【转】在ubuntu上架设vpn服务器

文章一：在Ubuntu中配置可供Windows主机共享上网的VPN服务器
源地址：http://yp.oss.org.cn/software/show_resource.php?resource_id=567

VPN (Virtual Private Network, 虚拟专用网) 是一种在现有网络基础上建立的虚拟网络, 主要用于帮助两个网络通过VPN隧道 (tunnel) 进行通信. VPN的好处在于网络A中的电脑A₁通过隧道与网络B中的电脑连接上后, A₁将 能够使用网络B的网络环境. VPN分为加密与不加密两种, 通常我们使用的都是加密VPN. 加密VPN常用的协议有SSL、PPTP等, 其中PPTP是Windows系统内置的协议, 因此如果想要搭建一个支持Windows电脑接入的VPN服务器, 最好是使用PPTP服务器软件. 当前VPN的主要用途有在异地接入一个内部网络, 以及翻越功夫网.

注意: VPN服务器必须是具有外网IP的电脑, 如果IP地址属于10.0.0.0~10.255.255.255, 172.16.0.0~172.31.255.255, 192.168.0.0~192.168.255.255这三个IP地址段, 则不具备搭建VPN服务器的条件.

Poptop是一款Linux下的PPTP服务器软件, 今天我们就主要借助它来完成一个VPN服务器的配置. Ubuntu系统使用如下命令安装Poptop:

$ sudo apt-get install pptpd

如果你的Linux的内核版本低于2.6.15, 那么需要先检查一下是否支持MPPE:

$ sudo modprobe ppp-compress-18 && echo "success"

若是没有输出“success”则证明内核不支持, 可以跟随这里的步骤进行内核的配置.

Poptop安装完毕之后需要简单配置一下, 打开“/etc/pptpd.conf”文件, 添加下面两行, 或者这个文件已经有了一些示例, 只需要去掉注释符号.

localip 192.168.0.1
remoteip 192.168.0.234-238,192.168.0.245

“localip”表示VPN隧道中服务器 (server) 的IP地址, “remoteip”表示VPN隧道中客户端 (client) 可以分配的IP地址. 关于“pptdp.conf”文件的更多选项, 可以阅读它的man page.

然后设置用于登录的用户名和密码, 打开“/etc/ppp/chap-secrets”文件, 添加下面一行, 中括号部分代表需要配置的地方:

[username] pptpd [password] *

最后重启Poptop:

$ sudo /etc/init.d/pptpd restart

现在试试用其它电脑是否可以成功连上, 注意客户端填写的IP地址是VPN服务器的外网IP, 而不是刚才配置的“localip”.

虽然可以成功建立VPN连接, 但通常情况下还不能通过VPN服务器连接到Internet. 原因有多种, 先来看看客户端通过VPN服务器与Internet上的服务器通信的全过程:

client <--> client ppp0 <--> VPN server ppp0 <--> VPN server <--> VPN server eth0 <--> Internet server eth0 <--> Internet server

“ppp0”其实是VPN虚拟的一个网络接口 (可以想象成这是一个虚拟的网卡), VPN隧道就是通过客户端与服务器的这两个网络接口建立的. 而“eth0”则代表服务器上真实存在的物理网卡, VPN服务器与外网通信就需要通过它. 具体流程是: 客户端通过“ppp0”向VPN服务器发出请求, VPN服务器侦测到之后, 再将请求通过“eth0”转发出去, 当请求到达目的地之后, Internet服务器就根据请求做出相应的回复, 这个回复再按照刚才来的路径返回到客户端, 这样客户端就成功与Internet服务器完成一次通信.

上面图示中的箭头部分 (“<-->”) 就是可能造成无法连接Internet的关键, 因此需要针对每个部分一一排查. 这里只对可能性最大的两个地方进行介绍, 想要了解每一个关键点的检测方法的同学可以阅读“Diagnosing Forwarding on pptpd”这篇文章.

