in this subnet

\# (start=10.8.0.50 end=10.8.0.100) to allocate

\# to connecting clients. Leave this line commented

\# out unless you are ethernet bridging.

;server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100

\# 下面这句使客户端能访问服务器后面的子网机器

\# 比如:服务器子网网段是192.168.10.0和192.168.10.2

\# 你需要在open×××服务器端配置文件中添加下面这两句

push "route 192.168.10.0 255.255.255.0"

push "route 192.168.20.0 255.255.255.0"

\# 使服务器子网内机器可以访问客户端子网内机器

\# 仅用于路由模式

\# 假设:客户端子网网段192.168.40.0

\# 首先,在服务器配置文件中添加下面这两行

\# client-config-dir ccd

\# 和route 192.168.40.0 255.255.255.0

\# 然后在服务器端ccd目录下创建一个文件,文件名是客户端的公共名

\# 文件内容是:

\# iroute 192.168.40.0 255.255.255.0

;client-config-dir ccd

;route 192.168.40.0 255.255.255.0

\# EXAMPLE: Suppose you want to give

\# Thelonious a fixed ××× IP address of 10.9.0.1.

\# First uncomment out these lines:

;client-config-dir ccd

;route 10.9.0.0 255.255.255.252

\# Then add this line to ccd/Thelonious:

\# ifconfig-push 10.9.0.1 10.9.0.2

\# 支持对不同客户端组执行不同的防火墙策略

\# 这里有两种方法

\# (1) 运行多个Open×××守护进程, 每个对应不同的组

\# 并且防火墙对不同的组和进程执行不同的策略

\# (2) (高级)创建1个动态脚本使防火墙对接入的不同客户端执行不同的策略

;learn-address ./script

\# 下面这句使客户端所有网络通信通过\*\*\*

\# If enabled, this directive will configure

\# all clients to redirect their default

\# network gateway through the ×××, causing

\# all IP traffic such as web browsing and

\# and DNS lookups to go through the ×××

\# (The Open××× server machine may need to NAT

\# the TUN/TAP interface to the internet in

\# order for this to work properly).

\# CAVEAT: May break client's network config if

\# client's local DHCP server packets get routed

\# through the tunnel. Solution: make sure

\# client's local DHCP server is reachable via

\# a more specific route than the default route

\# of 0.0.0.0/0.0.0.0.

;push "redirect-gateway"

\# 客户端DHCP设置

\# Certain Windows-specific network settings

\# can be pushed to clients, such as DNS

\# or WINS server addresses. CAVEAT:

\#;push "dhcp-option DNS 10.8.0.1"

;push "dhcp-option WINS 10.8.0.1"

\# 下面这句使客户端能相互访问

\# 否则，默认设置下客户端间不能相互访问

client-to-client

\# 这段常用于测试用途，注释该条可实现限制一个证书在同一时刻只能有一个客户端接入

\# Uncomment this directive if multiple clients

\# might connect with the same certificate/key

\# files or common names. This is recommended

\# only for testing purposes. For production use,

\# each client should have its own certificate/key

\# pair.

\# IF YOU HAVE NOT GENERATED INDIVIDUAL

\# CERTIFICATE/KEY PAIRS FOR EACH CLIENT,

\# EACH HAVING ITS OWN UNIQUE "COMMON NAME",

\# UNCOMMENT THIS LINE OUT.

;duplicate-cn

\# 活动连接保时期限

\# The keepalive directive causes ping-like

\# messages to be sent back and forth over

\# the link so that each side knows when

\# the other side has gone down.

\# Ping every 10 seconds, assume that remote

\# peer is down if no ping received during

\# a 120 second time period.

keepalive 10 120

\# 为防止遭到DDoS\*\*\*

\# 生成ta.key文件，并cp到服务器端和每个客户端

\# 该文件用以下命令生成

\# open\*\*\* --genkey --secret ta.key

\# 服务器端0,客户端1

\# 该文件要严格保护

tls-auth ta.key 0 \# 服务器端是0

\# 选择一种加密算法,Server端和client端必须一样

\# Select a cryptographic cipher.

\# This config item must be copied to

\# the client config file as well.

;cipher BF-CBC \# Blowfish (default)

;cipher AES-128-CBC \# AES

;cipher DES-EDE3-CBC \# Triple-DES

\# 允许数据压缩

\# 客户端配置文件也需要有这项

comp-lzo

\# 最大客户端并发连接数量

;max-clients 100

\#定义运行open\*\*\*的用户

;user nobody

;group nobody

\#通过keepalive检测超时后，重新启动×××，不重新读取keys，保留第一次使用的keys

persist-key

\#通过keepalive检测超时后，重新启动×××，一直保持tun或者tap设备是linkup的，

\#否则网络连接会先linkdown然后linkup

persist-tun

\#定期把open\*\*\*的一些状态信息写到文件中，以便自己写程序计费或者进行其他操作

status open\*\*\*-status.log

\#记录日志，每次重新启动open\*\*\*后删除原有的log信息

;log open\*\*\*.log

\#或者

\#记录日志，每次重新启动open\*\*\*后追加原有的log信息

log-append open\*\*\*.log \#\[为便于管理log可将该项改为/var/log/open\*\*\*.log\]

\# 设置日志记录冗长级别

\# Set the appropriate level of log

\# file verbosity.

\# 0 is silent, except for fatal errors

\# 4 is reasonable for general usage

\# 5 and 6 can help to debug connection problems

\# 9 is extremely verbose

verb 3

\# 重复日志记录限额

\# Silence repeating messages. At most 20

\# sequential messages of the same message

\# category will be output to the log.

mute 20

客户端通过网口启动可过去的ip_透过open***来访问内网资源

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关利用JAVA的服务器客户端来实现网内下载

相关内网ip与外网ip

相关如何通过内网穿透实现无公网IP也能远程访问内网的宝塔面板

相关 vsftp配置端口映射通过外网服务器ip访问内网服务器的ftp

相关外网IP内网IP的区别

相关内网，外网，内网IP, 外网IP

相关浅谈外网通过反向代理访问内网资源时的权限保护

相关实现客户端外部网访问

相关【内外网映射】通过外网ip来访问虚拟机服务器

相关客户端通过网口启动可过去的ip_透过open***来访问内网资源