RV160和RV260路由器上的OpenVPN

下載選項

PDF (3.2 MB)
在多種裝置上使用 Adobe Reader 檢視
ePub (3.0 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (2.7 MB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2019 年 4 月 26 日

文件 ID:1589908347611228

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於翻譯

思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。

目標

本文的目的是指導您在RV160或RV260路由器上設定OpenVPN，以及在電腦上設定OpenVPN的VPN客戶端。

適用裝置

RV160
RV260

軟體版本

1.0.00.15

簡介

OpenVPN是一個免費的開源應用程式，可以設定並用於虛擬專用網路(VPN)。它使用客戶端 — 伺服器連線，通過網際網路在伺服器和遠端客戶端位置之間提供安全通訊。

OpenVPN使用OpenSSL對UDP進行加密，使用TCP進行流量傳輸。VPN提供安全保護隧道，對通過VPN連線從您的電腦傳送的資料進行加密，因此不易受到駭客攻擊。例如，如果您在公共場所（如機場）使用WiFi，它會使您的資料、事務和查詢不會被其他使用者看到。與HTTPS非常相似，它加密在兩個端點之間傳送的資料。

設定OpenVPN最重要的步驟之一是從證書頒發機構(CA)獲取證書。這用於身份驗證。可以從任意數量的第三方站點購買證書。這是證明您的站點安全的官方方式。實質上，CA是受信任的來源，用於驗證您的企業是否合法以及是否值得信任。對於OpenVPN，您只需要最低成本的較低級證書。您會由CA簽出，他們驗證您的資訊後，會向您頒發證書。此證書可以作為檔案下載到您的電腦上。然後，您可以進入您的路由器（或VPN伺服器）並上傳到那裡。請注意，客戶端不需要證書即可使用OpenVPN，它只是通過路由器進行驗證。

必要條件

在系統上安裝OpenVPN應用程式。按一下此處以轉到OpenVPN網站。

有關OpenVPN的詳細資訊以及許多問題的答案，請按一下此處。

附註：此安裝程式特定於Windows 10。

安裝OpenVPN後，該應用程式應顯示在您的案頭上，或作為小圖示顯示在工作列的右側。OpenVPN客戶端也需要安裝此程式。

確保在所有裝置上設定了正確的系統時間。建立證書之前，必須在路由器上完全同步正確的系統時間。這通常是自動完成的，但如果您遇到問題，這是一個很好的檢查位置。

在RV160/RV260路由器上設定演示OpenVPN

如果您想在支付CA費用之前嘗試OpenVPN，可以建立自簽名證書。這是一種免費的方法，可以瞭解您是否希望為您的企業部署OpenVPN。如果您已經知道要購買CA，則可以跳過本文此部分，直接轉至在RV160/RV260路由器上設定OpenVPN。

步驟1.使用您的憑證登入路由器。預設使用者名稱和密碼為cisco。

附註：強烈建議您將所有密碼更改為更複雜的密碼。否則，就像把鎖門的鑰匙留在門口一樣。

步驟2.需要在路由器上取得憑證。導覽至Administration > Certificate > Generate CSR/Certificate...這是建立憑證請求的方法。

步驟3.請求CA憑證。

從下拉選單中選擇CA Certificate
輸入證書名稱
輸入IP地址、完全限定域名(FQDN)或電子郵件。輸入IP地址是最常見的選擇。
輸入您的國家/地區
輸入您的州/省
輸入您的地區名稱，通常是您的城市
輸入組織名稱
輸入組織單位名稱
輸入您的電子郵件地址
輸入金鑰加密長度，建議使用2048

按一下右上角的Generate按鈕。

步驟4.您還需要伺服器證書。此CA證書簽名的證書將由您剛建立的CA證書簽名。

步驟5.請求由CA憑證簽署的憑證。

從下拉選單中選擇Certificate Signing Request
輸入證書名稱
輸入IP地址、完全限定域名(FQDN)或電子郵件。輸入IP地址是最常見的選擇。
輸入您的國家/地區
輸入您的州/省
輸入您的地區名稱，通常是您的城市
輸入組織名稱
輸入組織單位名稱
輸入您的電子郵件地址
輸入金鑰加密長度，建議使用2048
從下拉選單中選擇適當的證書頒發機構

