搭建VPN

本文介绍如何使用pivpn这个工具一键在树莓派上安装openvpn。

博主的目的是从海外通过vpn连接到国内家中内网里的树莓派(家里的网络没有公网IP,使用花生壳的内网穿透服务连接树莓派),使用国内家中的局域网环境。

一旦连上vpn可以干的事情就很多了,比如翻墙回国,比如不需要自建服务器就可以冒充局域网联机玩我的世界,比如远程登录家中的电脑。等等。。。

系统升级

更新软件包地址。

sudo apt-get update

继续升级软件包。

sudo apt-get upgrade

系统升级可能需要花一段时间,在国内可能还要花更久的时间,需要耐心等待。(更新源要提前换成国内源)

PiVPN

PiVPN是一个专门为树莓派设计的OpenVPN平台。我们可以在树莓派上访问PiVPN来直接将OpenVPN安装到自己的树莓派上。

SSH登陆树莓派并且完成了系统升级后,在命令行输入

curl -L https://install.pivpn.io | bash

博主自己的环境需要做以下操作(读者请无视)

先在外网下载好传输到国内树莓派上

wget https://install.pivpn.io

会下载为index.html,重命名为pivpn.sh

mv index.html pivpn.sh

然后scp传输到国内树莓派上

scp -P [ssh port] pivpn.sh pi@[host or domain]:/home/pi/.

进入国内树莓派赋予执行权限

chmod +x pivpn.sh

然后连上国外proxy (前提是配置好mytools和~/.bashrc里面的proxyon命令)

proxyon

然后执行安装shell

./pivpn.sh

博主自己的环境需要做以上操作(完)

按下回车,启动PiVPN的安装。等待一段时间后会出现如下界面。按下回车确认。

注意,在PiVPN的安装过程中,空格键用于选择,回车键用于确认当前选择并进入下一步。

接下来在网络界面选择里,选择你的网络(wifi或者Ethernet,根据树莓派联网的实际情况)。

下一步安装程序会询问你是否应用静态的IP地址。这个IP地址是你的路由器分配给树莓派使用的IP地址,通常不会改变,所以在这里选择Yes就好。

现在安装程序会要求你进行VPN服务器的参数设置。首先它会询问你,使用树莓派上的哪个用户来创建VPN服务器。通常选择pi用户就好。

接下来安装程序会询问你是否开启自动安全更新。鉴于我们的VPN服务器至少会暴露一个端口到互联网上,所以及时的安全更新还是很重要的。树莓派并不会定期重启,所以要应用最新的安全更新,我们需要不定时的手动重启树莓派。

随后需要我们选择网络协议。选择UDP就好。

博主这里需要配合花生壳的内网穿透,而花生壳低版本不支持UDP穿透,所以这里要选择TCP

接下来这一步很重要,我们要选择VPN的端口。默认的端口号是1194。但是出于网络安全的考虑,强烈建议你把端口号修改成其他数字。比如下图中的11948。

博主这里配合花生壳的内网穿透,填入花生壳配置的映射端口作为服务端口。

image.png

接下来一步,要设置加密密钥的长度。一般来说,2048比特的密钥就已经足够了。而4096比特长度的密钥就过于复杂,生成起来时间很久。

按下OK以后就开始生成我们VPN服务器的加密密钥了,如下图所示。正如命令行提示的那样,This is going to take a long time…….在我的树莓派Zero W上大概运行了有一个小时左右才最终生成完毕(但是在B型树莓派3上大概只花了1分钟)。所以,耐心等待吧。

加密密钥生成以后我们要设置IP。如果你的网络运营商分配给你的是一个固定IP,那选择第一项就好。如果你的网络运营商分配给你的是一个动态IP,那你就需要设置DNS入口。你需要在类似No-IP这样的网站上注册一个账号以追踪你的IP地址。注册完账号以后会分配给你一个类似xxxx.noip.com的地址,填在下面DNS Entry页面中即可。想要了解如何在No-IP上设置动态IP的DNS解析,可以参考我的这篇教程:为PiVPN设置动态IP的DNS解析

