Docker 搭建 OpenVPN 服务器教程 – wiki词典

作者： /

I have generated a detailed article on “Docker 搭建 OpenVPN 服务器教程” (Setting up OpenVPN Server with Docker Tutorial).

Here is the complete article:

“`markdown

Docker 搭建 OpenVPN 服务器教程

1. 引言

在当今数字时代，网络安全和隐私保护变得越来越重要。无论是为了访问受地理限制的内容、保护公共 Wi-Fi 连接上的数据，还是为了在团队之间建立安全的内部网络，VPN（虚拟私人网络）都是一个不可或缺的工具。OpenVPN 作为一款功能强大、开源且高度可配置的 VPN 解决方案，受到了广泛的青睐。

然而，手动搭建 OpenVPN 服务器可能会涉及到复杂的配置步骤和依赖管理。这时，Docker 就成为了一个理想的解决方案。Docker 容器化技术能够将应用程序及其所有依赖项打包到一个独立的单元中，确保在任何环境中都能一致运行。

本教程将详细介绍如何利用 Docker 快速、高效地搭建一个 OpenVPN 服务器。通过容器化，您可以避免繁琐的系统级配置，轻松管理 OpenVPN 实例，并享受到更便捷的部署和维护体验。无论您是技术爱好者还是系统管理员，本教程都将帮助您掌握使用 Docker 搭建 OpenVPN 服务器的关键技能。

2. 前置条件

在开始搭建 OpenVPN 服务器之前，请确保您满足以下条件：

  • 一台可访问公网的服务器： 您的服务器需要有一个公网 IP 地址，以便客户端能够连接。推荐使用 Ubuntu、CentOS 等 Linux 发行版作为服务器操作系统。
  • 安装 Docker 和 Docker Compose： 确保您的服务器上已安装最新版本的 Docker 和 Docker Compose。您可以参考 Docker 官方文档进行安装：
  • 基础 Linux 命令和 Docker 知识： 本教程会涉及一些 Linux 命令行操作和 Docker 基本概念，建议您提前了解。
  • 开放必要的端口： OpenVPN 默认使用 UDP 1194 端口。请确保您的服务器防火墙和云服务提供商的安全组（如果适用）允许传入的 UDP 1194 端口流量。
  • SSH 访问权限： 您需要通过 SSH 连接到您的服务器进行操作。

3. 使用 Docker 搭建 OpenVPN 服务器

我们将使用 kylemanna/openvpn 这个流行的 Docker 镜像来搭建 OpenVPN 服务器。这个镜像集成了 OpenVPN 和 Easy-RSA，方便我们进行证书管理。

3.1 准备工作

首先，在您的服务器上创建一个目录，用于存放 OpenVPN 的配置文件和证书等数据。我们将把这个目录挂载到 Docker 容器中，以实现数据持久化。

bash
mkdir -p ~/openvpn-data

3.2 初始化 OpenVPN 配置

接下来，我们将使用 Docker 镜像来生成 OpenVPN 的初始配置文件。您需要将 YOUR_SERVER_IP 替换为您的服务器公网 IP 地址。这个 IP 地址将用于生成客户端配置文件，确保客户端能够正确连接。

bash
docker run -v ~/openvpn-data:/etc/openvpn --log-driver=none --rm kylemanna/openvpn ovpn_genconfig -u udp://YOUR_SERVER_IP

说明：
* -v ~/openvpn-data:/etc/openvpn：将宿主机的 ~/openvpn-data 目录挂载到容器的 /etc/openvpn 目录，实现数据持久化。
* --log-driver=none：禁用日志驱动，减少不必要的输出。
* --rm：容器停止后自动删除，因为我们只需要执行一次配置生成。
* kylemanna/openvpn：使用的 Docker 镜像。
* ovpn_genconfig -u udp://YOUR_SERVER_IP：这是镜像提供的工具，用于生成 OpenVPN 配置文件。-u 参数指定了 OpenVPN 服务器的外部访问地址和协议。

执行此命令后，会在 ~/openvpn-data 目录下生成 openvpn.conf 和其他一些配置文件。

3.3 生成服务器证书和密钥

OpenVPN 依赖 PKI（Public Key Infrastructure）来认证客户端和服务器。我们需要生成一个 CA（Certificate Authority）证书、服务器证书和密钥。

