用容器化的 OpenVPN 对接企业已有的 LDAP 账号体系，再叠一层动态口令做二次验证，可以在不新建一套账号的前提下把远程接入管起来：员工用域账号登录，离职时在 LDAP 里禁用即可全线失效。下面是镜像参数、证书生成和客户端配置的完整步骤。

版本说明

本文写于 2022-03。
未在更高版本上重新验证，请以对应版本的官方文档为准；具体 Docker 镜像版本请以实际拉取时的 tag 为准核对兼容性。

docker openvpn otp ldap 只需要修改下面几个参数即可

OVPN_SERVER_CN是外部的地址,比如公司对外开放的公网IP或是域名 LDAP_URI是写AD服务器的地址 LDAP_BASE_DN是自己的搜索用户的范围 LDAP_BIND_USER_DN这个是一个普通用户的Base dn路径,可以在域控用户属性编辑器中查到,这个普通 用户就可以了,不要使用管理员 LDAP_BIND_USER_PASS上面用户的密码

docker run \
--name openvpn \
--volume /home/openvpn:/etc/openvpn \
-v /etc/localtime:/etc/localtime:ro \
--detach=true \
--restart=always  \
-p 1194:1194/udp \
-e "OVPN_PROTOCOL=udp" \
-e "OVPN_SERVER_CN=vpn.ranisa.cn" \
-e "LDAP_URI=ldap://192.0.2.11" \
-e "LDAP_BASE_DN=dc=ranisa,dc=cn" \
-e "LDAP_BIND_USER_DN=cn=ad,cn=Users,dc=ranisa,dc=cn" \
-e "LDAP_BIND_USER_PASS=P@ssw0rd" \
-e "ACTIVE_DIRECTORY_COMPAT_MODE=true" \
-e "ENABLE_OTP=true" \
-e "DEBUG=true" \
--cap-add=NET_ADMIN \
wheelybird/openvpn-ldap-otp