vpn

或

khdsff1 2026-05-23 2 0

Linux搭建VPN服务器完整指南：从环境准备到安全配置详解

在当今远程办公和分布式团队日益普及的背景下,建立一个稳定、安全的虚拟私人网络（VPN）已成为企业与个人用户的刚需，Linux因其开源特性、高灵活性和强大的网络功能，成为搭建VPN服务器的理想平台，本文将详细介绍如何在Linux系统上从零开始搭建一个安全可靠的OpenVPN服务，涵盖环境准备、安装配置、证书生成、防火墙设置以及常见问题排查。

第一步：环境准备
确保你有一台运行Linux的服务器（推荐Ubuntu 20.04/22.04或CentOS Stream 9），具备公网IP地址，并能通过SSH访问，建议使用root权限或sudo权限操作，更新系统并安装必要工具：

sudo apt update && sudo apt upgrade -y   # Ubuntu/Debiansudo dnf update -y                      # CentOS/RHEL

第二步：安装OpenVPN和Easy-RSA
OpenVPN是目前最流行的开源VPN解决方案之一，支持多种加密协议（如TLS、AES），使用包管理器安装：

sudo apt install openvpn easy-rsa -y

Easy-RSA用于生成SSL/TLS证书和密钥，是OpenVPN认证机制的核心组件。

第三步：初始化PKI（公钥基础设施）
创建证书颁发机构（CA）和服务器证书，进入Easy-RSA目录并初始化：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
sudo ./easyrsa init-pki
sudo ./easyrsa build-ca nopass  # 创建CA证书，无需密码
sudo ./easyrsa gen-req server nopass  # 生成服务器私钥和CSR
sudo ./easyrsa sign-req server server  # 签署服务器证书

第四步：生成客户端证书
每个连接到VPN的用户都需要一个独立的证书，例如为用户“alice”生成：

sudo ./easyrsa gen-req alice nopass
sudo ./easyrsa sign-req client alice

第五步：配置OpenVPN服务器
复制模板配置文件并编辑 /etc/openvpn/server.conf：

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/
sudo gunzip /etc/openvpn/server.conf.gz
sudo nano /etc/openvpn/server.conf

关键配置项包括：

port 1194：指定监听端口（可改为443以绕过防火墙限制）
proto udp：使用UDP协议提升性能
dev tun：创建TUN虚拟设备
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem（生成命令：sudo ./easyrsa gen-dh）

启用IP转发和NAT：

echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo iptables -A INPUT -p udp --dport 1194 -j ACCEPT

第六步：启动服务并测试
启用开机自启并启动OpenVPN：

sudo systemctl enable openvpn-server@server
sudo systemctl start openvpn-server@server

将客户端证书和配置文件分发给用户,客户端配置示例（client.ovpn）：

client
dev tun
proto udp
remote your-server-ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
tls-auth ta.key 1

第七步：安全加固