作为一名网络工程师,我经常遇到这样的需求：企业需要远程访问内网资源、个人用户希望保护隐私绕过地域限制，或是开发者需要在异地调试服务器，这时候，一个稳定、安全、易管理的VPN服务端就成了刚需，我就带你一步步搭建一个基于OpenVPN的高性能VPN服务端，适用于Linux（以Ubuntu为例），全程不依赖第三方托管，让你掌握核心技能。
第一步：环境准备
确保你有一台公网IP的Linux服务器（推荐Ubuntu 20.04或22.04 LTS），登录后执行以下命令更新系统：
sudo apt update && sudo apt upgrade -y
第二步：安装OpenVPN和Easy-RSA
OpenVPN是开源且被广泛验证的VPN协议，支持SSL/TLS加密，安全性高，Easy-RSA用于生成证书和密钥，是OpenVPN的配套工具：
sudo apt install openvpn easy-rsa -y
第三步：配置证书颁发机构（CA）
这是整个加密体系的信任基础，首先复制Easy-RSA模板到指定目录：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa
编辑vars文件，设置你的组织信息（如国家、省份、公司名）：
export KEY_COUNTRY="CN" export KEY_PROVINCE="Beijing" export KEY_CITY="Beijing" export KEY_ORG="MyCompany" export KEY_EMAIL="admin@mycompany.com"
然后初始化PKI（公钥基础设施）并生成CA证书：
./clean-all ./build-ca
按提示输入CA名称（如“MyCA”），这将生成ca.crt和ca.key，它们是后续所有客户端证书的根信任。
第四步：生成服务器证书和密钥
继续在当前目录下执行：
./build-key-server server
再次确认是否签名（输入yes），之后会生成server.crt和server.key。
第五步：生成Diffie-Hellman参数（提升密钥交换安全性）
./build-dh
该过程可能耗时几分钟,完成后生成dh.pem。
第六步：配置OpenVPN服务端
创建主配置文件 /etc/openvpn/server.conf如下（可根据实际调整）：
port 1194 proto udp dev tun ca /etc/openvpn/easy-rsa/ca.crt cert /etc/openvpn/easy-rsa/server.crt key /etc/openvpn/easy-rsa/server.key dh /etc/openvpn/easy-rsa/dh.pem server 10.8.0.0 255.255.255.0 push "redirect-gateway def1 bypass-dhcp" push "dhcp-option DNS 8.8.8.8" push "dhcp-option DNS 8.8.4.4" keepalive 10 120 tls-auth /etc/openvpn/easy-rsa/ta.key 0 cipher AES-256-CBC auth SHA256 user nobody group nogroup persist-key persist-tun status /var/log/openvpn-status.log verb 3
注意：tls-auth需要提前生成，运行 openvpn --genkey --secret ta.key 并放在/etc/openvpn/easy-rsa/目录下。
第七步：启用IP转发和防火墙规则
编辑/etc/sysctl.conf，取消注释：
net.ipv4.ip_forward=1
应用更改：
sysctl -p
配置iptables规则（假设接口为eth0）：
iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT iptables -A FORWARD -i tun0 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
保存规则（可选）：
apt install iptables-persistent netfilter-persistent save
第八步：启动服务并测试
systemctl enable openvpn@server systemctl start openvpn@server
第九步：为客户端生成证书（可选）
每新增一个客户端，需执行：
./build-key client1
生成的client1.crt和client1.key连同ca.crt和ta.key打包发送给客户端。
第十步：客户端配置
使用OpenVPN GUI（Windows/Linux/macOS）或命令行，配置连接参数，包括服务器IP、端口、协议、证书路径等。
通过以上步骤，你已成功搭建一个企业级级别的OpenVPN服务端，它支持多用户并发、强加密、日志审计，并具备良好的扩展性（可接入LDAP认证、结合Fail2Ban防暴力破解），作为网络工程师，掌握此类技术不仅能解决实际问题，更能深入理解TCP/IP、加密通信和网络安全架构的本质，安全不是一蹴而就，而是持续优化的过程——定期更新证书、监控日志、实施最小权限原则，才是长久之道。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