首先，初始化 PKI。这一步会要求您为 CA 证书设置一个密码。请务必记住这个密码，因为它在后续生成客户端证书时会用到。

bash
docker run -v ~/openvpn-data:/etc/openvpn --log-driver=none --rm -it kylemanna/openvpn ovpn_initpki

在提示 Enter New CA Key Password: 时输入您的密码，然后在 Re-enter New CA Key Password: 再次输入确认。

接下来，生成服务器证书和密钥。同样，系统会提示您输入 CA 证书的密码。

bash
docker run -v ~/openvpn-data:/etc/openvpn --log-driver=none --rm kylemanna/openvpn easyrsa build-server-full server nopass

说明：
* server：是服务器证书的通用名称 (Common Name, CN)。
* nopass：表示服务器密钥不设置密码，这样 OpenVPN 服务启动时无需手动输入密码。

3.4 启动 OpenVPN 服务器

现在，所有的配置和证书都已准备就绪，我们可以启动 OpenVPN 服务器了。

bash
docker run -v ~/openvpn-data:/etc/openvpn -d -p 1194:1194/udp --cap-add=NET_ADMIN --name openvpn kylemanna/openvpn

说明：
* -d：在后台运行容器。
* -p 1194:1194/udp：将宿主机的 UDP 1194 端口映射到容器的 UDP 1194 端口。
* --cap-add=NET_ADMIN：授予容器 NET_ADMIN 权限，这是 OpenVPN 运行所必需的，用于修改网络接口。
* --name openvpn：为容器指定一个名称，方便管理。

您可以使用 docker ps 命令来检查 OpenVPN 容器是否正在运行：

bash
docker ps

如果看到名为 openvpn 的容器状态为 Up，则表示服务器已成功启动。

3.5 管理客户端证书

要让客户端连接到您的 OpenVPN 服务器，您需要为每个客户端生成一个独立的证书和密钥，并将其打包成 .ovpn 配置文件。

3.5.1 生成客户端证书和密钥

假设您要为名为 client1 的客户端生成证书：

bash
docker run -v ~/openvpn-data:/etc/openvpn --log-driver=none --rm -it kylemanna/openvpn easyrsa build-client-full client1 nopass

在提示 Enter pass phrase for /etc/openvpn/pki/private/ca.key: 时，输入您在 ovpn_initpki 步骤中设置的 CA 证书密码。

注意： 这里的 client1 是客户端的通用名称，每个客户端都应该有一个唯一的名称。

3.5.2 导出客户端配置文件 (.ovpn)

生成客户端证书后，您需要将其与服务器配置打包成一个 .ovpn 文件，供客户端导入。

bash
docker run -v ~/openvpn-data:/etc/openvpn --log-driver=none --rm kylemanna/openvpn ovpn_getclient client1 > ~/client1.ovpn

这个命令会将 client1 的 .ovpn 配置文件输出到宿主机的 ~/client1.ovpn 文件中。您需要将这个文件安全地传输给 client1 用户。

3.5.3 撤销客户端证书 (可选)

如果某个客户端的证书泄露或不再需要访问 VPN，您可以撤销其证书。

首先，撤销证书：

bash
docker run -v ~/openvpn-data:/etc/openvpn --log-driver=none --rm -it kylemanna/openvpn easyrsa revoke client1

在提示 Enter pass phrase for /etc/openvpn/pki/private/ca.key: 时，输入 CA 证书密码。
在提示 Confirm removal of directory: 时，输入 yes。

然后，更新 CRL (Certificate Revocation List)：

bash
docker run -v ~/openvpn-data:/etc/openvpn --log-driver=none --rm kylemanna/openvpn easyrsa gen-crl

最后，将更新后的 CRL 复制到 OpenVPN 容器中，并重启容器以使更改生效：

bash
docker cp ~/openvpn-data/pki/crl.pem openvpn:/etc/openvpn/pki/crl.pem
docker restart openvpn

