CN114285697A

CN114285697A - 一种基于WireGuard和OpenVPN的多网络单入口VPN***

Info

Publication number: CN114285697A
Application number: CN202111591393.4A
Authority: CN
Inventors: 刘隆剑; 蔡迎港; 欧志伟; 吴坚
Original assignee: Shanghai Zhenyun Information Technology Co ltd
Current assignee: Shanghai Zhenyun Information Technology Co ltd
Priority date: 2021-12-23
Filing date: 2021-12-23
Publication date: 2022-04-05

Abstract

本发明公开了一种基于WireGuard和OpenVPN的多网络单入口VPN***，所述***为：用户通过OpenVPN进行单入口接入，通过Wireguard在网络的第三层创建隧道打通不同网络，用户流量由OpenVPN的tun0网络接口通过SSL安全隧道传递到VPN网关，通过nftables进行数据包过滤并转发到Wireguard的网络接口，通过隧道发送数据给目的网络，并通过轻型目录访问协议LDAP协议对企业量级的用户进行认证和访问权限控制。本发明解决了现有用户远程接入内网无法对访问权限进行控制、无法适配混合云网络环境、难以保证企业内网数据安全的问题。

Description

一种基于WireGuard和OpenVPN的多网络单入口VPN***

技术领域

本发明涉及网络通信技术领域，具体涉及一种基于WireGuard和OpenVPN的多网络单入口VPN***。

背景技术

为了实现用户远程办公、混合云网络的可拓展性互通、用户访问权限的控制、流量监测等功能，很多企业采用了不同的方案。大多数公司会使用现有的SSL VPN——EasyConnect客户端，该VPN客户端的作用是使得用户可以远程接入内网进行工作。通过在处于企业安全域内的核心应用服务器前端部署EasyConnect设备，将核心业务***发布到用户终端，对数据进行保护。网络配置完成之后，直接由EasyConnect设备自动下发远程应用插件至终端，用户通过远程应用方式访问企业核心业务***。由于远程应用是将企业应用程序虚拟为一个一个的图像实例，然后将不同的图像实例通过VPN隧道传输到终端，因此Easyconnect可以做到业务数据不在用户终端落地，实现敏感数据与物理终端的隔离。现有的EasyConnect需要购买，并且这种方案仅做到了使用户接入内网、无法做到对企业量级的用户的访问权限的控制、无法适配当前各企业的可伸缩的混合云网络环境。

另外还有一些商业化的产品，推出的方案是管理员在前端管理界面点击需要互通的网络，Web Client向控制器发送创建连接请求，控制器向指定VPN容器下发IPSec配置，同时在VPC路由表添加到达对端网络的路由条目。配置完成后拉起隧道，两端网络完成互通。上述商业化产品专注于混合云的组网，因而其缺点有没有考虑企业量级的用户的访问控制方案，并且仅封装了最老一代的IPSec VPN，无法抵御现代的网络攻击、没有对conntrack事件流进行监测管理，无法保证企业内网数据的安全。

发明内容

为此，本发明提供一种基于WireGuard和OpenVPN的多网络单入口VPN***，以解决现有用户远程接入内网无法对访问权限进行控制、无法适配混合云网络环境、难以保证企业内网数据安全的问题。

为了实现上述目的，本发明提供如下技术方案：

本发明公开了一种基于WireGuard和OpenVPN的多网络单入口VPN***，所述***为：

用户通过OpenVPN进行单入口接入，通过Wireguard在网络的第三层创建隧道打通不同网络，用户流量由OpenVPN的tun0网络接口通过SSL安全隧道传递到VPN网关，通过nftables进行数据包过滤并转发到Wireguard的网络接口，通过隧道发送数据给目的网络，并通过轻型目录访问协议LDAP协议对企业量级的用户进行认证和访问权限控制。

进一步地，所述***具体工作过程为：

对WireGuard服务端进行节点配置，配置完成后新增WireGuard客户端或中继服务器节点配置，对OpenVPN服务端以及OpenVPN客户端进行配置，VPN网关通过Nftables进行管理和监控访问事件流。

进一步地，所述WireGuard服务端进行节点配置的过程为：

关闭FirewallD，尝试对FirewallD进行关闭，如果无法关闭则进行强制杀掉关闭；

服务端开启IP转发，安全组开放端口，入规则的51820/UDP协议的端口打开，用作WireGuard客户端与之通信，入规则的1194/UDP协议的端口打开，用作OpenVPN客户端与之通信；

配置WireGuard服务端，在WireGuard目录生成服务器私钥privatekey和公钥publickey，编写服务端配置文件；

WireGuard服务操作命令，运行后查看连接状态，设置开机自启，每次加完VPC中继器后运行下一个并且手动添加到新VPC的静态路由。

进一步地，所述新增WireGuard客户端或中继服务器节点配置中，客户端为WireGuard的中继服务器，在中继服务器启动WireGuard的命令与服务端相同，当WireGuard中继服务器服务产生后，transfer流量进行接受和发送，客户端与服务端连通。

进一步地，所述OpenVPN服务端进行配置过程为：

进行依赖包的安装，下载源码编译安装OpenVPN，安装完成后证书生成，放入opt目录；对所需证书进行初始化，生成客户端证书，对服务端进行配置，配置完成后进行OpenVPN服务常用操作，包括重启openvpn服务、停止openvpn服务、安全查看日志。

进一步地，所述下载源码编译安装OpenVPN过程中，将源码tar包下载到/etc/目录下并解压编译安装，修改名称后进行解压，重命名解压后的文件夹并进入文件夹，检测安装平台的目标特征，编译安装后创建软连接，若解压后的openvpn文件夹不在/etc/目录下，则迁移至此目录，修改配置文件，设置开机自启动，将证书配置文件拷贝到/etc/openvpn/server中，启动步骤在证书都准备完成的情况下运行。

进一步地，所述证书进行初始化时，在当前目录创建PKI目录，用于存储中间变量及最终生成的证书，输入PEM密码和通用名，生成服务端证书，为服务端生成证书并在本地签名，创建Diffie-Hellman，确保key穿越不安全网络的命令，为客户端生成证书并在本地签名，提高安全性生成ta.key，如果配置文件中启用此项，就执行openvpn--genkey secretta.key命令，并把ta.key放到/etc/openvpn/server目录，最终整理服务端证书。

进一步地，所述OpenVPN客户端进行配置过程中，客户端包括：Linux、Windows、Mac，

当客户端为Linux，客户端的OpenVPN安装基本上和服务端一致，遇到server的地方需要改成client，安装成功后，客户端不需要特别配置，只要将服务器上生成的证书和客户端配置文件拷贝到客户端配置目录中；

当客户端为Windows，安装OpenVPN客户端即可；

当客户端为Mac，安装任意VPN软件即可。

进一步地，所述VPN网关通过Nftables维护iptables基本的规则，将此iptables规则全部转换为nftables规则，通过翻译工具将ubantu翻译成nftables规则，得到nft命令,在关掉iptables以及iptables的nat后进入nftables的交互模式执行，关闭iptables服务和卸载iptables的相关nat模块，运行nft命令生成对应的nft规则。

进一步地，所述关闭iptables服务和卸载iptables的相关nat模块过程中，只有先关闭iptables的nat模块，流量才能流经nft的na。

本发明具有如下优点：

本发明公开了一种基于WireGuard和OpenVPN的多网络单入口VPN***，借助了足够安全的开源SSL VPN软件OpenVPN用于用户侧的安全认证和建立连接、使用安全又高效的WireGuard应用于可伸缩的混合云的组网。对于用户，达成了安全、快速、高效的访问混合云网络的过程。对于公司，很多内网的平台及服务就无须购买公网IP服务，既降低了财务成本，又能更好地保障各客户的各种环境的安全，提高客户的信任度；

利用更高效的防火墙组件nftables替代了iptables，以便承接更高的在线用户数，也方便管理员进行管理和监控访问事件流。最后，通过与LDAP协议的对接，使得此方案免除了繁杂的用户管理问题。

