在现代网络环境中,虚拟私人网络（VPN）已成为企业保障数据传输安全、实现远程办公和跨地域访问的重要工具，作为网络工程师，掌握如何在服务器上正确配置VPN不仅是一项核心技能，更是提升企业信息安全防护能力的关键步骤，本文将详细介绍在Linux服务器（以Ubuntu为例）中部署OpenVPN服务的全过程，涵盖环境准备、安装配置、防火墙设置及客户端连接测试等环节。
确保你的服务器已具备公网IP地址,并运行稳定的操作系统（如Ubuntu 20.04 LTS），建议使用root权限或通过sudo执行后续命令，第一步是更新系统并安装OpenVPN及相关依赖：
sudo apt update && sudo apt upgrade -y sudo apt install openvpn easy-rsa -y
我们需要生成证书和密钥,这是建立安全通信的基础，使用Easy-RSA工具创建PKI（公钥基础设施）：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa cp vars.example vars
编辑vars文件，修改国家代码、组织名称等基本信息，然后执行以下命令生成CA证书、服务器证书和客户端证书：
./easyrsa init-pki ./easyrsa build-ca nopass ./easyrsa gen-req server nopass ./easyrsa sign-req server server ./easyrsa gen-req client1 nopass ./easyrsa sign-req client client1
生成完成后,将证书复制到OpenVPN配置目录：
cp pki/ca.crt pki/private/server.key pki/issued/server.crt /etc/openvpn/ cp pki/issued/client1.crt pki/private/client1.key /etc/openvpn/
现在开始配置服务器端主文件,创建 /etc/openvpn/server.conf如下：
port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3注意：你需要先生成DH参数（./easyrsa gen-dh），并将dh.pem移入配置目录。
完成配置后,启用IP转发并设置iptables规则以允许流量转发：
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf sysctl -p iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT iptables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
启动OpenVPN服务并设置开机自启：
systemctl enable openvpn@server systemctl start openvpn@server
客户端方面,可使用OpenVPN GUI或命令行方式导入证书与配置文件，建议为每个用户单独生成证书，便于权限管理和审计。
至此,你已成功在服务器上搭建了一个功能完整、安全可靠的OpenVPN服务，此方案适用于中小型企业远程接入场景，如需更高安全性，可结合双因素认证（如Google Authenticator）进一步增强防护。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
