参考信息 › 组件目录参考指南 › 系统目录 › 网关 › VPN：虚拟专用网络组件

VPN：虚拟专用网络组件

最新版本：3.1.3-1

功能概述

VPN 是在 IPv4 和 IPv6 网络中运行的虚拟专用网络组件，旨在为网格间通信以及远程访问应用和组件提供安全可靠的通道。 不使用 VPN 通道也可以运行 VPN，在此情况下，VPN 充当明文 IN/OUT 组合网关。 VPN 还可用于无缝互连 IPv4 和 IPv6 CA AppLogic® 网格。 VPN 基于 OpenVPN、OpenSSH 和 Racoon 开源软件包。

VPN 具有三种基本运行模式：server、client 和 both。

• 在以 server 模式运行时，可通过 srv 终端发送由外部接口接收的流量。 如果 VPN 使用了通道，则会先解密基于外部接口建立的通道所传出的流量，然后再通过 srv 终端转发流量。 在此运行模式下，VPN 将作为具有 VPN 通道支持的 IN 网关运行。
• 在作为客户端运行时，可通过外部接口转发由 clt 终端接收的流量。 如果 VPN 使用了通道，则会先解密流量，然后通过基于外部接口建立的通道发送流量。 在此运行模式下，VPN 将作为具有 VPN 通道支持的 OUT 网关运行。
• 当既作为服务器又作为客户端运行时，支持上述两种流量传递方式，此时，VPN 将作为 IN/OUT 组合网关运行。

VPN 对身份验证和加密支持 IPSec、共享密钥文件、SSL 证书和 ssh 密钥文件。 可以在远程工作站上使用常规 OpenVPN/OpenSSH 客户端连接到 VPN，随即对 CA AppLogic® 上运行的应用的内部组件提供安全访问。 VPN 组件支持生成共享密钥文件、SSL 证书和 ssh 密钥。

要使用 VPN 基于安全 VPN 通道远程访问 CA AppLogic® 应用，可以在客户端计算机上使用 OpenVPN 客户端软件或 OpenSSH（或其他某些兼容软件）。

资源

终端

属性

常规属性

重要信息！ 必须至少定义一对地址（IPv4 或 IPv6）。

VPN 属性

服务器属性

客户端属性

卷

自定义计数器

VPN 组件通过 mon 终端报告以下自定义计数器。

性能

两个测试应用驻留在同一 CA AppLogic® 网格上。 为两个 VPN 组件（客户端和服务器）以及服务器和客户端组件分配了 100 Mb 带宽。 提取了多个对象，每次 10 个对象，每个对象大小为 1 MB，持续时间为 60 秒。

错误消息

在组件启动失败的情况下，系统日志可能记录以下错误消息：

通道类型

明文

该模式支持“单服务器-多客户端”方案，允许从多个位置访问 VPN 服务器。 在该模式中不建立 VPN 通道，也不需要数据存储（数据卷和 NAS 组件都不连接到 fs 终端）。 该模式适用于 IPv4 和 IPv6。

在服务器 VPN 组件上，通过 tcp_ports、udp_ports、aux_protocols 属性对外部接口上接收的流量进行筛选并将其转发到 srv 接口。

在客户端 VPN 组件上，在 clt 接口上接收的所有流量都转发到在 remote_host 属性中指定的远程 VPN 服务器。

必须在服务器端配置的属性：ip_addr、netmask、gateway、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols。

必须在客户端配置的属性：ip_addr、netmask、gateway、mode、tunnel、remote_host。

如果正在使用 IPv6 模式，则必须用客户端的地址来配置服务器端属性 remote_host。

证书

该模式支持“单服务器-多客户端”方案，允许从多个位置访问 VPN 服务器。 需要数据存储（连接到 fs 终端的数据卷或 NAS 组件）。 该模式在 IPv4 和 IPv6 中均适用。

