手把手教你搭建OpenVPN服务器，从零开始构建安全远程访问通道

khdsff1 2026-04-09 3 0

在当今数字化办公日益普及的背景下,企业或个人用户对远程访问内网资源的需求持续增长，OpenVPN作为一个开源、灵活且高度安全的虚拟私人网络（VPN）解决方案，成为许多网络工程师首选的部署工具，本文将详细讲解如何在Linux系统（以Ubuntu Server为例）上搭建OpenVPN服务器，确保你拥有一个稳定、加密且可扩展的远程接入环境。

第一步：准备工作
你需要一台运行Linux的服务器（物理机或云主机），并确保其拥有公网IP地址和开放端口（默认UDP 1194），建议使用Ubuntu 20.04或更高版本，因为它们对OpenVPN支持良好且文档丰富，确保你具备root权限或sudo权限，以便执行安装与配置命令。

第二步：安装OpenVPN及相关依赖
打开终端，执行以下命令更新系统并安装OpenVPN：

sudo apt update && sudo apt upgrade -y
sudo apt install openvpn easy-rsa -y

easy-rsa 是用于生成SSL证书和密钥的工具，是OpenVPN安全机制的核心组件。

第三步：配置PKI（公钥基础设施）
OpenVPN基于证书的身份认证机制，需先生成CA根证书、服务器证书和客户端证书，进入easy-rsa目录：

cd /usr/share/easy-rsa/
sudo cp -r /usr/share/easy-rsa/* /etc/openvpn/easy-rsa/
cd /etc/openvpn/easy-rsa/

编辑 vars 文件，设置国家、组织等信息（如 CN=China, O=MyCompany）：

nano vars

然后执行初始化和生成证书流程：

./easyrsa init-pki
./easyrsa build-ca nopass
./easyrsa gen-req server nopass
./easyrsa sign-req server server

最后生成Diffie-Hellman参数和TLS密钥：

./easyrsa gen-dh
openvpn --genkey --secret ta.key

第四步：配置OpenVPN服务端
创建OpenVPN主配置文件 /etc/openvpn/server.conf如下（可根据需求调整）：

port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
topology subnet
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
tls-auth ta.key 0
cipher AES-256-CBC
auth SHA256
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3

第五步：启动并启用OpenVPN服务

sudo systemctl start openvpn@server
sudo systemctl enable openvpn@server

第六步：配置防火墙与NAT转发（若需公网访问）
启用IP转发：

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
sysctl -p

配置iptables规则（假设eth0为公网网卡）：

sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT

第七步：生成客户端配置文件
使用easy-rsa生成客户端证书和密钥，并打包成.ovpn文件，包含CA证书、客户端私钥、TLS密钥等，分发给远程用户。

至此,你的OpenVPN服务器已成功搭建！用户只需导入.ovpn配置文件，即可通过加密隧道安全访问内网资源，此方案适用于中小企业远程办公、异地分支互联等场景，具有成本低、安全性高、易维护的优点。

记住定期更新证书、监控日志、加强防火墙策略，才能让OpenVPN长期稳定运行，作为网络工程师，掌握这一技能，是你构建安全网络架构的重要一步。

手把手教你搭建OpenVPN服务器，从零开始构建安全远程访问通道第1张