撤销证书后，client1 将无法再连接到 OpenVPN 服务器。

4. 客户端配置与连接

在服务器端生成 .ovpn 配置文件后，您需要将其传输到客户端设备，并使用 OpenVPN 客户端软件进行连接。

4.1 Windows 客户端

  1. 下载并安装 OpenVPN GUI：
    访问 OpenVPN 官网 https://openvpn.net/client-connect-vpn-for-windows/ 下载并安装适用于 Windows 的 OpenVPN Connect 客户端。
  2. 导入配置文件：
    将您之前生成的 .ovpn 文件（例如 client1.ovpn）复制到 OpenVPN Connect 客户端安装目录下的 config 文件夹中（通常是 C:\Program Files\OpenVPN\config）。
  3. 连接 VPN：
    启动 OpenVPN Connect 客户端，您会在系统托盘中看到 OpenVPN 图标。右键点击图标，选择您的配置文件，然后点击“连接”。
  4. 输入证书密码 (如果设置了)：
    如果您的客户端证书在生成时设置了密码，系统会提示您输入。

4.2 macOS 客户端

  1. 下载并安装 Tunnelblick 或 OpenVPN Connect：
  2. 导入配置文件：
    • Tunnelblick: 双击 .ovpn 文件，Tunnelblick 会自动导入。
    • OpenVPN Connect: 打开客户端，点击“文件”->“导入配置文件”，选择您的 .ovpn 文件。
  3. 连接 VPN：
    启动客户端，选择导入的配置文件，然后点击连接。

4.3 Linux 客户端

在 Linux 上，您可以使用 OpenVPN 命令行客户端或 NetworkManager 图形界面进行连接。

4.3.1 命令行方式

  1. 安装 OpenVPN：
    bash
    sudo apt update
    sudo apt install openvpn # Debian/Ubuntu
    sudo yum install openvpn # CentOS/RHEL
  2. 连接 VPN：
    将 .ovpn 文件复制到 /etc/openvpn/client/ 目录下（或您选择的其他位置）。
    bash
    sudo openvpn --config /etc/openvpn/client/client1.ovpn
    您也可以在后台运行：
    bash
    sudo openvpn --config /etc/openvpn/client/client1.ovpn --daemon

4.3.2 NetworkManager (图形界面)

  1. 安装 NetworkManager OpenVPN 插件：
    bash
    sudo apt install network-manager-openvpn-gnome # Debian/Ubuntu (GNOME桌面)
    sudo yum install NetworkManager-openvpn-gnome # CentOS/RHEL (GNOME桌面)
  2. 导入配置文件：
    打开系统设置 -> 网络 -> VPN，点击“+”号添加新 VPN 连接，选择“从文件导入”，然后选择您的 .ovpn 文件。
  3. 连接 VPN：
    选择新添加的 VPN 连接并启用它。

4.4 移动设备客户端 (iOS/Android)

  1. 下载 OpenVPN Connect 应用：
    在 App Store (iOS) 或 Google Play Store (Android) 中搜索并下载“OpenVPN Connect”官方应用。
  2. 传输配置文件：
    将 .ovpn 文件传输到您的移动设备。可以通过电子邮件、云存储服务（如 Dropbox、Google Drive）或直接连接电脑传输。
  3. 导入配置文件：
    • iOS: 打开 OpenVPN Connect 应用，点击左上角的菜单图标，选择“导入配置文件”，然后选择您传输的 .ovpn 文件。
    • Android: 打开 OpenVPN Connect 应用，点击右下角的“+”号，选择“导入配置文件”，然后选择您传输的 .ovpn 文件。
  4. 连接 VPN：
    导入后，选择配置文件，然后点击连接按钮。

5. 高级配置 (可选)

5.1 修改 OpenVPN 端口

如果您想修改 OpenVPN 的默认端口 (UDP 1194)，可以在初始化配置时指定。例如，修改为 UDP 2000：

bash
docker run -v ~/openvpn-data:/etc/openvpn --log-driver=none --rm kylemanna/openvpn ovpn_genconfig -u udp://YOUR_SERVER_IP:2000

请确保您的防火墙和安全组也相应开放了新端口。同时，启动容器时也要修改端口映射：

bash
docker run -v ~/openvpn-data:/etc/openvpn -d -p 2000:2000/udp --cap-add=NET_ADMIN --name openvpn kylemanna/openvpn

5.2 DNS 配置

默认情况下，OpenVPN 服务器可能会推送一些 DNS 服务器给客户端。如果您希望使用特定的 DNS 服务器（例如 Google DNS 8.8.8.8 和 8.8.4.4），可以在 openvpn.conf 中添加：

编辑 ~/openvpn-data/openvpn.conf 文件，找到 push "dhcp-option DNS ..." 相关的行，修改或添加：

push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"