启动后，如果必要的证书和密钥文件不存在，服务器组件会生成这些文件。 可以使用位于 /appliance/ 目录的 security.sh 脚本重新生成这些文件。 在配置任何 VPN 客户端之前，必须为其生成证书。 用户可能会登录到正在运行的 VPN 服务器组件并生成客户端密钥对，如下所述：

grid> comp login VPN-1:main.VPN
CentOS 发行版 5（最终）

[VPN-1:main.VPN ~]# /appliance/security.sh generate_client
生成的客户端 SSL 证书和密钥文件。
==============================================
这些文件以及 CA 证书文件应复制到 VPN 服务器的
数据卷或 fs 挂接卷的 /client/ 子目录。
在 auth_path 属性中应指定到客户端文件（client.829de5afcac564b3）的路径。
文件的位置：
客户端证书：/mnt/fs/server/client.829de5afcac564b3.crt
客户端密钥文件：/mnt/fs/server/client.829de5afcac564b3.key
CA 证书文件位于 /mnt/fs/server/ca.crt

必须将客户端证书和密钥文件复制到客户端 VPN 组件上数据存储的 /client/ 子目录下，并将 auth_path 设置为适当值，在此示例中为 client.829de5afcac564b3。 还必须将 VPN 服务器 (/mnt/fs/server/ca.crt) 中的 CA 证书复制到客户端组件上的 /client/ 子目录，并将其命名为“ca.crt”。 每个客户端 VPN 组件都应有自己的证书。

在服务器 VPN 组件上，对外部接口上接收的流量解密，通过 tcp_ports、udp_ports、aux_protocols 对其进行筛选并将其转发到 srv 接口。

在客户端 VPN 组件上，对 clt 接口上接收的所有流量加密并将其转发到在 remote_host 属性中指定的远程 VPN 服务器。

必须在服务器端配置的属性：ip_addr、netmask、gateway（或对应的 IPv6 属性）、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols。

必须在客户端配置的属性：ip_addr、netmask、gateway（或对应的 IPv6 属性）、mode、tunnel、remote_host、auth_path。

共享密钥文件

该模式只支持“单服务器-单客户端”方案，一次只允许从单个客户端访问 VPN 服务器。 需要数据存储（连接到 fs 终端的数据卷或 NAS 组件）。 该模式在 IPv4 和 IPv6 中均适用。

启动后，如果共享密钥文件 /server/secret.key 不存在，则服务器组件会生成该文件。 可以使用位于 /appliance/ 目录的 security.sh 脚本重新生成该文件。 在配置任何 VPN 客户端之前，必须将该共享密钥文件复制到其数据存储中的 /client/ 子目录。 要生成新的共享密钥文件，用户可以登录到正在运行的 VPN 服务器组件并发出以下命令：

[VPN-1:main.VPN server]# /appliance/security.sh generate_secret
生成的 OpenVPN 共享密钥文件。
======================================
该文件应复制到 VPN 服务器的数据卷或 fs 挂接卷的 /server/ 子目录，
以及 VPN 客户端的数据卷或 fs 挂接卷的 /client/ 子目录。
在 VPN 客户端的 auth_path 属性中应指定到它的路径。
文件位置：/mnt/fs/server/secret.key

如果已存在密钥文件，则新生成的密钥文件会覆盖旧文件。 必须将该共享密钥文件 /mnt/fs/server/secret.key 复制到客户端 VPN 组件上数据存储的 /client/ 子目录中，并将 auth_path 属性设置为正确值，在此示例中为 secret.key。 可以配置多个客户端 VPN 组件，但任候时候只能连接一个组件。

在服务器 VPN 组件上，对外部接口上接收的流量解密，通过 tcp_ports、udp_ports、aux_protocols 对其进行筛选并将其转发到 srv 接口。

在客户端 VPN 组件上，对 clt 接口上接收的所有流量加密并将其转发到在 remote_host 属性中指定的远程 VPN 服务器。

必须在服务器端配置的属性：ip_addr、netmask、gateway（或对应的 IPv6 属性）、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols。

必须在客户端配置的属性：ip_addr、netmask、gateway（或对应的 IPv6 属性）、mode、tunnel、remote_host、auth_path。

Ssh 密钥

该模式支持“单服务器-多客户端”方案，允许从多个位置访问 VPN 服务器。 需要数据存储（连接到 fs 终端的数据卷或 NAS 组件）。 只有 tcp 流量可以通过 ssh 通道传送，因此在服务器端只能使用 tcp_ports 属性。 不支持端口范围－必须在 ssh_ports 客户端属性中显式指定应转发的每个端口。 该模式在 IPv4 和 IPv6 中均适用。

vpn 服务器启动后会生成默认的 ssh 密钥对；默认密钥位于：服务器密钥（公钥）：server/ssh-server.pub；客户端密钥（私钥）：server/ssh-client.key。可以使用 security.sh 脚本手工生成更多密钥：