按一下右上角的Generate按鈕。

步驟6.導覽至System Configuration > User Groups。選擇plus圖示以新增新組。

步驟7.輸入組的名稱，按一下On單選按鈕開啟OpenVPN。按一下「Apply」。

步驟8.在System Configuration（系統配置）選單中導航，然後按一下User Accounts。在Local Users下，按一下plus圖示。

步驟9.填寫以下資訊。確保從下拉選單中選擇OpenVPN。按一下「Apply」。

所有依賴項都已完成，現在可以為OpenVPN配置路由器。

步驟10.導覽至VPN > OpenVPN。開啟OpenVPN頁面。填寫頁面上的每個框，確保從下拉選單中選擇以前建立的證書。

選中Enable框。選擇要允許流量進入的介面。在此案例中為廣域網(WAN)，然後選擇證書頒發機構(CA)證書。
從下拉選單中選擇CA Certificate
從下拉選單中選擇下載的伺服器證書
選擇Client Authentication。如果您選擇「密碼」，他們需要使用密碼進行身份驗證。如果選擇Password + Certificate，則客戶端還必須具有證書。這樣更安全，但會增加VPN的成本，因為它們需要購買單獨的CA。
輸入Client Address Pool。選擇公司中其他任何位置未使用的網路子網上的IP地址。從保留範圍中選擇一個範圍，並選擇其它任何地方都不使用的範圍。
選擇Encryption的形式。確保加密與客戶端相同。建議不要使用DES和3DES，它們只能用於向後相容。
如果只想指定哪些流量通過VPN，請選擇Split tunnel。對於VPN，需要拆分隧道。如果您希望所有客戶端流量通過VPN，則在其他情況下會選擇全通道模式。

步驟11.向下滾動頁面並填寫Domain Name和DNS1。

注意：DNS1 IP地址可以是專用的內部DNS伺服器、網際網路服務提供商(ISP)提供的預設網關的相同IP地址、虛擬機器上的或網際網路上的受信任DNS伺服器。

步驟12.按一下Apply，在路由器上儲存組態。

步驟13.停留在同一頁面上，然後進一步滾動。生成要安裝在OpenVPN客戶端上的配置模板。此檔案具有.ovpn副檔名，將由OpenVPN客戶端使用。選中Export client configuration template(.ovpn)覈取方塊，然後按一下Generate。這會將檔案下載到您的電腦上。

步驟14.導航到Status and Statistics > VPN Status。您可以向下滾動以獲取更多詳細資訊。

本文的下一節將重點複習，因為它說明了如何使用自簽名證書登入。

設定演示OpenVPN後使用自簽名證書登入

使用自簽名證書登入時，在嘗試登入時可能會看到一個警告彈出視窗。您需要點選Advanced、Proceed、Trust或其他選項（取決於您的Web瀏覽器）才能繼續。

此時，您可能會收到警告，表示它不安全。您可以選擇繼續、新增例外或高級。這因網路瀏覽器而異。

在本示例中，Chrome用於Web瀏覽器。出現此消息，請按一下Advanced。

將會開啟一個新螢幕，您需要按一下Proceed to yourwebsite.net(unsafe)(繼續訪問（不安全）)

以下是使用Firefox作為Web瀏覽器時訪問裝置警告的示例。按一下「Advanced」。

按一下新增例外……

最後，您必須按一下確認安全例外。

路由器現在配置了支援OpenVPN客戶端連線所需的所有引數。由於您已將客戶端配置模板下載到您的裝置(以.ovpn結尾的裝置)，因此您可以轉到OpenVPN Client Setup on Computer一節。如果您決定為貴公司部署OpenVPN，可以按照下一節中的步驟操作。

在RV160/RV260路由器上設定OpenVPN

這是一個更為複雜的過程，因為它涉及從第三方獲取CA，而這需要耗費資金。您還需要向所有客戶端傳送VPN客戶端配置模板(以.ovpn結尾)，以便它們可以在自己的裝置上設定。使用者端需要幾種與路由器相同的設定才能進行通訊。最棒的一點是，您和您的員工能夠以最低的成本使用網際網路，更安全地開展業務。

步驟1.使用您的憑證登入路由器。預設使用者名稱和密碼為cisco。

附註：強烈建議您將所有密碼更改為更複雜的密碼。否則，就像把鎖門的鑰匙留在門口一樣。

步驟2.您必須取得憑證。導覽至Administration > Certificate > Generate CSR/Certificate...這是建立憑證請求的方法。

步驟3.請求由CA憑證簽署的憑證。導覽至Administration > Certificate即可找到此項。

從下拉選單中選擇Certificate Signing Request
輸入證書名稱
輸入IP地址、完全限定域名(FQDN)或電子郵件。輸入IP地址是最常見的選擇。
輸入您的國家/地區
輸入您的州/省
輸入您的地區名稱，通常是您的城市
輸入組織名稱
輸入組織單位名稱
輸入您的電子郵件地址
輸入金鑰加密長度，建議使用2048

按一下右上角的「生成」按鈕

步驟4.按一下「操作」下的向上箭頭選擇以匯出它。

步驟5.出現此畫面。按一下「Export」。

步驟6.從下拉選單中選擇開啟方式和記事本（預設）。按一下「OK」（確定）。

步驟7.開啟XML檔案。

附註：確保BEGIN CERTIFICATE REQUEST和END CERTIFICATE REQUEST分別位於各自的行上，如上所示。

步驟8.在螢幕頂部按一下Edit，然後從下拉選單中選擇Copy。

步驟9.選擇信譽良好的第三方站點進行證書請求。您需要將複製的XML檔案貼上為請求的一部分。

附註：如果您的網路上有內部憑證伺服器，可以使用該伺服器，但是這並不常見。

步驟10.驗證之後，您可以選擇Download certificate。

步驟11.按一下單選按鈕Save File，然後按一下OK。

步驟12.儲存後，選擇該證書的單選按鈕，然後按一下下箭頭圖標。

步驟13.將開啟此螢幕。選擇瀏覽…….

步驟14.選擇憑證檔案，然後按一下Open。

步驟15.輸入要匯入的Certificate Name，然後按一下Upload。

步驟16.您將收到證書已成功匯入的通知。按一下「OK」（確定）。

步驟17.導覽至Administration > Certificate。已載入證書。

附註：在本示例中，使用了本地證書伺服器。

步驟18.導覽至VPN > OpenVPN。開啟OpenVPN頁面。使用您的資訊完成以下操作。

選中Enable框。選擇要允許流量進入的介面。在此案例中為廣域網(WAN)，然後選擇證書頒發機構(CA)證書
從下拉選單中選擇CA Certificate
從下拉選單中選擇Server Certificate
選擇Client Authentication。如果您選擇「密碼」，他們需要使用密碼進行身份驗證。如果選擇Password + Certificate，則客戶端還必須具有證書。這樣更安全，但會增加VPN的成本，因為它們需要購買單獨的CA。
輸入Client Address Pool。選擇公司中其他任何位置未使用的網路子網上的IP地址。從保留範圍中選擇一個範圍，並選擇其它任何地方都不使用的範圍。
選擇Encryption的形式。確保加密與客戶端相同。建議不要使用DES和3DES，它們只能用於向後相容。
如果要讓所有客戶端流量通過VPN，請選擇Full Tunnel Mode；如果要指定哪些流量通過VPN，請選擇Split tunnel
DNS1 IP地址可以是專用的內部DNS伺服器、網際網路服務提供商(ISP)在虛擬機器上提供的與預設網關相同的IP地址，也可以是網際網路上提供的受信任DNS伺服器。