一、案例1
针对不同的客户端指定不同的等级和权限
通常的方法是：
1、每个客户端分配不同的IP地址；
2、利用防火墙对不同的IP地址进行控制；
例如：
引用
1、公司内部网段是10.66.4.0/24；
2、所有人允许访问Email服务器为10.66.4.4，但不能访问其他服务器；
3、特定的客户组允许访问Samba服务器为10.66.4.12，不能访问其他服务器；
4、管理员能访问所有公司内网服务器。
根据上述的要求，我们可以对OpenVPN服务端进行配置：（而不需要修改客户端配置文件）
引用 server.conf增加：
#10.8.0.0是给所有VPN客户端的IP段；
server 10.8.0.0 255.255.255.0
#10.8.1.0是给管理员分配的IP段；
server 10.8.1.0 255.255.255.0
#10.8.2.0就是给特定用户组分配的IP段；
server 10.8.2.0 255.255.255.0
#下面是定义服务器读取特殊客户端配置文件的目录为ccd；
client-config-dir ccd
通过上面的配置，今后我们就可以对指定的客户进行特殊的定义了。配置文件应该放在ccd目录下：
引用 ccd/sysadmin1：
ifconfig-push 10.8.1.1 10.8.1.2
引用 ccd/contractor1：
ifconfig-push 10.8.2.1 10.8.2.2
引用 ccd/contractor2：
ifconfig-push 10.8.2.5 10.8.2.6
※注意：
1、文件名就是客户的Common Name，OpenVPN是根据该名称来获得指定客户端的；
2、客户端的IP地址不是任意指定的，由于Windows的TAP驱动必须采用/30网段的IP，为兼容该协议，应从特定的IP地址中选择，而且是成组出现的；（可参考第一份文章附录介绍）
那最后，剩下的就是用iptables防火墙做限制即可：（假设PLOICY为Deny）
iptables -A FORWARD -i tun0 -s 10.8.0.0/24 -d 10.66.4.4 -j ACCEPT
iptables -A FORWARD -i tun0 -s 10.8.1.0/24 -d 10.66.4.0/24 -j ACCEPT
iptables -A FORWARD -i tun0 -s 10.8.2.0/24 -d 10.66.4.12 -j ACCEPT
二、案例2
让客户端内部子网可与服务端内部网互通，其实也就是实现点对点互连了。
引用 要求如下：
1、客户端的子网网段必须唯一；
2、客户端的Common Name要唯一，而且不能在服务器的配置文件中配置有duplicate-cn；
3、客户端打开IP Forward（路由转发）和允许TUN、TAP进入；
OK，那假设客户端子网为192.168.4.0，并且客户端网关和客户端OpenVPN是同一服务器，那可以这样配置：
引用 server.conf增加：
#下面是定义服务器读取特殊客户端配置文件的目录为ccd；
client-config-dir ccd
#服务器增加到192.168.4.0/24的路由
route 192.168.4.0 255.255.255.0
#允许客户端子网互通
client-to-client
#让所有客户端都增加到192.168.4.0/24的路由
push "route 192.168.4.0 255.255.255.0"
然后，对指定的客户端建立配置文件。
mkdir /etc/openvpn/ccd
在ccd目录下建立一个与客户端Common Name相同名字的文件名，并加入：
引用 #这是告诉服务器，我（客户端）的子网网段是192.168.4.0/24；
iroute 192.168.4.0 255.255.255.0
※注意：
1、若OpenVPN Server不是服务端子网的网关，则必须在服务端子网网关加入指向192.168.4.0/24的路由；
2、若客户端的OpenVPN Client也不是客户端子网的网关，同样的，也必须加入对应的路由，如：
route add -net 192.168.4.0 netmask 255.255.255.0 gw 10.8.0.5 dev eth0
总而言之，就是必须让网关通过VPN服务器，可路由到所有的VPN子网，这无论是对于服务端还是客户端都是必须定义的
三、案例3
OpenVPN内部提供了DHCP的服务，而不需要依赖外部的DHCP服务器。同样，也提供了DHCP服务的一些配置参数：
引用 server.conf配置：
#定义客户端的DNS服务器地址
push "dhcp-options DNS 192.168.228.1"
#定义客户端的WINS服务器地址
push "dhcp-options WINS 192.168.228.1"
#让客户端发起的所有IP请求都通过OpenVPN服务器
push "redirect-gateway def1"
其中，最后一项配置会修改客户端的默认路由为OpenVPN服务器。这样，通常还必须加入NAT转换：
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
这样，所有客户端当和OpenVPN服务器连接后，就可以把该服务器作为对外的路由服务器使用了。（类似Proxy）
四、案例4