1. 是否已经打开IP转发?查看“/proc/sys/net/ipv4/ip_forward”文件中的值是否为“1”, 如果不是, 则需要在“/etc/sysctl.conf”文件中添加“net.ipv4.ip_forward=1”, 然后执行以下命令:

   $ sudo /etc/init.d/procps restart

2. 是否在VPN服务器上设置了对于客户端IP地址的NAT?执行下面的命令查看表中是否有相应的表项:

   $ sudo iptables --table nat -L POSTROUTING

   如果没有则执行以下命令:

   $ sudo iptables --table nat --append POSTROUTING --out-interface eth0 --jump MASQUERADE

在完成上面两个检查之后, 应该就可以成功通过VPN服务器与Internet进行通信, 一个VPN服务器也基本配置完毕.

参考资料: Debian pptpd HOWTO, #13, Diagnosing Forwarding on pptpd.
Source URL: http://linux.cuit.edu.cn/?p=884

—————————————————————————————————————————-

文章二：单网卡 Ubuntu 服务器打造 PPTP Server

源地址：http://blog.istef.info/2008/10/17/ubuntu-pptp-server/

自从实验室放了台 Linux 服务器后，可玩的东西就越来越多了。虽然这台服务器主要的工作是 Web Server，但鉴于我们那小站压力非常之小，服务器资源绝大多数还是浪费着，所以让它多干些活是个不错的选择。实验室的内部网络中有不少非常有用的资 源，例如科研用的文献资料，个人的实验数据等等，这些内容一旦离开实验室就不那么容易访问到了。解决这个问题最好的办法就是 VPN。在 Ubuntu 上搭建 VPN 服务器的方法非常多，比较著名的有 PPTP, L2TP/IPSec 和 OpenVPN。这三种方式中后两者的安全性比较好，但配置较麻烦。其中 OpenVPN 在 Windows/Mac 平台上还需要额外的客户端。而 L2TP/IPSec 方式虽然比较好，但我配置后，虽然 Windows 和 Linux 用户没有问题，但 Mac/iPhone 却始终无法连上，所以暂时删掉了，日后搞清楚是什么问题再换到这种方式。

只剩下 PPTP 了。事实上 PPTP 是这三者中配置最容易的方式，而且由于 Windows/Mac 系统中都内建相应的客户端，使用起来非常方便。下面我就简单写写我的安装过程，希望对需要的朋友有用。当然如果您有什么高见，也欢迎您提出。

首先，我所有的操作都是在之前文章中介绍的 Ubuntu 8.04 Server 系统中操作的，如果您的系统和我的不一样，请参考之前的两篇文章。我的服务器环境是单网卡 eth0。

在 Ubuntu 中建立 pptp server 需要的软件包为 pptpd，用 apt-get 即可安装：

sudo apt-get install pptpd

系统会自动解决依赖关系，安装好后，需要进行一番设置。首先编辑 /etc/pptpd.conf

sudo nano /etc/pptpd.conf

去掉文件最末端的 localip 和 remoteip 两个参数的注释，并进行相应修改。这里，localip 是 VPN 连通后服务器的 ip 地址，而 remoteip 则是客户端的可分配 ip 地址。下面是我的配置：

localip 10.100.0.1
remoteip 10.100.0.2-10

编辑好这个文件后，我们需要编辑 /etc/ppp/pptpd-options 文件，还是用 nano 编辑，命令这里就不写了。这里绝大多数参数只需维持原来的默认值即可，我们只需要改变其中的 ms-dns 选项，为 VPN 客户端指派 DNS 服务器地址：

ms-dns 202.113.16.10
ms-dns 208.67.222.222

修改 /etc/ppp/chap-secrets 文件，这里面存放着 VPN 的用户名和密码，根据你的实际情况填写即可。如文件中注释所示，第一列是用户名，第二列是服务器名（默认写 pptpd 即可，如果在 pptpd-options 文件中更改过的话，注意这里保持一致），第三列是密码，第四列是 IP 限制（不做限制写 * 即可）。这里我就不贴我的配置了

全部搞定后，我们需要重启 pptpd 服务使新配置生效：

sudo /etc/init.d/pptpd restart

找一台 Windows 电脑，新建个 VPN 链接，地址填服务器的 IP（或域名），用户名密码填刚才设置好的，域那项空着（如果你在 pptpd-options 中设置了，这里就保持一致），点连接就可以了。正常情况下您应该能够建立与服务器的 VPN 链接了。

建立连接之后，您会发现除了可以访问服务器的资源，其余内外和互联网的内容均无法访问。如果需要访问这些内容的话，我们还需要进一步设置：

首先，开启 ipv4 forward。方法是，修改 /etc/sysctl.conf，找到类似下面的行并取消它们的注释：

net.ipv4.ip_forward=1

然后使新配置生效：

sudo sysctl -p

有些时候，经过这样设置，客户端机器就可以上网了（我在虚拟机上这样操作后就可以了）。但我在实验室的服务器上这样操作后仍然无法访问网络，这样我们就需要建立一个 NAT。这里我们使用强大的 iptables 来建立 NAT。首先，先安装 iptables：

sudo apt-get intall iptables

装好后，我们向 nat 表中加入一条规则：

sudo iptables -t nat -A POSTROUTING -s 10.100.0.0/24 -o eth0 -j MASQUERADE

这样操作后，客户端机器应该就可以上网了。

但是，只是这样，iptables 的规则会在下次重启时被清除，所以我们还需要把它保存下来，方法是使用 iptables-save 命令：

sudo iptables-save > /etc/iptables-rules

然后修改 /etc/network/interfaces 文件，找到 eth0 那一节，在对 eth0 的设置最末尾加上下面这句：

pre-up iptables-restore < /etc/iptables-rules

这样当网卡 eth0 被加载的时候就会自动载入我们预先用 iptables-save 保存下的配置。

到此，一个 VPN Server/Gateway 基本就算架设完毕。当然，也许你按照我的方法做了，还是无法成功，那么下面总结一些我碰到的问题和解决方案：

无法建立 VPN 连接

安装好 pptpd 并设置后，客户端还是无法建立到服务器的连接。造成的原因可能有以下几种：

1. 服务器端的防火墙设置：PPTP 服务需要使用 1723(tcp) 端口和 gre 协议，因此请确保您的防火墙设置允许这两者通行。
2. 如果服务器在路由器后面，请确保路由器上做好相应的设置和端口转发。
3. 如果服务器在路由器后面，那么请确保你的服务器支持 VPN Passthrough。
4. 如果客户端在路由器后面，那么客户端所使用的路由器也必须支持 VPN Passthrough。其实市面上稍微好点的路由器都是支持 VPN Passthrough 的，当然也不排除那些最最最便宜的便宜货确实不支持。当然，如果你的路由器可以刷 DD-Wrt 的话就刷上吧，DD-Wrt 是支持的。

能建立链接，但“几乎”无法访问互联网

这里我使用“几乎”这个词，是因为并不是完全不能访问互联网。 症状为，打开 Google 搜索没问题，但其它网站均无法打开；SSH 可用，但 scp 不行；ftp 能握手，但传不了文件。我就遇到了这种情况，仔细 Google 后发现原来是 MTU 的问题，用 ping 探测了一下果然是包过大了。知道问题就好办了，我们可以通过 iptables 来修正这一问题。具体原理就不讲了，需要的自己 Google。这里只说解决方案，在 filter 表中添加下面的规则：

sudo iptables -A FORWARD -s 10.100.0.0/24 -p tcp -m tcp --tcp-flags SYN,RST SYN
-j TCPMSS --set-mss 1200

上面规则中的 1200 可以根据你的实际情况修改，为了保证最好的网络性能，这个值应该不断修改，直至能保证网络正常使用情况下的最大值。

好了，至此，一台单网卡 pptp-server 就算完成了。

ps，最近发现我的文章被大大小小无数网站抄袭，其中不乏一些“大站”。这里我用“抄袭”这个词，是因为你们的做法已经远远超出了正常的“转载”。我每篇文章后都会强调，“转载写明出处，商业网站使用请先获得授权”，但不知道为什么对于这些小编们，发个邮件问我一下会这么难。这次我就不点名了，先警告一下。如果让我发现下次的话，那么别怪我，我会及时给您曝光的。

 

—————————————————————————————–

文章三：Ubuntu Server下建立VPN服务器

源地址：http://www.kaisir.com/2011/03/ubuntu-pptpd-vpn-server.html