附图说明

为了更清楚地说明本发明的实施方式或现有技术中的技术方案，下面将对实施方式或现有技术描述中所需要使用的附图作简单地介绍。显而易见地，下面描述中的附图仅仅是示例性的，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图引申获得其它的实施附图。

本说明书所绘示的结构、比例、大小等，均仅用以配合说明书所揭示的内容，以供熟悉此技术的人士了解与阅读，并非用以限定本发明可实施的限定条件，故不具技术上的实质意义，任何结构的修饰、比例关系的改变或大小的调整，在不影响本发明所能产生的功效及所能达成的目的下，均应仍落在本发明所揭示的技术内容得能涵盖的范围内。

图1为本发明实施例提供的一种基于WireGuard和OpenVPN的多网络单入口VPN***总体架构图；

图2为本发明实施例提供的安全组示例图；

图3为本发明实施例提供的中心辐射型网络拓扑示意图；

图4为本发明实施例提供的混合云通路情况示意图。

具体实施方式

以下由特定的具体实施例说明本发明的实施方式，熟悉此技术的人士可由本说明书所揭露的内容轻易地了解本发明的其他优点及功效，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例

参考图1-图4，本实施例公开了一种基于WireGuard和OpenVPN的多网络单入口VPN***，所述***为：

***具体工作过程为：对WireGuard服务端进行节点配置，配置完成后新增WireGuard客户端或中继服务器节点配置，对OpenVPN服务端以及OpenVPN客户端进行配置，VPN网关通过Nftables进行管理和监控访问事件流。

所述WireGuard服务端进行节点配置的过程为：

服务端开启IP转发，安全组开放端口，入规则的51820/UDP协议的端口打开，用作WireGuard客户端与之通信，入规则的1194/UDP协议的端口打开，用作OpenVPN客户端与之通信；在服务端开启IP转发后，安装WireGuard，若为非标准内核，则需要安装DKMS包。

配置WireGuard服务端，在WireGuard目录生成服务器私钥privatekey和公钥publickey，编写下列服务端配置文件；

[Interface]

PrivateKey＝【VPN服务端私钥privatekey】

Address＝10.12.0.1/16

PreUp＝iptables-t nat-A POSTROUTING-s 10.11.0.0/16-o wg0-j MASQUERADE

PostUp＝iptables-A FORWARD-i wg0-j ACCEPT；iptables-A FORWARD-o wg0-jACCEPT；iptables-t nat-A POSTROUTING-o eth0-j MASQUERADE

PostDown＝iptables-D FORWARD-i wg0-j ACCEPT；iptables-D FORWARD-o wg0-j ACCEPT；iptables-t nat-D POSTROUTING-o eth0-j MASQUERADE

ListenPort＝51820

DNS＝114.114.114.114

MTU＝1420

##VPC B

[Peer]

PublicKey＝【中继服务器B私钥】

AllowedIPs＝10.12.0.2/32,192.168.0.0/16

##VPC C

[Peer]

PublicKey＝【中继服务器C私钥】

AllowedIPs＝10.12.0.3/32,172.16.0.0/16

其中Address是规划的给WireGuard VPN的服务器和各中继器规划的地址和网段，这里指定的网段是10.12.0.1/16，服务端占用10.12.0.1这个虚拟IP；

PreUp在WireGuard虚拟网卡wg0启动之前运行的命令，这里命令的作用是用wg0网卡转发处理10.11.0.0/16网段进来的流量；

PostUp、PostDown是启动和关闭WireGuard时候执行的命令，这里是允许WireGuard的网卡wg0转发流量，允许本地网卡eth0进来的流量的来源IP被wg0网卡分配的IP伪装包裹；

ListenPort是服务端开放的UDP端口，给各中继器连接和维持连接时通信用；

DNS和MTU是解析和分包大小，一般为1500；

Peer是其他虚拟私有云VPC中找的一台用于转发其所在VPC流量的机器的WireGuard配置；

AllowedIPs 10.12.0.2/32最开始填的是给中继服务器分配的虚拟IP，后面这个`192.168.0.0/16`是此中继服务器所在VPC的内网IP网段；所有peer的内网IP网段不能有任何冲突。

