首页 / 半仙VPN / 手把手教你搭建个人VPN，安全上网的私密通道指南

手把手教你搭建个人VPN，安全上网的私密通道指南

khdsff1 2026-05-27 2 0

在当今网络环境中,隐私保护和网络安全变得越来越重要，无论是远程办公、访问境外资源，还是避免公共Wi-Fi下的数据泄露，一个稳定可靠的个人VPN（虚拟私人网络）都能为你提供加密通信通道，如果你希望摆脱对第三方商业VPN服务的依赖，同时掌握技术主动权，那么自己架设一个本地化、可自定义的VPN服务器，是值得尝试的选择，本文将详细介绍如何使用开源工具，在Linux系统上搭建属于你自己的轻量级VPN服务。

你需要准备一台具备公网IP的服务器,这可以是你家里的旧电脑（安装Linux如Ubuntu Server）、云服务商提供的虚拟机（如阿里云、腾讯云或AWS EC2），或者树莓派等嵌入式设备，确保该服务器能够被外网访问，并开放端口（通常为UDP 1194或TCP 443，取决于你选择的协议）。

推荐使用OpenVPN作为搭建方案,它成熟、稳定、社区支持强大，且兼容主流操作系统（Windows、macOS、Android、iOS），以下是具体步骤：

安装OpenVPN和Easy-RSA
在Ubuntu/Debian系统中，执行以下命令：
```
sudo apt update
sudo apt install openvpn easy-rsa
```

配置证书颁发机构（CA）
使用Easy-RSA生成根证书和密钥：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
nano vars  # 修改默认参数（如国家、组织名）
./clean-all
./build-ca    # 创建CA证书
./build-key-server server    # 生成服务器证书
./build-key client1    # 为客户端生成证书（可多个）
./build-dh    # 生成Diffie-Hellman参数

配置OpenVPN服务器
编辑 /etc/openvpn/server.conf 文件，设置如下关键项：

port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
cipher AES-256-CBC
auth SHA256
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3

启用IP转发与防火墙规则
修改 /etc/sysctl.conf 中的 net.ipv4.ip_forward=1，并运行：

sudo sysctl -p
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -i tun0 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT