2）生成服 … 阅读全文
2）生成服务端证书
./easyrsa build-server-full server nopass
为服务端生成证书对并在本地签名。nopass参数生成一个无密码的证书；在此过程中会让你确认ca密码；
./easyrsa gen-dh
创建Diffie-Hellman，确保key穿越不安全网络的命令，时间会有点长，耐心等待；
3）生成客户端证书
生成多个客户端证书：
# 无密码，实际应用中不推荐，客户端有密码可提高安全性
./easyrsa build-client-full client nopass
# 让你输入密码，后续VPN连接时会使用
./easyrsa build-client-full ken
为客户端生成证书对并在本地签名。nopass参数生成一个无密码的证书；在此过程中都会让你确认ca密码；
为了提高安全性，生成ta.key(也可以不配)：
openvpn --genkey --secret ta.key
加强认证方式，防攻击。如果配置文件中启用此项(默认是启用的)，就需要执行上述命令，并把ta.key放到/etc/openvpn/server目录。配置文件中服务端第二个参数为0，同时客户端也要有此文件，且client.conf中此指令的第二个参数需要为1。【服务端有该配置，那么客户端也必须要有】；
4）整理证书
服务端证书：
ca.crt：在 pki目录下server.key：在pki/private 目录下server.crt：在pki/issued 目录下dh.pem：在pki目录下ta.key：在easyrsa3目录下(可以不使用这个证书)
客户端证书：
ca.crt：在 pki目录下(和服务端的一样)client.key：在pki/private 目录下client.crt：在pki/issued 目录下
3、openvpn服务端
3.1 界面配置vpn
1）进入VPN->OpenVPN中，找到Template based configuration(配置模板)选择：Server configuration for an ethernet bridge VPN 这个模块，输入名字，添加：
2）点击编辑，进入配置：
3）按如下配置信息进行配置，其中模块自带的"不需要"的选项自行通过"–remove –“或者清空内容或者去掉勾进行移除(注：要保存并应用才生效)，如果模块不存在的选项，通过"更多选项"进行"添加”；
- TLS 证书的上传：
3.2 启动服务器
确认是否启动成功：
1）通过ssh连接到openwrt系统中，使用指令：
cat /tmp/log/openvpn.log
2）如果启动失败，通过log上打提示进行解决问题；
有可能如下原因：
- ①与服务端的网络不通
- ②服务器的端口号不对
- ③证书不正确
3.3 配置tap二层转发虚拟设备
openvpn中的二层转发数据都是通过tap这个虚拟的网络设备进行二层转发的，所以在实际使用中，如果openwrt系统中的lan口的数据需要通过openvpn隧道进行二层数据的转发，一定要将lan口绑定tap，才可以进行转发：
1）在"网络"->“接口”->“设备"中将br-lan 这个网桥设备绑定tap设备tapx（x是数字，根据实际情况配置），作为服务器可以不绑lan口；
3.4 关于公网IP要求
如果vpn需要在公网上使用，那么vpn的服务器需要拥有公网IP，确保能让在内网的vpn客户端能正常访问；当然，也可以使用域名方式进行访问；
4、openvpn客户端
4.1 界面配置vpn
1）进入VPN->OpenVPN中，找到Template based configuration(配置模板)选择：Server configuration for an ethernet bridge VPN 这个模块，输入名字，添加：
2）点击编辑，进入配置：
3）按如下配置信息进行配置，其中模块自带的"不需要"的选项自行通过”–remove –“或者清空内容或者去掉勾进行移除(注：要保存并应用才生效)，如果模块不存在的选项，通过"更多选项"进行"添加”；
4）TLS证书的上传：
在"上传文件"界面可以按实际情况进行如下操作：
- ①如果正确的证书在系统里在，直接在对应的目录里选择即可；
- ②如果需要上传新的证书，先打开目标目录，然后选择本地电脑上的证书进行上传即可，原来不用的证书可以保留也可以删除，要注意区分开就行；
4.2 启动服务器
确认是否启动成功：
1）通过ssh连接到openwrt系统中，使用指令：
cat /tmp/openvpn.log
2）如果启动失败，通过log上打提示进行解决问题；
有可能如下原因：
- ①与服务端的网络不通
- ②服务器的端口号不对
- ③证书不正确
4.3 配置tap二层转发虚拟设备
openvpn中的二层转发数据都是通过tap这个虚拟的网络设备进行二层转发的，所以在实际使用中，如果openwrt系统中的lan口的数据需要通过openvpn隧道进行二层数据的转发，一定要将lan口绑定tap，才可以进行转发：
2）在"网络"->“接口”->“设备"中将br-lan 这个网桥设备绑定tap设备tapx（x是数字，根据实际情况配置），作为客户端，还需要绑定一个物理的lan口作为openvpn隧道的出入口，这个绑定的lan口用于传入需要通过vpn隧道进行传输的数据；
5、关于vlan配置
openwrt中，可以对绑在br-lan中的各个接口进行配置vlan，操作路径：网络->接口->设备->br-lan->配置:
配置说明：
- VLAN ID：根据实际情况配置vlan
- 本地：默认一定选上，让所有的vlan都可以在本地接口之前转发
- 非成员：如果选择非成员，意味着这个接口不属于这个VLAN的，那么VLAN ID将不起作用，接口不会处理带这个VLAN数据的流量；
- 未打标签：即Utag，和交换机的vlan配置一样；
- 已打标签：即tag，和交换机的vlan配置一样；
- 是主VLAN：即pvid，和交换机的vlan配置一致；