手把手教你搭建服务器VPN，从零开始的网络加密通道构建指南

在当今数字化办公与远程访问日益普及的时代，虚拟私人网络（VPN）已成为企业、开发者和家庭用户保障网络安全的重要工具，无论你是想安全地访问公司内网资源，还是希望在公共Wi-Fi下保护个人隐私，搭建一个属于自己的服务器VPN都是值得掌握的技能，本文将带你从零开始，一步步完成基于OpenVPN协议的服务器VPN部署，适用于Linux系统（如Ubuntu或CentOS）。

你需要准备一台公网IP的云服务器（例如阿里云、腾讯云或AWS EC2），操作系统建议使用Ubuntu 20.04或以上版本，登录服务器后,先更新系统包列表：

sudo apt update && sudo apt upgrade -y

接下来安装OpenVPN和Easy-RSA（用于证书管理）：

sudo apt install openvpn easy-rsa -y

配置证书颁发机构（CA）是关键步骤，进入Easy-RSA目录并初始化PKI环境：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa

编辑vars文件，设置你的组织信息（如国家、省份、组织名等）,然后执行以下命令生成CA证书和密钥：

./easyrsa init-pki
./easyrsa build-ca nopass

生成服务器证书和密钥：

./easyrsa gen-req server nopass
./easyrsa sign-req server server

再生成客户端证书（每新增一个设备都需要生成一份）：

./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

现在配置OpenVPN服务端,复制示例配置文件到主目录：

cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/

编辑该文件,修改以下关键项：

• port 1194：指定监听端口（可改）
• proto udp：推荐使用UDP协议，延迟更低
• dev tun：创建TUN虚拟网卡
• ca /etc/openvpn/easy-rsa/pki/ca.crt
• cert /etc/openvpn/easy-rsa/pki/issued/server.crt
• key /etc/openvpn/easy-rsa/pki/private/server.key
• dh /etc/openvpn/easy-rsa/pki/dh.pem（生成命令：./easyrsa gen-dh）

开启IP转发功能（让客户端能访问外网）：

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
sysctl -p

配置iptables规则（假设你使用的是UFW防火墙）：

ufw allow 1194/udp
ufw allow OpenSSH
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

启动OpenVPN服务：

systemctl enable openvpn@server
systemctl start openvpn@server

把客户端证书（client1.crt、client1.key、ca.crt）打包成.ovpn配置文件，并上传至客户端设备,客户端连接时只需导入该配置文件即可接入你的私有网络。

注意事项：

• 建议定期更新证书（一年更换一次）
• 使用强密码保护私钥
• 若遇连接失败，请检查日志：journalctl -u openvpn@server

通过以上步骤，你已成功搭建了一个稳定、安全、可扩展的自建VPN服务器，这不仅提升了数据传输安全性，还为你未来拓展更多网络服务打下基础，合法合规使用是前提,切勿用于非法用途。

半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速