Linux搭建VPN服务，从零开始实现安全远程访问

在当今数字化办公和远程工作的趋势下，企业与个人用户越来越依赖安全、稳定的网络连接，虚拟私人网络（VPN）作为保障数据传输安全的重要手段，已成为现代网络架构中不可或缺的一环，而Linux系统因其开源、稳定、灵活的特性，成为搭建高性能、高安全性的VPN服务的理想平台，本文将详细介绍如何在Linux服务器上搭建一个基于OpenVPN的VPN服务,帮助你实现安全远程访问内网资源。

准备工作必不可少，你需要一台运行Linux系统的服务器（如Ubuntu 22.04或CentOS Stream），并确保它具有公网IP地址（若使用云服务商，可配置弹性IP），建议通过SSH登录服务器进行操作,确保命令行环境可用。

第一步是安装OpenVPN及相关工具，以Ubuntu为例,执行以下命令更新系统包并安装OpenVPN：

sudo apt update
sudo apt install openvpn easy-rsa -y

easy-rsa是用于生成SSL/TLS证书和密钥的工具包,这是OpenVPN身份认证的核心组件。

第二步是配置证书颁发机构（CA），进入/etc/openvpn/easy-rsa/目录,初始化PKI环境：

cd /etc/openvpn/easy-rsa/
sudo make-cadir /etc/openvpn/easy-rsa/ca
cd ca
sudo ./easyrsa init-pki
sudo ./easyrsa build-ca nopass  # 创建根证书，不设置密码便于自动化

接下来生成服务器证书和密钥：

sudo ./easyrsa gen-req server nopass
sudo ./easyrsa sign-req server server

然后生成客户端证书和密钥（可为多个客户端分别生成）：

sudo ./easyrsa gen-req client1 nopass
sudo ./easyrsa sign-req client client1

第三步是配置OpenVPN服务器,复制模板配置文件并编辑：

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/
sudo nano /etc/openvpn/server.conf

关键配置项包括：

• port 1194：指定端口（默认UDP）
• proto udp：协议类型
• dev tun：TUN模式，创建虚拟点对点隧道
• ca ca.crt、cert server.crt、key server.key：证书路径
• dh dh.pem：Diffie-Hellman参数（需生成：sudo ./easyrsa gen-dh）

启用IP转发和配置iptables规则以允许流量转发：

echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT
sudo iptables -A FORWARD -i tun0 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT

启动OpenVPN服务并设置开机自启：

sudo systemctl start openvpn@server
sudo systemctl enable openvpn@server

至此，OpenVPN服务已成功部署，客户端可通过.ovpn配置文件连接，该文件包含服务器IP、证书、密钥等信息,可通过SCP或邮件分发给用户。

Linux + OpenVPN 是一套成熟、安全、可定制的方案，适用于中小型企业及技术爱好者，通过合理配置防火墙、证书管理、日志监控，可以进一步提升安全性与稳定性，掌握这一技能，不仅有助于构建私有网络,更能为未来的网络运维打下坚实基础。

半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速