博主这里配合花生壳的内网穿透,填入花生壳配置的穿透域名。

我的IP是静态固定IP,所以我选择的第一项。下图中,我家的IP地址已经被我抹去了。

下一步会询问你,你要给你的VPN用户选择哪个DNS服务器。如果你要在中国大陆使用VPN的话,建议选择最后一个自定义选项Custom。这个链接里有国内常用的DNS服务器汇总,选择一个适合自己的DNS服务器就可以。如果你主要在中国大陆以外的其他地区使用VPN,恭喜你可以直接选择Google。如果一切设定完成以后想要想修改OpenVPN的DNS服务器,可以参考我的这篇教程:如何在设定完毕后修改PiVPN的配置文件

博主这里选择custom并填入114.114.114.144, 114.114.115.115

到这里位置,VPN服务器就搭建结束了。在命令行中输入

sudo reboot

再按下回车,重启树莓派。

博主追加

如何连接vpn

使用openvpn客户端软件。各平台都有免费的。

官方提供的软件下载在这里

使用后面说明的pivpn add命令生成一个连接用的文件,用客户端打开即可连接。这个文件其实是一个纯文本文件,如果服务器换了IP或者想换成域名形式的话也可以直接修改这个文件。但文件里一堆key不用去动他。

常用命令

  • pivpn -h 查看帮助
  • pivpn -d 查看调试信息
  • pivpn add 添加客户端用户(添加完成以后会生成一个用于openvpn客户端连接用的文件)
  • pivpn add nopass 添加免密码的客户端用户
  • pivpn -r 取消指定用户
  • sudo service openvpn restart 重启openvpn服务

配置完成以后如何修改

pivpn的配置文件

/etc/pivpn/openvpn/setupVars.conf

主要是修改

| Name | 用途 |
| :- | :- |
| pivpnPROTO | 协议udp / tcp |
| pivpnPORT | 服务端口 |
| pivpnSEARCHDOMAIN | 服务器域名(花生壳分配的穿透域名),如果是固定IP可留空 |
| pivpnHOST | 服务器IP(ping一下花生壳穿透域名得到的IP即可) |

openvpn的配置文件

/etc/openvpn/server.conf

主要是修改

| Name | 用途 |
| :- | :- |
| proto | 协议udp / tcp |
| port | 服务端口 |

|
修改配置以后需要重启openvpn服务

sudo service openvpn restart

pivpn add生成的连接用文件

/home/pi/ovpns/xxx.ovpn

如果安装时协议,域名,端口都正确配置了那么这个文件不需要修改。不放心打开检查一下。

但如果安装的时候没有设置正确,那么即使修改了前面两个配置文件,pivpn add生成的客户端连接文件中的内容依然是错误的(这个实在没找到还有哪里需要修改,博主只好直接修改生成以后的文件内容了,好在是文本文件可以修改)

| Name | 用途 |
| :- | :- |
| proto | 协议udp / tcp |
| remote | 花生壳域名或固定IP 花生壳映射端口号(如 abc.cn 12345) |

问题解决Tips:在ubuntu 20.04 LTS安装pivpn,客户端无法连接或者可以连接上服务器但没有因特网连接无法上网

在ubuntu 20.04 LTS下安装完成后你会发现虽然可以连接上服务器但是没有因特网连接,这是因为PiVPN工具对ubuntu 20的支持并不太好(官方只支持到ubuntu 18.04)。

尝试执行pivpn -d可能会得到以下3个错误。

错误1,提示ufw没有启动

但是我手动执行 sudo ufw status verbose 查看防火墙状态却显示 运行中 。要知道ufw防火墙工具是ubuntu自带的一般不会不启动。折腾好久终于查看pivpn源代码发现它只是单纯的对命令ufw status的输出是否为 active 这个英文单词做了验证,而如果你的local设置是中文那自然通不过验证。哎这种check真是作者拍脑袋写出来的很无语。知道原因就不用管它了,提示错误就错误,实际上并没有影响。