[VPN-1:main.VPN ~]# /appliance/security.sh generate_ssh
生成的 SSH 密钥对。
======================
公钥应复制到 VPN 服务器的数据卷或 fs 挂接卷的 /server/ 子目录。
私钥应复制到 VPN 客户端的数据卷或 fs 挂接卷的 /client/ 子目录。
在 VPN 客户端和服务器上 auth_path 属性中应指定到密钥文件的路径。
文件的位置：
公钥：/mnt/fs/server/ssh.11179ebbfa3f6852.pub
私钥：/mnt/fs/server/ssh.11179ebbfa3f6852.key

应该将公钥复制到 VPN 服务器的 /server/ 子目录中，将私钥复制到客户端的 /client/ 子目录中。 在客户端和服务器上均应设置 auth_path 属性。 如果服务器上的 auth_path 为空，则使用默认的 SSH 密钥。

在服务器 VPN 组件上，对外部接口上接收的流量解密，通过 ssh_ports 对其进行筛选并将其转发到 srv 接口。 只支持 tcp 端口转发。 auth_path 属性定义要使用的 SSH 公钥。 当组件同时在客户端和服务器模式下工作时，公钥和私钥应该名称相同，并位于 /server/ 和 /client/ 子目录中。 在服务器和客户端上应以相同方式配置 ssh_ports 属性。

在客户端 VPN 组件上，对 clt 接口上接收的所有流量加密并将其转发到在 remote_host 属性中指定的远程 VPN 服务器。

必须在服务器端配置的属性：ip_addr、netmask、gateway（或对应的 IPv6 属性）、mode、tunnel、allowed_hosts、auth_path、tcp_ports。

必须在客户端配置的属性：ip_addr、netmask、gateway（或对应的 IPv6 属性）、mode、tunnel、remote_host、auth_path、ssh_ports。

重要信息！ SSH 服务器-服务器模式。 可以在 both 模式下同时配置两个 VPN 组件，并将它们互相连接。 要使用该模式，必须以特殊方式配置组件：

假设有 2 个组件，名称分别为 VPN1 和 VPN2：1. 创建 2 组公钥/私钥文件（1.key/1.pub，2.key/2.pub，使用“/appliance/security.sh generate_ssh”脚本）2. 在两个组件上将 auth_path 属性配置为“ssh.key”3. 将 2.pub 复制到 VPN1:/mnt/data/server/ssh.key（或复制到 NAS 驱动器的 /server/ 子目录的 ssh.key 文件）（公钥将移到 /server/ 子目录）4. 将 2.key 复制到 VPN2:/mnt/data/client/ssh.key（私钥将移到 /client/ 子目录）5. 将 1.pub 复制到 VPN2:/mnt/data/server/ssh.key（公钥将移到 /server/ 子目录）6. 将 1.key 复制到 VPN1:/mnt/data/client/ssh.key（私钥将移到 /client/ 子目录）。

IPSec 证书

该模式支持“单服务器-多客户端”方案，允许从多个位置访问 VPN 服务器。 需要数据存储（连接到 fs 终端的数据卷或 NAS 组件）。 该模式仅适用于 IPv4。

启动后，如果必要的证书和密钥文件不存在，服务器组件会生成这些文件。 可以使用位于 /appliance/ 目录的 security.sh 脚本重新生成这些文件。 在配置任何 VPN 客户端之前，必须为其生成证书。 用户可以登录正在运行的 VPN 服务器组件并生成客户端密钥对，如下所述：

grid> comp login VPN-1:main.VPN
CentOS 发行版 5（最终）

[VPN-1:main.VPN ~]# /appliance/security.sh generate_client
生成的客户端 SSL 证书和密钥文件。
==============================================
这些文件以及 CA 证书文件应复制到 VPN 服务器的
数据卷或 fs 挂接卷的 /client/ 子目录。
在 auth_path 属性中应指定到客户端文件（client.829de5afcac564b3）的路径。
文件的位置：
客户端证书：/mnt/fs/server/client.829de5afcac564b3.crt
客户端密钥文件：/mnt/fs/server/client.829de5afcac564b3.key
CA 证书文件位于 /mnt/fs/server/ca.crt

