一、使用openVPN实现网通、电信机房快速、安全通信（需要至少一台电信和网通的双线服务器，CDN系统的首选）

二、使用openVPN作为公司的远程办公环境，可与PPTPD服务器作为互备（openVPN这时可选择网桥和路由模式）

三、openVPN可以穿透一些顽固型的防火墙，直接访问其后的局域网环境中的资源（这点就比较强悍，具体作用看我们在企中的需求了）

四、使用openVPN作为“翻墙”软件，游戏及Facebook还有被和谐的网站;

openVPN作为企业内网的一个入口，我们不建议作DMZ映射，其实仅仅只需要映射一个内网IP的1194的TCP和UDP即可，效果也非常好;而且我建议openVPN的外网IP为电信的比较好，这样速度能得到保证。

关于用户证书的有效期限

一般来说,我们在服务器端使用命令 build-key ＊ 建立client用户的时候,系统默认client用户的key的有效期限为10年的,如何更改这个有效期限呢,其实可以修改 build-key.bat文件 就可以实现.方法是

右击 easy-rsa 目录下的 build-key.bat 文件 ,选择 编辑 , 查找 -days ,把后面的 3650 修改成你想要的有效期限,保存后再使用 build-key ＊ 生成的client用户的期限就会变成你想要的期限了,过期了key文件是登陆不了服务器的。

我尝试过另外一种做法，更改openssl.conf文件也可以达到更改默认有效期为10年

首先在不同的地方或者不同ip的服务器配置相同vpn服务器,方法是首先在其中A服务器上配置好一个vpn服务器,然后把 整个 openVPN文件夹备份 ,然后在B服务器上先安装一个openvpn,再把之前A服务器上备份的 openvpn文件夹里面 的文件拷贝到 B服务器,覆盖掉原来的,这样两个服务器的配置是相同的.多个服务器如法炮制.

然后在客户端配置文件上加上remote A服务器ip 端口 //如 remote 201.3.31.1 443 remote B服务器ip 端口 . . . . . . remote-random //这个为随机选择服务器登陆,要是A服务器登陆不了或者掉线,会自动尝试登陆B服务器的,从而实现负载均衡

以上部分资料参考了熊茂林的文章

我个人觉得这办法麻烦，所以单独配置了一台PPTPD服务器，采用的网通IP，作为openVPN的备份，如果同事们在家移动办公时，因为机房电信线路出问题时，可用pptpd网通服务器登陆，这样不影响工作;但有一个比较悲剧的是,pptpd的穿透很弱，一般的家用路由器都不支持GRE，所以大家都愿意选择openVPN。

PPTP

点对点隧道协议 （PPTP） 是由包括微软和3Com等公司组成的PPTP论坛开发的一种点对点隧道协，基于拨号使用的PPP协议使用PAP或CHAP之类的加密算法，或者使用 Microsoft的点对点加密算法MPPE。其通过跨越基于 TCP/IP 的数据网络创建 VPN 实现了从远程客户端到专用企业服务器之间数据的安全传输。PPTP 支持通过公共网络（例如 Internet）建立按需的、多协议的、虚拟专用网络。PPTP 允许加密 IP 通讯，然后在要跨越公司IP 网络或公共IP网络（如Internet）发送的 IP 头中对其进行封装。

L2TP

第2 层隧道协议 （L2TP） 是IETF基于L2F （Cisco的第二层转发协议）开发的PPTP的后续版本。是一种工业标准 Internet 隧道协议，其可以为跨越面向数据包的媒体发送点到点协议 （PPP） 框架提供封装。PPTP和L2TP都使用PPP协议对数据进行封装，然后添加附加包头用于数据在互联网络上的传输。PPTP只能在两端点间建立单一隧道。 L2TP支持在两端点间使用多隧道，用户可以针对不同的服务质量创建不同的隧道。L2TP可以提供隧道验证，而PPTP则不支持隧道验证。但是当L2TP 或PPTP与IPSEC共同使用时，可以由IPSEC提供隧道验证，不需要在第2层协议上验证隧道使用L2TP。 PPTP要求互联网络为IP网络。L2TP只要求隧道媒介提供面向数据包的点对点的连接，L2TP可以在IP（使用UDP），桢中继永久虚拟电路 （PVCs）,X.25虚拟电路（VCs）或ATM VCs网络上使用。

IPSec