新增WireGuard客户端或中继服务器节点配置中，客户端为WireGuard的中继服务器，在中继服务器启动WireGuard的命令与服务端相同，当WireGuard中继服务器服务产生后，transfer流量进行接受和发送，客户端与服务端连通。关于从WireGuard服务端/中继服务器的子网机器到对方子网机器的，还需要在对应的VPC增加路由规则，数据包的走向可以参照图4混合云通路情况示意图中的VPC-VPC图

所述OpenVPN服务端进行配置过程为：

下载源码编译安装OpenVPN过程中，将源码tar包下载到/etc/目录下并解压编译安装，修改名称后进行解压，重命名解压后的文件夹并进入文件夹，检测安装平台的目标特征，编译安装后创建软连接，若解压后的openvpn文件夹不在/etc/目录下，则迁移至此目录，修改配置文件，设置开机自启动，将证书配置文件拷贝到/etc/openvpn/server中，启动步骤在证书都准备完成的情况下运行。

证书生成，放在opt目录中，下载easy-rsa源码或者直接打开页面进行下载包的下载，修改vars解开部分的注释并进行修改，包括：国家、省份、城市、组织、邮箱、拥有者、长度、算法、CA证书过期时间、签发证书的有效期天数。

证书进行初始化时，在当前目录创建PKI目录，用于存储中间变量及最终生成的证书，输入PEM密码和通用名，生成服务端证书，为服务端生成证书并在本地签名，创建Diffie-Hellman，确保key穿越不安全网络的命令，为客户端生成证书并在本地签名，提高安全性生成ta.key，如果配置文件中启用此项，就执行openvpn--genkey secret ta.key命令，并把ta.key放到/etc/openvpn/server目录，配置文件中服务端第二个参数为0，同时客户端也要有此文件，且client.conf中此指令的第二个参数需要为1，最终整理服务端证书。需要在安全组开放1194端口，允许用户客户端通过弹性公网IP:1194与服务端建立连接。

OpenVPN客户端进行配置过程中，客户端包括：Linux、Windows、Mac，

当客户端为Linux，客户端的OpenVPN安装基本上和服务端一致，遇到server的地方需要改成client，安装成功后，客户端不需要特别配置，只要将服务器上生成的证书和客户端配置文件拷贝到客户端配置目录中，在`/etc/openvpn`目录下创建客户端文件夹`client`，然后将客户端配置文件放进去；

当客户端为Windows，安装OpenVPN客户端即可；

当客户端为Mac，安装任意VPN软件即可。

VPN网关通过Nftables维护iptables基本的规则，先清空规则，然后INPUT OUTPUTFORWARD全接受，如果drop会让22端口也被去掉，查询nat表所有规则，删除nat表POSTROUTING链规则的第一条。

将此iptables规则全部转换为nftables规则，ubantu linux内核高于4.8才能支持iptables翻译工具，保存iptables规则，文件default.rules发送到一台有iptables翻译nftables规则的ubantu上并输入nft命令；

通过翻译工具将ubantu翻译成nftables规则，得到nft命令,在关掉iptables以及iptables的nat后进入nftables的交互模式执行；

关闭iptables服务和卸载iptables的相关nat模块，只有先关闭iptables的nat模块，流量才能流经nft的na，停止iptables服务，查看并确定服务是停止状态，卸载nat模块，

运行nft命令生成对应的nft规则，参数进入交互模式，执行从iptables基础规则转换来的nftables规则，增加测量流量规则，再查看目前的nft规则。

本发明通过嵌套支持LDAP协议的安全VPN和支持更高传输带宽的现代VPN，一次性解决了打通混合云网络和企业量级用户管理的难题。

结合混合云组网的特点：随时会有新的VPC需要加入混合云，VPC到VPC，用户到VPC的通路需求会变化。针对这种情况，在服务端部署了WireGuard服务端，用于中心辐射型网络拓扑的VPN网关，可以快速打通新的VPC，做到混合云的可伸缩性。

结合企业远程办公的需求点：用户量大、终端***类型繁杂。针对这种情况，服务端部署了OpenVPN，可支持LDAP协议、账号密码认证、多因子认证。避免了耗费大量人力物力开发秘钥下发管理的麻烦，用户也省去了配置多份配置文件和账号密码的麻烦。

本实施例公开的一种基于WireGuard和OpenVPN的多网络单入口VPN***，借助了足够安全的开源SSL VPN软件OpenVPN用于用户侧的安全认证和建立连接、使用安全又高效的WireGuard应用于可伸缩的混合云的组网。对于用户，达成了安全、快速、高效的访问混合云网络的过程。对于公司，很多内网的平台及服务就无须购买公网IP服务，既降低了财务成本，又能更好地保障各客户的各种环境的安全，提高客户的信任度；

虽然，上文中已经用一般性说明及具体实施例对本发明作了详尽的描述，但在本发明基础上，可以对之作一些修改或改进，这对本领域技术人员而言是显而易见的。因此，在不偏离本发明精神的基础上所做的这些修改或改进，均属于本发明要求保护的范围。

Claims

1.一种基于WireGuard和OpenVPN的多网络单入口VPN***，其特征在于，所述***为：

2.如权利要求1所述的一种基于WireGuard和OpenVPN的多网络单入口VPN***，其特征在于，所述***具体工作过程为：

3.如权利要求2所述的一种基于WireGuard和OpenVPN的多网络单入口VPN***，其特征在于，所述WireGuard服务端进行节点配置的过程为：

4.如权利要求2所述的一种基于WireGuard和OpenVPN的多网络单入口VPN***，其特征在于，所述新增WireGuard客户端或中继服务器节点配置中，客户端为WireGuard的中继服务器，在中继服务器启动WireGuard的命令与服务端相同，当WireGuard中继服务器服务产生后，transfer流量进行接受和发送，客户端与服务端连通。

5.如权利要求2所述的一种基于WireGuard和OpenVPN的多网络单入口VPN***，其特征在于，所述OpenVPN服务端进行配置过程为：

6.如权利要求5所述的一种基于WireGuard和OpenVPN的多网络单入口VPN***，其特征在于，所述下载源码编译安装OpenVPN过程中，将源码tar包下载到/etc/目录下并解压编译安装，修改名称后进行解压，重命名解压后的文件夹并进入文件夹，检测安装平台的目标特征，编译安装后创建软连接，若解压后的openvpn文件夹不在/etc/目录下，则迁移至此目录，修改配置文件，设置开机自启动，将证书配置文件拷贝到/etc/openvpn/server中，启动步骤在证书都准备完成的情况下运行。

7.如权利要求5所述的一种基于WireGuard和OpenVPN的多网络单入口VPN***，其特征在于，所述证书进行初始化时，在当前目录创建PKI目录，用于存储中间变量及最终生成的证书，输入PEM密码和通用名，生成服务端证书，为服务端生成证书并在本地签名，创建Diffie-Hellman，确保key穿越不安全网络的命令，为客户端生成证书并在本地签名，提高安全性生成ta.key，如果配置文件中启用此项，就执行openvpn--genkey secret ta.key命令，并把ta.key放到/etc/openvpn/server目录，最终整理服务端证书。

8.如权利要求2所述的一种基于WireGuard和OpenVPN的多网络单入口VPN***，其特征在于，所述OpenVPN客户端进行配置过程中，客户端包括：Linux、Windows、Mac，

当客户端为Windows，安装OpenVPN客户端即可；

当客户端为Mac，安装任意VPN软件即可。

9.如权利要求2所述的一种基于WireGuard和OpenVPN的多网络单入口VPN***，其特征在于，所述VPN网关通过Nftables维护iptables基本的规则，将此iptables规则全部转换为nftables规则，通过翻译工具将ubantu翻译成nftables规则，得到nft命令,在关掉iptables以及iptables的nat后进入nftables的交互模式执行，关闭iptables服务和卸载iptables的相关nat模块，运行nft命令生成对应的nft规则。

10.如权利要求9所述的一种基于WireGuard和OpenVPN的多网络单入口VPN***，其特征在于，所述关闭iptables服务和卸载iptables的相关nat模块过程中，只有先关闭iptables的nat模块，流量才能流经nft的na。