当然如果你是强迫症患者也可以修改local文件将中文改成英文后重启即可消除这个错误提示。

可以但没必要。

错误2,提示ufw的入站规则没有设置

并询问是否修复,但即使尝试进行修复也会报一个莫名其妙的错误。具体内容如下

:: [ERR] Ufw input rule is not set, attempt fix now? [Y/n] Y
ERROR: Invalid position '1'
Firewall reloaded
Don

这次直接看源码得知需要添加一条入站规则(废话),根据之前创建服务器设置的协议(udp / tcp)和端口号用iptables命令自行设置一条规则即可。比如

sudo iptables -I INPUT -p udp --dport 1194 -j ACCEPT
sudo iptables-save
# 下面两句是为了持久化,需要先安装 iptables-persistent 这个工具(用apt-get install安装)
sudo netfilter-persistent save
sudo netfilter-persistent reload

自行设置入站规则以后运行pivpn -d时依然会报错,无视即可。

相关源码参考(/usr/local/src/pivpn/scripts/self_check.sh):

if iptables -C INPUT -i "${IPv4dev}" -p "${pivpnPROTO}" --dport "${pivpnPORT}" -j ACCEPT -m comment --comment "${VPN}-input-rule" &> /dev/null; then
  echo ":: [OK] Iptables INPUT rule set"
else
  ERR=1
  read -r -p ":: [ERR] Iptables INPUT rule is not set, attempt fix now? [Y/n] " REPLY
  if [[ ${REPLY} =~ ^[Yy]$ ]] || [[ -z ${REPLY} ]]; then
    iptables -I INPUT 1 -i "${IPv4dev}" -p "${pivpnPROTO}" --dport "${pivpnPORT}" -j ACCEPT -m comment --comment "${VPN}-input-rule"
    iptables-save > /etc/iptables/rules.v4
    echo "Done"
  fi
fi

错误3,提示转发规则没有设置

跟错误2一样,即使尝试修复也会报错,具体如下

:: [ERR] Ufw forwarding rule is not set, attempt fix now? [Y/n] Y
ERROR: Invalid position '1'
Firewall reloaded
Done

原因也和错误2一样,这个工具的自动修复命令行语法不适配ubuntu 20,所以也需要按它的源码要求自行添加规则,应该一来一回添加2条即可。这里我没有仔细研究了,因为现在已经特么凌晨3点多了。我直接修改ufw的配置文件,将 DEFAULT_FORWARD_POLICY 从 DROP 改为 ACCEPT ,默认允许所有转发。

#修改ufw配置文件
sudo vi /etc/default/ufw
...
#将 DEFAULT_FORWARD_POLICY 从 DROP 改为 ACCEPT
#DEFAULT_FORWARD_POLICY="DROP"
DEFAULT_FORWARD_POLICY="ACCEPT"
...
#修改配置文件后重新load
sudo ufw reload

相关源码参考:

if iptables -C FORWARD -s "${pivpnNET}/${subnetClass}" -i "${pivpnDEV}" -o "${IPv4dev}" -j ACCEPT -m comment --comment "${VPN}-forward-rule" &> /dev/null; then
  echo ":: [OK] Iptables FORWARD rule set"
else
  ERR=1
  read -r -p ":: [ERR] Iptables FORWARD rule is not set, attempt fix now? [Y/n] " REPLY
  if [[ ${REPLY} =~ ^[Yy]$ ]] || [[ -z ${REPLY} ]]; then
    iptables -I FORWARD 1 -d "${pivpnNET}/${subnetClass}" -i "${IPv4dev}" -o "${pivpnDEV}" -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -m comment --comment "${VPN}-forward-rule"
    iptables -I FORWARD 2 -s "${pivpnNET}/${subnetClass}" -i "${pivpnDEV}" -o "${IPv4dev}" -j ACCEPT -m comment --comment "${VPN}-forward-rule"
    iptables-save > /etc/iptables/rules.v4
    echo "Done"
  fi
fi

以上即可解决客户端可以连接但不能上网的问题。


版权属于:芒果爱吃胡萝卜

本文链接:http://mangolovecarrot.net/2022/01/29/359

转载时须注明出处及本声明

Last modification:February 2nd, 2022 at 03:32 am