在香橙派上搭建Openvpn服务器

公司里搭建的服务端都是服务器ESXi虚拟化后，新建一台RockyLinux虚拟机然后搭建。感觉这种allinone的感觉还是不太好。一挂全挂。

    搜网上的轻量廉价方案。原生系统支持ubuntu。改的N1之类的不在考虑范围。不外乎以下几种：

    x86方案，目前最便宜的r2s，价格300。

    arm方案，arm64可以as版（ubuntu系统），armhf/arm7以下的系统可以使用giggio/openvpn-arm的docker镜像。这个可选的是树莓派，香橙派 各种派。由于树莓派已经成了理财产品，香橙派是个不错的替代。

    树莓派各版本网上一搜基本可以知道arm版本是32位还是64位。香橙派也没有什么好地方查，只能先挨个查芯片，看芯片是什么arm型号。懒得查了，树莓派知道4b才出arm64，arm64肯定比32贵。所以低版本肯定是32位的。直接看看什么版本带网口就行了。

    某鱼搜索一番160拿下 香橙派One 包含板子+SD卡+电源+风扇+透明壳+电源适配器+蓝牙usb适配器。鱼主本来按游戏机卖的，里面刷了retropie，闲聊两句轻松拿下。

    回来第一件事，刷ubuntu系统

1.系统下载

下载地址：http://www.orangepi.cn/html/hardWare/computerAndMicrocontrollers/service-and-support/Orange-pi-One.html

下载 选择ubuntu镜像，网页会给一个百度网盘地址，进去下载server版的最新版就行。我下载的是Orangepione_2.0.8_ubuntu_focal_server_linux5.4.65.7z

2.安装系统

使用USB读卡器插上SD卡，软件准备两个工具SD Card Formatter和Win32DiskImager，第一个用于格式化SD卡，第二个用于镜像烧录。软件操作还是比较简单的。执行完格式化和烧录，系统就安装完成了

3.系统初始化和连接

首次系统初始化会自动resize分区操作，df -h看到的是SD卡容量大小。不需要手动扩容分区。想起10年前树莓派安完还需要手动扩分区操作。不得不说考虑还挺周到。连上网线后可以通过路由器查看香橙派的ip，没有路由器的可以用arp -a逐个尝试列表的ip

ssh登录默认账号密码 orangepi/orangepi

4.安装docker和docker-compose

4.1安装前先查询系统架构

命令 arch

orangepi@orangepione:~$ arch

armv7l

这里的架构是arm7 32位架构

4.2安装docker

方式一，直接下载tgz包解压安装

下载地址

https://download.docker.com/linux/static/stable/armhf/docker-20.10.7.tgz

方式二，下载deb包安装

下载地址：

https://download.docker.com/linux/ubuntu/dists/xenial/pool/stable/amd64/

下载里面的

docker-ce-cli_20.10.7_3-0_ubuntu-xenial_armhf.deb

containerd.io_1.4.6-1_armhf.deb

docker-ce_20.10.7_3-0_ubuntu-xenial_armhf.deb

安装使用dpkg -i *.deb即可

验证安装命令

docker version

4.3安装docker-compose

下载二进制文件docker-compose-linux-armv7

下载地址：https://github.com/docker/compose/releases/

下载最新版的docker-compose-linux-armv7就可以

安装命令

#拷贝到/usr/local/bin/目录

cp docker-compose-linux-armv7 /usr/local/bin/docker-compose

#可执行权限

chmod +x /usr/local/bin/docker-compose

#查看版本

docker-compose version

5.安装openvpn

这里安装docker版

下载地址:https://hub.docker.com/r/giggio/openvpn-arm

安装命令按照quickstart来就行

命名数据卷变量 $OVPN_DATA 

  OVPN_DATA="ovpn-data"

初始化数据卷 $OVPN_DATA生成服务器证书，VPN.SERVERNAME.COM这个地方改成你的ip或者域名

  docker volume create --name $OVPN_DATA

  docker run -v $OVPN_DATA:/etc/openvpn --rm giggio/openvpn-arm ovpn_genconfig -u udp://VPN.SERVERNAME.COM

  docker run -v $OVPN_DATA:/etc/openvpn --rm -it giggio/openvpn-arm ovpn_initpki nopass

启动 OpenVPN服务

  docker run -v $OVPN_DATA:/etc/openvpn -d --name openvpn -p 1194:1194/udp --cap-add=NET_ADMIN giggio/openvpn-arm

生成客户端证书，客户端名CLIENTNAME改成你自己想要的名

  docker run -v $OVPN_DATA:/etc/openvpn --rm -it giggio/openvpn-arm easyrsa build-client-full CLIENTNAME nopass

导出客户端配置文件

  docker run -v $OVPN_DATA:/etc/openvpn --rm giggio/openvpn-arm ovpn_getclient CLIENTNAME > CLIENTNAME.ovpn

6.客户端连接验证

如果是局域网下搭建的，手机电脑导入CLIENTNAME.ovpn即可连接验证。

7.其他个性化配置

7.1改成TCP协议

默认情况下监听的是udp1194端口，如果需要改成TCP端口，需要修改上面的几个初始化命令

#-u指定协议和端口

docker run -v $OVPN_DATA:/etc/openvpn --rm giggio/openvpn-arm ovpn_genconfig -u tcp://192.168.1.19:11194

#初始化证书 不变

docker run -v $OVPN_DATA:/etc/openvpn --rm -it giggio/openvpn-arm ovpn_initpki nopass

#-内部始终使用1194端口，把外部端口改成我们想要的端口即可

docker run -v $OVPN_DATA:/etc/openvpn -d -p 11194:1194/tcp --cap-add=NET_ADMIN giggio/openvpn-arm

7.2只允许访问部分网段。

默认情况下的配置是所有网段包括互联网流量都走VPN，这种情况我们可以通过拆分隧道(split tunnel)实现。官网只给了命令没给实例。

如果我们只需要192.168.1.0/24走VPN，其他流量从客户端走。上面的配置修改如下

docker run -v $OVPN_DATA:/etc/openvpn --rm giggio/openvpn-arm ovpn_genconfig -N -d -p "route-nopull" -p "route 192.168.1.0 255.255.255.0 vpn_gateway" -p "route 0.0.0.0 0.0.0.0 net_gateway" -u tcp://192.168.1.19:11194

注意关键命令

-N -d -p "route-nopull" -p "route 192.168.1.0 255.255.255.0 vpn_gateway" -p "route 0.0.0.0 0.0.0.0 net_gateway"

命令有没有可能进一步精简目前还有待研究