修改后，重启 OpenVPN 容器使配置生效。

5.3 路由配置

如果您希望客户端通过 VPN 访问特定内网资源而不是所有流量都通过 VPN，可以修改路由配置。
编辑 ~/openvpn-data/openvpn.conf 文件，找到 push "redirect-gateway def1 bypass-dhcp" 这一行。
* 如果希望所有流量都通过 VPN（默认行为），保持此行不变。
* 如果只希望访问特定内网，可以注释掉此行 (# push "redirect-gateway def1 bypass-dhcp")，然后添加您需要的路由规则。例如，要访问 192.168.1.0/24 网段：
push "route 192.168.1.0 255.255.255.0"

修改后，重启 OpenVPN 容器使配置生效。

6. 故障排除

在搭建和使用 OpenVPN 的过程中，可能会遇到一些问题。以下是一些常见问题及其解决方案：

6.1 无法连接 / 连接超时

  • 检查服务器公网 IP： 确保在 ovpn_genconfig 命令中使用的 IP 地址是您服务器的公网 IP。
  • 检查端口是否开放： 确保服务器防火墙（如 ufw 或 firewalld）和云服务提供商的安全组（如 AWS Security Group, Azure Network Security Group, Aliyun Security Group）已开放 UDP 1194 端口（或您自定义的端口）。您可以使用 netstat -tulnp | grep 1194 (如果安装了 net-tools) 或 ss -tulnp | grep 1194 命令检查端口是否在监听。
  • 检查 Docker 容器状态： 使用 docker ps 检查 openvpn 容器是否正在运行。如果未运行，查看 docker logs openvpn 获取启动日志。
  • 客户端 .ovpn 文件是否正确： 确保客户端使用的 .ovpn 文件是最新的，并且在生成时使用的 IP 地址是正确的。

6.2 客户端连接成功但无法上网

  • 检查 IP 转发： 确保服务器已启用 IP 转发。在大多数 Docker OpenVPN 镜像中，这通常会自动处理。但您可以手动检查：
    bash
    cat /proc/sys/net/ipv4/ip_forward
    如果输出为 0，则需要启用：
    bash
    sudo sysctl -w net.ipv4.ip_forward=1
    sudo sh -c "echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf"
  • 检查 NAT (网络地址转换) 规则： OpenVPN 服务器需要将 VPN 客户端的流量进行 NAT，以便它们可以通过服务器的公网 IP 访问互联网。这个镜像通常会自动添加 iptables 规则。您可以检查：
    bash
    sudo iptables -t nat -L POSTROUTING
    查找是否有 MASQUERADE 规则应用于 OpenVPN 的网络接口。如果缺失，可能需要手动添加，但这通常不应该是必要的。
  • 检查 DNS 配置： 确保客户端在连接 VPN 后能够解析域名。可以在客户端尝试 ping 8.8.8.8 和 ping google.com 来测试。如果 ping 8.8.8.8 成功但 ping google.com 失败，则可能是 DNS 问题。检查 openvpn.conf 中的 push "dhcp-option DNS ..." 配置。

6.3 证书过期或吊销问题

  • 重新生成证书： 如果证书过期，或者您需要撤销并重新颁发证书，请按照 “3.5 管理客户端证书” 中的步骤操作。
  • 检查 CRL： 确保服务器上的 CRL 是最新的，并且 OpenVPN 容器已重新加载了它。

6.4 日志分析

当遇到问题时，查看 OpenVPN 容器的日志是重要的排查手段：

bash
docker logs openvpn

客户端的日志也可以提供有价值的信息。

7. 总结

通过本教程，您应该已经成功地使用 Docker 搭建了一个 OpenVPN 服务器，并了解了如何生成和管理客户端证书。Docker 的容器化技术极大地简化了 OpenVPN 服务器的部署和管理过程，使其变得更加高效和可维护。

现在，您和您的团队可以享受到一个安全、加密的网络连接，无论是用于保护数据隐私，访问受限资源，还是构建安全的远程办公环境。请记住，定期更新您的 Docker 镜像和 OpenVPN 配置是保持系统安全的关键。如果您在部署过程中遇到任何问题，可以参考故障排除章节或查阅 OpenVPN 和 Docker 的官方文档获取更多帮助。
“`

滚动至顶部