为什么选择这样的组合
Raspberry Pi很有让人DIY的冲动，尤其是摆脱了24小时开server不低碳的罪恶感。作为标准的linux on ARMv6，相对于Openwrt或者dd-wrt，有更好的可配置性。
PPTP与L2TP在国内已经部分不能使用；相对地，OpenVPN可以选择TCP链接、内容加密，能够更好地规避流量过滤的限制。并且，可以设置http代理，避免Remote IP被封的尴尬。更为重要的，OpenVPN对IPv6的支持相对较好。
但OpenVPN由于是私有协议，需要专有的客户端，因此在Android（CM9对OpenVPN提供有支持）、iOS、WP8上的使用比较困难。把Raspberry Pi和OpenVPN结合起来搭建软AP可以较方便的解决这些问题。
需要准备的
- Raspberry Pi：（如果长时间使用，建议在CPU和以太网芯片上加散热片）。
- OpenVPN Service：远端的OpenVPN服务，最好使用TCP/443端口。
- nano无线网卡：由于要用到nl80211驱动，并且支持AP模式或master模式，无线网卡的选择比较困难，参见Linux Wireless Doc。我用的是RT5730芯片的TENDA W311M，RMB29。
- 如果使用ssh连接，可能会遇到网络down掉的情况，可能需要备用一个键盘+HDMI显示器
pi@raspberrypi ~ $ lsusb Bus 001 Device 002: ID 0424:9512 Standard Microsystems Corp. Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub Bus 001 Device 003: ID 0424:ec00 Standard Microsystems Corp. Bus 001 Device 004: ID 148f:5370 Ralink Technology, Corp. RT5370 Wireless Adapter pi@raspberrypi ~ $ iw list Supported interface modes: * IBSS * managed * AP * AP/VLAN * WDS * monitor * mesh point
关于IPv6的说明
OpenVPN在2.3版本以后开始原生支持IPv6，但Debian/Raspbian还没有release相应的deb。
- 如果Raspberry Pi使用Arch Linux ARM，已经有OpenVPN 2.3的pkg；
- 如果选择Raspbian（Debian）可能需要从源编译OpenVPN，没有亲自试过。
后面的例子使用Raspbian（我的环境暂时没有IPv6），相信使用Arch的同学必须毫无压力。
- Arch可能遇到的问题：发现如果hostapd起来，会自动把eth0 down掉，开始一直检查配置，后来发现是USB供电不足。。
开始配置
Raspberry Pi上需要用到的deb：
pi@raspberrypi ~ $ sudo apt-get install hostapd dnsmasq openvpn
如果使用ssh连接，可能会遇到网络down掉的情况，可能需要备用一个键盘+HDMI显示器。
首先配置hostapd，
pi@raspberrypi ~ $ sudo vi /etc/hostapd/hostapd.conf interface=wlan0 driver=nl80211 ssid=RaspberryPi hw_mode=g channel=11 wpa=1 wpa_passphrase=YOUR_PASS wpa_key_mgmt=WPA-PSK wpa_pairwise=TKIP CCMP wpa_ptk_rekey=600 macaddr_acl=0
这时可以test一下hostapd：
sudo hostapd /etc/hostapd/hostapd.conf
用Wifi应该可以扫描到AP，并且输入密码应该可以连接，但获取不到IP。
配置无误，添加hostapd的默认启动：
pi@raspberrypi ~ $ sudo vi /etc/default/hostapd DAEMON_CONF="/etc/hostapd/hostapd.conf"
更改wlan0的连接和IP:
pi@raspberrypi ~ $ sudo vi /etc/network/interfaces auto wlan0 iface wlan0 inet static address 192.168.200.1 netmask 255.255.255.0
之后配置dnsmasq，提供dhcp和dns（如果静态配置地址，不需要）。
pi@raspberrypi ~ $ sudo vi /etc/dnsmasq.conf interface=wlan0 dhcp-range=192.168.200.100,192.168.200.200,255.255.255.0,12h pi@raspberrypi ~ $ sudo ifconfig wlan0 192.168.200.1 pi@raspberrypi ~ $ sudo service dnsmasq restart
此时，客户端应该可以连接并获取IP，ping 192.168.200.1应该可以ping通。
配置OpenVPN
需要提供与服务器端匹配的config，可以直接参考其他linux的配置文件，例如我的是：
pi@raspberrypi ~ $ sudo vi /etc/openvpn/client.conf client remote SERVER_ADDR PORT proto tcp dev tun resolv-retry infinite ca /etc/openvpn/ca.crt cert /etc/openvpn/client.crt key /etc/openvpn/client.key # This file should be kept secret persist-key persist-tun comp-lzo pull dhcp-options nobind verb 3 cipher none
可以设置上电自启动该client：
pi@raspberrypi ~ $ sudo vi /etc/default/openvpn AUTOSTART="client"
这时，可以测试下OpenVPN：
pi@raspberrypi ~ $ sudo service openvpn restart
数秒之后，在ifconfig中应该可以看到tun0出现。
配置路由
这里用的NAT方式（bridge方式略过），因此使用iptables设置路由。
iptables -t nat -A POSTROUTING -o tun0 -s 192.168.200.0/16 -j MASQUERADE echo 1 > /proc/sys/net/ipv4/ip_forward
当然，可以根据需要灵活配置路由，这也是Raspberry Pi最大的优势，利用iptables分拣包。例如，把国内的包自动转向eth0直接处理，国外的包tun0发送。
可以放在/etc/networ/if-up.d/的up.sh，也可以放在/etc/rc.local
这时可以重启Raspberry Pi，应该已经是一个完整的自VPN的Router。
可能的问题
- hostapd出错，一般是无线网卡的驱动。为了避免驱动的麻烦，尽量反复确认nl80211的支持。
- 无法获取IP，客户端提示“超过了普通的时间。。”，一般是DHCP没有工作，可以检查dnsmasq的状态。
- openvpn无法建立连接，一般证书匹配、配置文件的问题比较大。
