OpenVPN

PKI

Инициализация PKI

https://github.com/OpenVPN/easy-rsa/releases

easyrsa init-pki

easyrsa build-ca

easyrsa gen-dh

openvpn --genkey secret ta.key

Выпуск и отзыв сертификата

easyrsa gen-req server nopass
easyrsa sign-req server server

easyrsa gen-req client_name nopass
easyrsa sign-req client client_name

easyrsa renew client_name

easyrsa revoke client_name

easyrsa gen-crl

Конфигурация

Сервер

Клиент

Клиент Linux

ccd

Имя файла соответствует имени сертификата

ifconfig-push 192.168.11.162 255.255.255.248
push "route 100.0.0.2 255.255.255.255"
push "route 172.16.0.0 255.255.252.0"
push "dhcp-option DNS 172.16.3.1"
push "dhcp-option DOMAIN work.local"
iroute 192.168.11.0 255.255.255.224
//ifconfig-push 172.16.4.10 172.16.4.9 (ip for /30)

mssfix

Сумма заголовков пакета с вложенным пакетом составляет 92 (IP 20x2, TCP 20, UDP 8, OVPN 24)

OpenVPN к выставляемому значению mssfix отнимает 89

При MTU 1500 фактический MSS составляет 1408, но учитывая специфику OpenVPN к значению 1408 следует добавить 89, а потому mssfix следует выставить 1497

При MTU 1492 (при соединении L2TP и т.д.) mssfix следует выставить 1489

При MTU 1400 (модем) mssfix следует выставить 1397