前面案例提到的，都是由服务端先生成客户端证书，然后分发到客户端，让客户端通过证书连接到服务器上。但有时候，这样的分发是比较麻烦的（也不安全）。这样，我们可以考虑另外一种方式：
只在服务端制作客户端证书，而客户端只需要有ca.crt文件，而不需要拿到客户端证书，当登陆服务器的时候是通过用户名和密码即可登陆OpenVPN服务器。
◎服务端配置：（以Linux版为例）
OpenVPN可以通过插件（plugin）方式支持上述的用户名认证，在Linux下以PAM为例，必须先增加用户：
useradd -M test
passwd test
然后修改server.conf增加：
引用 #使用PAM插件
plugin /usr/share/openvpn/plugin/lib/openvpn-auth-pam.so login
#客户端可以不提供证书
client-cert-not-required
#用户登陆的用户名就是Common Name
username-as-common-name
※注意：
1、若不增加client-cert-not-required语句，默认PAM认证和证书验证是需要同时通过才能建立连接的；
2、OpenVPN是基于SSL连接，所以，上述设置只是让客户端不用提供证书，但却必须提供ca.crt；
3、而且OpenVPN服务器也必须用客户端使用的登陆名（如：test）建立相同Common Name的证书，否则客户端登陆的时候，服务器会提示找不到对应证书，而不能建立连接。
◎客户端配置：
client.conf增加：
引用 #激活登陆认证方式
auth-user-pass
#修改认证证书，保留ca.crt即可，客户端证书可以不要了
ca ./easy-rsa/keys/ca.crt
#cert ./easy-rsa/keys/client1.crt
#key ./easy-rsa/keys/client1.key
这样，当手动启动客户端的时候，即会提示用户名和密码。（用户名和密码为登陆服务器PAM认证，通过后，OpenVPN会提取用户名作为Common Name，并验证客户端证书，若也通过，则连接搭建成功）
※问题：若采用该方式，如何使用后台服务启动客户端？
答：可以先建立一个文件author-keys（用户名和密码各一行），然后修改配置文件
引用 auth-user-pass author-keys
另其从中读取该文件以通过验证。
但前提是必须在编译的时候增加–enable-password-save参数。
五、其他
1）若客户端不能访问OpenVPN使用的1194端口，可通过HTTP Proxy，但有要求：
1、OpenVPN连接要使用tcp方式，而不能使用udp方式；
2、客户端配置加入：
引用 http-proxy ip port
2）OpenVPN负载均衡
要使用OpenVPN负载均衡，可以这样做：
1、可以建立多台服务器，除server配置不同外，其余相同：
引用 server1
server 10.8.0.0 255.255.255.0
server2
server 10.8.1.0 255.255.255.0
server3
server 10.8.2.0 255.255.255.0
2、客户端可以用多点尝试进行配置：
引用 #默认从上往下尝试
remote server1 port
remote server2 port
#也可以改为随机连接
remote-random
#为防止DNS解析错误导致不进行后续的尝试，可以加入下面的语句
resolv-retry 60
3）撤回证书
前面已经提到，可以单方面的通过服务器撤回客户端证书，在easy-rsa目录下：
source ./vars
./revoke-full client2
会生成crl.pem文件。把文件拷入对应目录，如keys。然后修改server.conf：
引用 crl-verify ./easy-rsa/keys/crl.pem
即可。（CRL List对于新客户是马上生效的，而且不需要重启服务器）
六、加强OpenVPN的安全性
1、创建tls-auth
openvpn –genkey –secret ta.key
server.conf：
引用 tls-auth ta.key 0
client.conf：
引用 tls-auth ta.key 1
2、使用UDP协议
因为UDP一般不会有DoS攻击，而且能能防止端口被扫描，能保证更安全。
3、使用nobody用户和组运行服务
对于非Win的服务器，可以在配置中加入：
引用 user nobody
group nobody
4、使用chroot
请参考：
官方文档
5、使用Large RSA keys
可以通过修改./easy-rsa/vars中的KEY_SIZE，增加到2048。但要注意，该修改必须重建所有的keys、以及配置文件。
6、使用Large symmetric keys
可以在配置文件中加入：
引用 cipher AES-256-CBC
7、把ca.key单独存放
最后，也是最重要的一点。从前面的配置文件可以看到，无论是服务端，还是客户端都不需要使用ca.key文件的。但该文件却很重要，所以，我们应该把它另外保存好，而不是放在服务器上哦！
8、还有一种安全问题，就是Man-in-the-Middle攻击。
也就是模拟server连接另一个client。可以参考
官方文档
※相信通过这些例子，今后对于OpenVPN的配置就不会再有任何问题了.
