Ubuntu 10.04网关、DHCP与VPN服务器一体化配置指南

一、引言

在中小型网络环境中，通过单一服务器实现网关、DHCP分配及VPN接入功能，可有效降低运维复杂度与硬件成本。Ubuntu 10.04作为经典LTS版本，其稳定性与兼容性使其成为此类场景的理想选择。本文将系统阐述如何在该系统上配置这三项核心网络服务，并提供可落地的操作方案。

二、系统环境准备

1. 基础系统安装
   使用Ubuntu 10.04 Server版ISO镜像，安装时选择”LAMP服务器”或”基本服务器”模式，确保包含ssh、net-tools等基础工具包。安装完成后执行：

   sudo apt-get update && sudo apt-get upgrade -y

2. 网络接口规划
   假设服务器配备双网卡：

   • eth0：外网接口（连接ISP）
   • eth1：内网接口（IP段192.168.1.0/24）
     通过ifconfig或ip a命令确认接口状态。

三、网关功能配置

1. 启用IP转发
   编辑/etc/sysctl.conf，取消注释或添加：

   net.ipv4.ip_forward=1

   执行sysctl -p立即生效。

2. 配置NAT规则
   使用iptables实现源地址转换（SNAT）：

   sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
   sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
   sudo iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT

   保存规则至/etc/iptables.rules，并在/etc/network/interfaces的eth0配置段添加：

   pre-up iptables-restore < /etc/iptables.rules

四、DHCP服务器部署

1. 安装与基础配置
   安装isc-dhcp-server包：

   sudo apt-get install isc-dhcp-server

   编辑/etc/dhcp/dhcpd.conf，配置内网段参数：

   subnet 192.168.1.0 netmask 255.255.255.0 {
     range 192.168.1.100 192.168.1.200;
     option routers 192.168.1.1;
     option domain-name-servers 8.8.8.8, 8.8.4.4;
     default-lease-time 600;
     max-lease-time 7200;
   }

   指定监听接口为eth1：

   INTERFACES="eth1"

2. 启动与验证
   重启服务并检查日志：

   sudo service isc-dhcp-server restart
   tail -f /var/log/syslog | grep dhcp

   客户端通过dhclient eth1应能获取到指定IP段地址。

五、OpenVPN服务器搭建

1. 安装与基础配置
   安装OpenVPN及Easy-RSA工具包：

   sudo apt-get install openvpn easy-rsa

   初始化PKI证书体系：

   make-cadir ~/openvpn-ca
   cd ~/openvpn-ca
   nano vars  # 修改国家、组织等参数
   source vars
   ./clean-all && ./build-ca  # 生成CA证书
   ./build-key-server server  # 生成服务器证书

2. 生成Diffie-Hellman参数

   openssl dhparam -out /etc/openvpn/dh2048.pem 2048

3. 配置服务器端
   编辑/etc/openvpn/server.conf，关键参数如下：

   port 1194
   proto tcp
   dev tun
   ca /etc/openvpn/ca.crt
   cert /etc/openvpn/server.crt
   key /etc/openvpn/server.key
   dh /etc/openvpn/dh2048.pem
   server 10.8.0.0 255.255.255.0
   ifconfig-pool-persist /var/log/openvpn/ipp.txt
   push "redirect-gateway def1 bypass-dhcp"
   push "dhcp-option DNS 8.8.8.8"
   keepalive 10 120
   user nobody
   group nogroup
   persist-key
   persist-tun
   status /var/log/openvpn/openvpn-status.log
   verb 3

4. 启动与客户端配置

   sudo service openvpn start

   为客户端生成证书后，创建.ovpn配置文件：

   client
   dev tun
   proto tcp
   remote [服务器公网IP] 1194
   resolv-retry infinite
   nobind
   user nobody
   group nogroup
   persist-key
   persist-tun
   ca ca.crt
   cert client.crt
   key client.key
   remote-cert-tls server
   verb 3

六、综合测试与验证

1. 网关连通性测试
   内网客户端ping外网地址（如8.8.8.8），确认NAT转换生效。

2. DHCP分配验证
   在客户端执行ip a，检查是否获取到192.168.1.100-200段地址。

3. VPN接入测试
   客户端连接后执行：

   ip route show | grep default  # 应显示通过tun0接口
   curl ifconfig.me              # 确认公网IP变为服务器IP

七、运维建议

1. 日志监控
   配置logrotate管理/var/log/syslog及OpenVPN日志，避免日志文件过大。

2. 安全加固

   • 限制VPN访问IP段（在server.conf中添加local [内网IP]）
   • 使用ufw设置防火墙规则，仅开放必要端口
   • 定期更新证书体系（建议每2年轮换）

3. 性能优化
   对于超过50个并发VPN连接，建议升级内核至最新LTS版本，并调整somaxconn参数：

   echo 1024 > /proc/sys/net/core/somaxconn

八、总结

通过上述配置，Ubuntu 10.04可同时作为网关、DHCP服务器及OpenVPN接入点，满足中小型企业的基础网络需求。实际部署时需根据具体网络拓扑调整IP段与接口参数，并建议通过Ansible等工具实现配置的自动化管理。对于高并发场景，可考虑升级至更高版本Ubuntu或采用专用硬件方案。