在当今高度互联的网络环境中,虚拟专用网络（Virtual Private Network, 简称VPN）已成为保障远程访问安全、实现跨地域网络互通的重要技术手段，作为一名网络工程师，在日常运维和项目实施中，熟练掌握各类VPN协议的配置与使用至关重要，本文将通过一次完整的OpenVPN配置与使用实验，详细记录从环境搭建到最终测试验证的全过程，帮助读者理解其核心原理并提升实操能力。
实验目标：
搭建一个基于Linux服务器的OpenVPN服务端，并在Windows客户端成功连接，实现私有网络通信，同时确保数据传输加密、身份认证可靠。
实验环境：
- 服务器端：Ubuntu 20.04 LTS，IP地址为192.168.1.100
- 客户端：Windows 10，IP地址为192.168.1.50
- OpenVPN版本：2.5.4
- 使用证书认证（TLS + PKI），不依赖用户名密码
安装与初始化
首先在Ubuntu服务器上安装OpenVPN及相关工具：
sudo apt update && sudo apt install openvpn easy-rsa -y
随后使用Easy-RSA生成证书颁发机构（CA）、服务器证书和客户端证书，通过easyrsa init-pki初始化密钥库，再依次执行build-ca（创建CA）、build-server（服务器证书）、build-client（客户端证书）等命令，完成PKI体系构建。
配置服务器端
编辑 /etc/openvpn/server.conf 文件，关键配置如下：
port 1194：指定监听端口proto udp：使用UDP协议提高性能dev tun：创建点对点隧道设备ca /etc/openvpn/pki/ca.crt：指定CA证书路径cert /etc/openvpn/pki/issued/server.crt：服务器证书key /etc/openvpn/pki/private/server.key：服务器私钥dh /etc/openvpn/pki/dh.pem：Diffie-Hellman参数文件server 10.8.0.0 255.255.255.0：分配给客户端的IP段push "redirect-gateway def1 bypass-dhcp"：强制客户端流量经由VPN转发keepalive 10 120：心跳检测机制
启动服务：
sudo systemctl enable openvpn@server && sudo systemctl start openvpn@server
配置客户端
将生成的客户端证书（client.crt）、私钥（client.key）和CA证书（ca.crt）打包成.ovpn文件，内容包括：
client
dev tun
proto udp
remote 192.168.1.100 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
tls-auth ta.key 1
auth-user-pass在Windows上安装OpenVPN GUI客户端，导入该配置文件后即可连接。
测试与验证
成功连接后，客户端会获得一个10.8.0.x的IP地址，此时可通过ping测试内网连通性（如ping 10.8.0.1），也可在客户端访问服务器端的Web服务（如Apache部署于192.168.1.100:80），确认流量已通过隧道传输。
使用Wireshark抓包分析可发现所有流量均被加密,符合SSL/TLS标准，有效防止中间人攻击。
本次实验不仅验证了OpenVPN的核心功能，还加深了我对证书管理、路由策略、防火墙规则（需开放1194/udp）的理解，实际部署中还需考虑高可用、日志审计、访问控制列表（ACL）等高级特性，对于网络工程师而言，动手实践是掌握复杂技术的最佳途径——唯有不断实验，方能在真实场景中游刃有余。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