OpenVPN的参数详解
一般选项:
–config file : 从file中读取配置选项.
–help : 显示选项.
–version : 显示版权和版本信息.
隧道选项:
–local host : 本地主机名或IP地址.
–remote host [port] : 远端主机名或IP地址.
–remote-random : 如果指定了多个–remote选项，从中随机选取一个.
–mode m : 主模式, m = ‘p2p’ (默认, 点-到-点) 或者’server’.
–proto p : 使用协议p和对端通信，
p = udp (默认), tcp-server, 或tcp-client
–connect-retry n : 对–proto tcp-client, 连接重试之前等待的秒数(默认值-5)
–http-proxy s p [up] [auth] : 通过在地址s和端口p的HTTP代理连接远端主机。
如果代理要求认证，up是包含用户名/密码的文件，用户名和密码要在
两行上, 或者是’stdin’则从控制台输入。如果代理需要NTLM认证则
添加auth=’ntlm’.
–http-proxy-retry : HTTP代理出错时总是重试。
–http-proxy-timeout n : 代理超时，秒，默认-5.
–http-proxy-option type [parm] : 设置HTTP代理的扩展选项.
重复使用设置多个选项.
VERSION 版本号(默认=1.0)
AGENT 用户代理
–socks-proxy s [p]: 通过在地址s端口p的Socks5代理连接远端主机(默认port=1080).
–socks-proxy-retry : Socks代理出错时总是重试。
–resolv-retry n: 如果–remote的主机名解析失败,重试n秒(默认是禁止的)，
设置n="infinite"则无限重试。
–float : 允许远端改变它的IP 地址/端口.比如通过DHCP(如果没有使用
–remote, 则默认使用这一项).
–ipchange cmd : 在远端IP地址初始设置或改变时执行shell命令cmd.
— cmd ip地址 端口号
–port port : 本地和远端的TCP/UDP端口号
–lport port : 本地TCP/UDP端口(默认值=1194).
–rport port : 远端TCP/UDP端口(默认值=1194).
–nobind : 不绑定到本地地址和端口.
–dev tunX|tapX : tun/tap设备(对于动态设备来说可以忽略X.
–dev-type dt : 使用的设备类型(dt = tun 或 tap)
仅在用–dev使用tun/tap设备时没有使用"tun"或"tap".
–dev-node node : 明确设置设备节点，而不是使用
/dev/net/tun, /dev/tun, /dev/tap, 等.
–tun-ipv6 : 使tun连接能够转发IPv6包。
–ifconfig l rn : TUN: 配置设备使用IP地址l作为本地端点rn作为远端端点.
l和rn在对端应当互换. l和rn应当是两端使用的子网之外的
地址
TAP: 配置设备使用IP地址l作为本地端点rn作为子网掩码。
–ifconfig-noexec : 并不执行ifconfig/netsh命令, 而是通过环境(变量?)将
–ifconfig的参数传递给脚本.
–ifconfig-nowarn : 如果这边的–ifconfig选项与另一边的不匹配并不告警.
–route network [netmask] [gateway] [metric] :
连接建立后将路由添加到路由表.可以指定多个路由.
默认子网掩码: 255.255.255.255
默认网关: 从–route-gateway 或 –ifconfig获得
通过保留空白或者设置为"nil"来使用默认值。
–route-gateway gw : 指定–route使用的默认网关.
–route-delay n [w] : 连接建立后等待n秒后添加路由(可以是0). 如果没有指定，
tun/tap打开后就立即添加路由. 在Windows下，为TUN/TAP适配器
连接等待w秒。
–route-up cmd : 路由添加后执行shell命令cmd.
–route-noexec : 不自动添加路由. 相反使用环境变量向–route-up脚本传递路由.
–redirect-gateway [flags]: (试验) 自动执行路由命令复位向所有出去的IP包为
通过VPN. 如果OpenVPN服务器通过同一个子网直接连接，添加
‘local’标志，比如WiFi. 添加’def1’标志设置默认路由使用
0.0.0.0/1和128.0.0.0/1而不是0.0.0.0/0.
–setenv name value : 设置传递给脚本的用户环境变量。
–shaper n : 将向对端的输出限制为每秒n个字节。
–keepalive n m : 在服务器模式下设置超时。每n秒发送一个ping包，
如果在m秒内没有收到ping包，则重启。
