首页 / vpn翻墙 / VPN自制指南，从零开始搭建个人专属的虚拟专用网络

VPN自制指南，从零开始搭建个人专属的虚拟专用网络

banxian11 2026-01-18 发布在 vpn翻墙 2 0

在数字时代，网络安全和隐私保护成为越来越多用户关注的话题，而VPN（Virtual Private Network，虚拟私人网络）作为一种有效的解决方案，能够帮助用户实现安全、稳定的数据传输，本文将带你从零开始，学习如何自制一个VPN服务器,从而拥有自己的专属虚拟专用网络。

准备工作

在开始自制VPN之前,你需要准备以下几项：

一台支持Linux操作系统的服务器：建议使用Ubuntu Server，因为它的社区支持强大,文档丰富。
域名和DNS设置：用于配置VPN服务器的外部访问地址。
SSL/TLS证书：用于加密VPN连接,保证数据传输的安全性。
防火墙配置：确保服务器的安全,只允许必要的端口通信。
网络设备：根据你的需求,可能需要额外的路由器或交换机来扩展网络覆盖范围。

安装OpenVPN

OpenVPN是一个开源的VPN解决方案，具有跨平台、易用等特点,以下是安装步骤：

更新系统包：
```
sudo apt update && sudo apt upgrade -y
```
安装OpenVPN及相关工具：
```
sudo apt install openvpn easy-rsa -y
```

创建Easy-RSA配置目录：

mkdir ~/openvpn-ca
cd ~/openvpn-ca
cp -r /usr/share/easy-rsa/* .
sed -i 's/EASYRSA_REQ_COUNTRY="US"/EASYRSA_REQ_COUNTRY="CN"/' vars
sed -i 's/EASYRSA_REQ_PROVINCE="CA"/EASYRSA_REQ_PROVINCE="BJ"/' vars
sed -i 's/EASYRSA_REQ_CITY="SanFrancisco"/EASYRSA_REQ_CITY="Beijing"/' vars
sed -i 's/EASYRSA_REQ_ORG="MyCompany"/EASYRSA_REQ_ORG="YourOrganization"/' vars
sed -i 's/EASYRSA_REQ_EMAIL="me@mycompany.com"/EASYRSA_REQ_EMAIL="your_email@example.com"/' vars

初始化PKI并生成根证书：
```
source ./vars
./clean-all
./build-ca
```
生成服务器密钥和证书：
```
./build-key-server server
```
生成Diffie-Hellman参数：
```
./build-dh
```

生成TLS密钥：

openssl pkcs12 -export -out ta.key.pem -inkey pki/private/ca.key -in pki/certs/ca.crt

配置OpenVPN服务：

cp ~/openvpn-ca/keys/server.crt /etc/openvpn/
cp ~/openvpn-ca/keys/server.key /etc/openvpn/
cp ~/openvpn-ca/keys/dh.pem /etc/openvpn/
cp ~/openvpn-ca/ta.key.pem /etc/openvpn/

编辑/etc/openvpn/server.conf文件,添加以下内容：

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-auth ta.key.pem 0
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3

配置防火墙

为了确保OpenVPN服务器的安全，你需要配置防火墙规则,以下是一些基本的iptables规则：

sudo iptables -A INPUT -p udp --dport 1194 -j ACCEPT
sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT
sudo iptables -A POSTROUTING -t nat -s 10.8.0.0/24 -o eth0 -j MASQUERADE

请根据实际情况调整接口名称（如eth0）。

启动OpenVPN服务

完成上述配置后,启动OpenVPN服务：

sudo systemctl enable openvpn@server.service
sudo systemctl start openvpn@server.service

客户端配置

你需要为每个客户端生成证书,并配置他们的OpenVPN客户端软件。

生成客户端密钥和证书：
```
./build-key client_name
```
下载客户端配置文件：将client_name.ovpn文件中的以下内容替换为你自己的信息：
```
<ca>
...
</ca>
<cert>
...
</cert>
<key>
...
</key>
<tls-auth>
...
</tls-auth>
```
安装OpenVPN客户端软件：根据操作系统选择合适的OpenVPN客户端软件进行安装。
导入配置文件并启动客户端：在客户端软件中导入client_name.ovpn文件,并按照提示进行配置和启动。