首页 / 半仙加速器 / 手把手教你搭建安全高效的VPN服务器，从零开始的网络连接自由之路

手把手教你搭建安全高效的VPN服务器，从零开始的网络连接自由之路

hk258369 2026-04-15 2 0

在当今数字化时代,远程办公、跨地域协作以及数据隐私保护已成为企业和个人用户的核心需求，虚拟私人网络（VPN）作为实现安全远程访问的关键技术，越来越受到关注，无论你是希望在家安全访问公司内网资源的员工，还是想保护自己上网隐私的普通用户，搭建一个属于自己的VPN服务器，不仅成本低廉，还能获得更高的控制权和安全性，本文将带你一步步从零开始，搭建一个基于OpenVPN协议的稳定、安全且易于管理的VPN服务器。

你需要准备一台具备公网IP的云服务器（如阿里云、腾讯云或AWS EC2实例），操作系统建议使用Ubuntu 20.04 LTS或更高版本，登录服务器后，执行以下基础配置：

系统更新与防火墙设置
```
sudo apt update && sudo apt upgrade -y
sudo ufw allow OpenSSH
sudo ufw enable
```
这一步确保系统是最新的,并允许SSH访问。
安装OpenVPN和Easy-RSA
```
sudo apt install openvpn easy-rsa -y
```
Easy-RSA用于生成SSL/TLS证书和密钥，是OpenVPN认证的核心组件。
创建PKI（公钥基础设施）
复制Easy-RSA模板到本地目录并初始化：
```
make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
nano vars # 修改默认配置，如国家、组织名等
./clean-all
./build-ca
./build-key-server server
./build-key client1
./build-dh
```
上述步骤会生成服务器证书、客户端证书、密钥及Diffie-Hellman参数，确保通信加密强度。

配置OpenVPN服务端
编辑 /etc/openvpn/server.conf 文件，核心配置如下：

port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
cipher AES-256-CBC
auth SHA256
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3

此配置启用UDP协议（性能更优）、分配私有IP段（10.8.0.0/24）、推送DNS和路由规则，使客户端流量自动通过VPN隧道。

启用IP转发与NAT规则
编辑 /etc/sysctl.conf，取消注释 net.ipv4.ip_forward=1，

sudo sysctl -p
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -i tun0 -j ACCEPT
sudo iptables -A FORWARD -s 10.8.0.0/24 -d 0.0.0.0/0 -i tun0 -o eth0 -j ACCEPT

这些命令让客户端能访问外网,实现“隧道穿透”。

启动并测试
```
sudo systemctl enable openvpn@server
sudo systemctl start openvpn@server
```
将生成的client1.crt、client1.key、ca.crt打包成.ovpn文件，导入到Windows/macOS/iOS/Android设备中即可连接。