必须将客户端证书和密钥文件复制到客户端 VPN 组件上数据存储的 /client/ 子目录下，并将 auth_path 设置为适当值，在此示例中为 client.829de5afcac564b3。 还必须将 VPN 服务器 (/mnt/fs/server/ca.crt) 中的 CA 证书复制到客户端组件上的 /client/ 子目录，并将其命名为“ca.crt”。 每个客户端 VPN 组件都应有自己的证书。

重要信息！ 在 both 模式下使用 VPN 时，操作将有所不同。 在此情况下，所有证书、客户端和服务器必须由同一 VPN 实例生成，并且与其 ca.crt 证书一起分发到其他实例中。

在服务器 VPN 组件上，对外部接口上接收的流量解密，通过 tcp_ports、udp_ports、aux_protocols 对其进行筛选并将其转发到 srv 接口。

在客户端 VPN 组件上，对 clt 接口上接收的所有流量加密并将其转发到在 remote_host 属性中指定的远程 VPN 服务器。

必须在服务器端配置的属性：ip_addr、netmask、gateway（或对应的 IPv6 属性）、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols。

必须在客户端配置的属性：ip_addr、netmask、gateway（或对应的 IPv6 属性）、mode、tunnel、remote_host、auth_path。

IPSec 共享密钥

该模式支持“单服务器-多客户端”方案，允许从多个位置访问 VPN 服务器。 需要数据存储（连接到 fs 终端的数据卷或 NAS 组件）。 该模式仅适用于 IPv4。

启动后，服务器组件提取在 auth_path 属性中指定的文件的第一行，并将其用作共享密钥。 双方都必须存在该文件。 在配置任何 VPN 客户端之前，必须将该共享密钥文件复制到其数据存储中的 /client/ 子目录。

在服务器 VPN 组件上，对外部接口上接收的流量解密，通过 tcp_ports、udp_ports、aux_protocols 对其进行筛选并将其转发到 srv 接口。

在客户端 VPN 组件上，对 clt 接口上接收的所有流量加密并将其转发到在 remote_host 属性中指定的远程 VPN 服务器。

必须在服务器端配置的属性：ip_addr、netmask、gateway（或对应的 IPv6 属性）、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols。

必须在客户端配置的属性：ip_addr、netmask、gateway（或对应的 IPv6 属性）、mode、tunnel、remote_host、auth_path。

对外部服务的远程访问

下图显示了一个说明如何配置对外部服务的远程访问的示例：

在该示例中，在网格 A 上运行的 Web 组件通过安全的 VPN 通道访问在网格 B 上运行的远程 MySQL 数据库。

网格 A 上的 vpn1 配置为连接到为网格 B 上的 vpn2 分配的 IP 地址。 vpn1 的 srv 终端和 vpn2 的 clt 终端一直处于未连接状态。 vpn1 和 vpn2 的外部接口配置了适当的可路由 IP 地址。

示例属性配置：

vpn1：

vpn2：

对内部 CA AppLogic® 组件的远程访问

下图显示了一个说明如何配置对内部 CA AppLogic® 组件的远程访问的示例：

在该示例中，某个用户需要在其 PC 上使用 OpenVPN 客户端通过安全的 VPN 连接访问几个不同组件。 OpenVPN 用于连接到分配给 vpn 的 IP 地址。 Vpn 与用户的 PC 建立 VPN 通道并将所有传入流量转发到 sw 端口交换机，该交换机配置为将流量分发给应用中的四个不同组件。

访问使用在该示例中所述 VPN 组件的 CA AppLogic® 应用之前，必须先在用户的 PC 上安装 OpenVPN。 以下步骤介绍该应用的配置方式以及用户要通过安全的 VPN 通道访问该应用必须执行的操作：

1. 用户必须在 PC 上安装 OpenVPN。 OpenVPN 可以从很多地方获得（据说 OpenVPN 在 Windows Vista 上无法正常工作）。 安装后，必须创建单独的配置文件，以用于定义用户访问 CA AppLogic® 应用所用的 OpenVPN 通道属性。 以下步骤介绍了具体操作方法。
2. 强烈建议您使用 VPN 组件的共享密钥运行模式。 对 vpn 进行如下配置：

vpn：

3. 分配需要通过 sw 组件转发的所需协议和端口。 在此情况下，将 4 个端口（122、422、522、822）转发给连接到 sw 的组件的 ssh 端口：

4. 启动应用。 在启动应用后，从 vpn 组件中提取共享密钥文件：

grid> comp ssh APPLICATION:main.VPN
vpn> cat /mnt/data/server/secret.key
#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
431e845f2ca67f2a31649b20e3ba3291
...
fe991cdbfe82525a9367b9afbfd0f922
-----END OpenVPN Static key V1-----

5. 将上面的 secret.key 的内容粘贴到用户 PC 上的新文件中并保存该文件。 这是用于身份验证的共享密钥文件。

6. 准备客户端 OpenVPN 配置文件。 将以下行复制到用户 PC 上的新文件中（与步骤 5 中文件不同的文件）：

dev tun
proto udp
resolv-retry infinite
persist-key
persist-tun
cipher AES-128-CBC
comp-lzo
keepalive 10 120
remote 11.22.33.44 1194
secret "C:\\Program Files\\OpenVPN\\sample-config\\secret.key"
nobind
ifconfig 169.254.215.101 169.254.215.102

Ifconfig 行中的 IP 地址可以为任意地址，前提是它们：a) 来自 169.254.0.0/16 网络块 b) 在同一 /30 子网中 c) 不是 /30 子网中的第一个或最后一个地址。 B 和 C 是对 Windows 平台上运行的 OpenVPN 客户端的限制。

7. 将远程 IP 地址替换为分配给 vpn 组件的 IP 地址。 将密钥行中到共享密钥文件的路径替换为在步骤 5 中创建的密钥文件的路径。 如果在已安装 OpenVPN 的用户 PC 上使用 Microsoft Windows 操作系统，请用引号括起所有行，并将每个斜杠都替换为双斜杠。

8. 启动 OpenVPN 客户端：

c:\program files\OpenVPN\bin\openvpn.exe --config "c:\client.ovpn"

注意：将“c:\client.ovpn”替换为在步骤 6 中创建的配置文件的路径。

9. 在几秒后，您将看到来自 OpenVPN 的以下消息：

Wed Jul 01 09:41:12 2009 Peer Connection Initiated with XX.XX.XX.XX:1194
Wed Jul 01 09:41:12 2009 Initialization Sequence Completed

现在，您可以使用该配置文件中定义的 IP 地址（在此示例中为 169.254.215.102）来访问 CA AppLogic® 应用的组件。 端口 169.254.215.102:122 被 sw 转发至 srv1 组件的端口 22，同样，端口 169.254.215.102:422 被转发至 srv4 组件，依此类推。 例如：执行

ssh -p 122 root@169.254.215.102

可访问第一个组件。

为 MySQL 复制提供安全的 VPN 通道

下图显示了一个说明如何为 MySQL 复制提供安全 VPN 通道的示例：

在此示例中，两个应用在不同网格（网格 A 和网格 B）上运行，这两个应用都使用通过安全 VPN 通道复制的同一 MySQL 数据库。

vpn1 和 vpn2 在外部接口上配置了可路由的 IP 地址。 vpn1 经配置后建立了指向 vpn2 的通道，vpn2 上也采取了相应配置。

网格 A 的 db1 向 vpn1 发送用于复制用途的流量，在 vpn1 中对流量加密并将其传送至 vpn2，vpn2 对流量解密并将其发送至网格 B 上 db2 的 rin 终端。 同样，从网格 B 上的 db2 到网格 A 的 db1 的复制行为与此相同。

vpn1：

vpn2：

vpn1：

vpn2：

注释

必须在客户端计算机上使用 OpenVPN 才能访问 VPN 组件公开的安全 VPN 通道。

组件中使用的第三方开源软件

VPN 除了使用其基类 LUX6 所用的第三方开源软件包之外，还使用下列第三方/开源软件包。