首页 / VPN翻墙 / 服务器搭建VPN详解，从零开始实现安全远程访问

服务器搭建VPN详解，从零开始实现安全远程访问

hk258369 2026-04-16 5 0

作为一名网络工程师,我经常被问到：“如何在自己的服务器上搭建一个VPN？”尤其是在远程办公、跨地域访问内网资源或保护数据传输安全的场景中，配置一个可靠的虚拟私人网络（VPN）已成为现代IT基础设施的重要一环，本文将手把手带你从基础环境准备到最终测试验证，完整讲解如何在Linux服务器上搭建一个安全、稳定的OpenVPN服务。

明确目标：我们要搭建的是基于OpenVPN协议的服务器端，支持客户端通过SSL/TLS加密连接到内网，实现远程安全访问，这不仅适用于个人用户，也适合中小企业部署内部系统或开发团队协作。

第一步：准备工作
你需要一台运行Linux操作系统的服务器（推荐Ubuntu 20.04或CentOS 7+），确保有公网IP地址，并开放UDP端口（默认1194），建议使用云服务商如阿里云、腾讯云或AWS等，便于管理和防火墙规则设置，确保服务器能访问外网（用于安装软件包和证书签发工具）。

第二步：安装OpenVPN及相关工具
以Ubuntu为例，执行以下命令：

sudo apt update
sudo apt install openvpn easy-rsa -y

easy-rsa是用于生成证书和密钥的工具，这是OpenVPN身份认证的核心组件。

第三步：生成PKI证书体系
OpenVPN依赖于公钥基础设施（PKI）进行身份验证，我们使用easy-rsa来创建CA（证书颁发机构）、服务器证书和客户端证书：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
sudo ./easyrsa init-pki
sudo ./easyrsa build-ca nopass   # 创建CA，不设置密码
sudo ./easyrsa gen-req server nopass  # 生成服务器证书请求
sudo ./easyrsa sign-req server server  # 签署服务器证书
sudo ./easyrsa gen-req client1 nopass  # 为客户端生成证书请求
sudo ./easyrsa sign-req client client1  # 签署客户端证书

第四步：配置OpenVPN服务器
复制示例配置文件并编辑：

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/
sudo nano /etc/openvpn/server.conf

关键配置项包括：

port 1194：指定监听端口（UDP）
proto udp：使用UDP协议，性能更优
dev tun：创建TUN设备（三层隧道）
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem（需先生成：sudo ./easyrsa gen-dh）

启用IP转发和NAT：

sudo sysctl net.ipv4.ip_forward=1
echo "net.ipv4.ip_forward = 1" | sudo tee -a /etc/sysctl.conf
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT

第五步：启动服务并配置开机自启

sudo systemctl enable openvpn@server
sudo systemctl start openvpn@server

第六步：客户端配置与测试
将生成的ca.crt、client1.crt、client1.key下载到客户端机器，创建.ovpn配置文件：

client
dev tun
proto udp
remote your-server-ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
comp-lzo
verb 3

使用OpenVPN客户端导入该文件即可连接,首次连接时会提示确认证书指纹，确认无误后即可成功建立加密隧道。

最后提醒：定期更新证书、监控日志（journalctl -u openvpn@server）、设置强密码策略，以及结合防火墙（如UFW或iptables）限制访问源IP，可以进一步提升安全性。

通过以上步骤,你可以在服务器上搭建一个功能完备的OpenVPN服务，满足远程访问、数据加密和内网穿透的需求，作为网络工程师，掌握这项技能不仅能解决实际问题，还能为你在企业级网络架构设计中加分不少。

服务器搭建VPN详解，从零开始实现安全远程访问第1张