站点到站点连接示例 (共享密钥)

OpenVPN 站点到站点网络示例

本节介绍使用共享密钥方式配置 OpenVPN 隧道站点到站点连接的过程。
在配置共享密钥站点到站点 OpenVPN 连接时，一个防火墙将成为服务器，另一个将成为客户端。通常，主要位置作为服务器端，远程办公室作为客户端，但在功能上是等同的。与远程访问 OpenVPN 配置类似，除两端的子网外，还会有一个用于网络间 OpenVPN 互连的专用子网。网络拓扑见上图。

隧道网络使用 10.3.100.0/30。如图所示，两个防火墙之间的 OpenVPN 隧道从该子网的另一端获取 IP 地址。下面介绍如何配置连接的服务器端和客户端。

配置服务器端

1. 导航到 VPN > OpenVPN，切换到 服务器 选项卡。
2. 单击 添加 创建一个服务器条目。

3. 填写以下字段，其余保留默认值：

   • 服务器模式: 选择“点对点（共享密钥）”
   • 描述: 输入文字描述该连接（例如 ExampleCo Site B VPN）
   • 共享密钥: 勾选“自动生成共享密钥”，或粘贴预先准备好的共享密钥。
   • 隧道网络: 输入之前选定的网络 10.3.100.0/30
   • 远程网络: 输入站点 B 的局域网 10.5.0.0/24
   • 单击 保存。
4. 单击 编辑 按钮，打开刚创建的服务器条目。
5. 找到 共享密钥 选项框，选中框内全部文本，复制到剪贴板。建议保存到文件或暂时粘贴到文本编辑器中。

接下来，需要在 WAN 上添加防火墙规则，以允许访问 OpenVPN 服务器。

1. 导航到 防火墙 > 规则策略，切换到 WAN 选项卡。
2. 单击 在列表顶部添加规则。
3. 协议选择 UDP。

4. 设置源地址以匹配客户端。若客户端动态 IP，可设置为 any；否则仅允许客户端的 WAN IP：

   • 源地址 选择单个主机或别名
   • 输入客户端的 WAN 地址作为源地址（例如 203.0.113.5）
5. 设置 目的地址 为 WAN 地址。
6. 设置 目标端口 为 1194（本例使用）。
7. 填写 描述，例如 OpenVPN from Site B。
8. 单击 保存，如图所示：

9. 单击 应用更改。

还需将规则添加到 OpenVPN 接口，以允许通过 VPN 的流量从客户端 LAN 传递到服务器端 LAN。可使用“全部允许”规则或一组更严格的规则。本例采用全部允许：

1. 导航到 防火墙 > 规则策略，切换到 OpenVPN 选项卡。
2. 单击 在列表顶部添加规则。
3. 设置 协议 为 any。
4. 输入 描述，例如 Allow all on OpenVPN。
5. 单击 保存。
6. 单击 应用更改。

服务器端配置完成。

配置客户端

1. 在客户端系统上，导航到 VPN > OpenVPN，切换到 客户端 选项卡。
2. 单击 添加 创建一个新的 OpenVPN 客户端实例。

3. 填写以下字段，其余保留默认值：

   • 服务器模式: 选择“点对点（共享密钥）”
   • 服务器主机 IP 地址: 输入 OpenVPN 服务器的公网 IP 或主机名（例如 198.51.100.3）
   • 描述: 输入描述文本（例如 ExampleCo Site A VPN）
   • 共享密钥: 取消勾选“自动生成共享密钥”，粘贴从服务器端复制的密钥。
   • 隧道网络: 必须与服务器端完全一致（例如 10.3.100.0/30）
   • 远程网络: 输入站点 A 的局域网 10.3.0.0/24
4. 单击 保存。

同样，需要为 OpenVPN 接口添加防火墙规则，以允许通过 VPN 的流量从服务器端 LAN 到达客户端 LAN。

1. 导航到 防火墙 > 规则策略，切换到 OpenVPN 选项卡。
2. 单击 在列表顶部添加规则。
3. 设置 协议 为 any。
4. 输入 描述，例如 Allow all on OpenVPN。
5. 单击 保存。
6. 单击 应用更改。

客户端配置完成。客户端 WAN 接口上无需额外规则，因为只发起出站连接，服务器从不主动连接客户端。

注意： 远程访问 PKI 配置中，路由等选项通常由服务器推送；而共享密钥模式下，路由等参数必须在两端各自定义（可写入自定义选项中），服务器端的推送功能不可用。

测试连接

连接在保存后立即生效。可通过 ping 远端地址验证连通性，或导航至 系统状态 > OpenVPN 查看连接详情。