在现代网络环境中，企业或个人用户经常需要远程访问内部资源，比如文件服务器、数据库或开发环境，为了保障数据传输的安全性与隐私性，使用虚拟私人网络（VPN）成为首选方案，通过将一台服务器配置为VPN服务器，你可以创建一个加密的隧道，让远程客户端安全地连接到内网，而无需暴露敏感服务直接暴露在公网中，本文将详细介绍如何将一台Linux服务器（以Ubuntu为例）设置为OpenVPN服务器，实现安全、稳定的远程访问。
第一步：准备服务器环境
你需要一台拥有公网IP的Linux服务器（推荐Ubuntu 20.04或更高版本），并确保防火墙允许相关端口通信（如UDP 1194），登录服务器后,更新系统软件包：
sudo apt update && sudo apt upgrade -y
第二步：安装OpenVPN和Easy-RSA
OpenVPN是一个开源的SSL/TLS协议实现，支持多种认证方式，我们用Easy-RSA来管理证书和密钥：
sudo apt install openvpn easy-rsa -y
第三步：生成证书和密钥
使用Easy-RSA初始化PKI（公钥基础设施）：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa
编辑vars文件，设置国家、组织等信息（可选但建议填写），然后执行以下命令生成CA证书、服务器证书和密钥：
./easyrsa init-pki ./easyrsa build-ca nopass ./easyrsa gen-req server nopass ./easyrsa sign-req server server
第四步：生成Diffie-Hellman参数和TLS密钥
这些用于增强加密强度：
./easyrsa gen-dh openvpn --genkey --secret ta.key
第五步：配置OpenVPN服务器
复制模板配置文件到主目录,并修改关键参数：
cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/ nano /etc/openvpn/server.conf
主要修改项包括：
port 1194（指定端口）proto udp（使用UDP协议更高效）dev tun（使用TUN设备模式）ca ca.crt,cert server.crt,key server.key（指向刚生成的证书）dh dh.pem（Diffie-Hellman参数）tls-auth ta.key 0（启用TLS认证）server 10.8.0.0 255.255.255.0（分配给客户端的IP段）push "redirect-gateway def1 bypass-dhcp"（强制客户端流量走VPN）
第六步：启用IP转发和配置iptables规则
为了让客户端能访问外网,需开启IP转发：
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf sysctl -p
然后添加NAT规则：
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
第七步：启动服务并设置开机自启
systemctl enable openvpn@server systemctl start openvpn@server
第八步：创建客户端配置文件
每个用户都需要一个.ovpn配置文件，包含服务器地址、证书路径、认证方式等，可以使用easyrsa为每个用户生成单独的客户端证书：
./easyrsa gen-req client1 nopass ./easyrsa sign-req client client1
将生成的证书、密钥和服务器IP整合进客户端配置文件，即可在Windows、macOS或移动设备上使用OpenVPN客户端连接。
将服务器设置为VPN不仅提升了远程访问的安全性，还为企业提供了灵活的IT管理能力，虽然过程涉及多个步骤，但只要按照规范操作，就能构建出稳定可靠的私有网络通道，建议定期更新证书、监控日志，并结合防火墙策略进行精细化控制,确保网络安全无虞。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
