在现代企业办公和家庭网络环境中,远程访问局域网资源（如文件服务器、打印机、监控摄像头等）已成为刚需，传统方式如直接暴露内网服务到公网存在巨大安全隐患，而通过搭建局域网VPN（虚拟私人网络），可以在加密通道中实现安全、稳定、可控的远程访问，本文将详细介绍如何基于OpenVPN或WireGuard协议，在Linux服务器上构建一个适用于中小型局域网的私有VPN系统，帮助你轻松实现远程办公、设备互访和数据隔离。
明确目标：我们希望在局域网内的任意设备（如PC、NAS、路由器）可以通过互联网安全地连接到本地网络，并像身处办公室一样访问内部资源，这需要两部分支持：一是部署一台运行VPN服务的服务器（可为物理机、云主机或树莓派），二是配置客户端连接参数并确保防火墙策略正确。
以OpenVPN为例,第一步是准备环境，推荐使用Ubuntu Server 20.04或更高版本作为服务器操作系统，安装OpenVPN及相关工具包：
sudo apt update && sudo apt install openvpn easy-rsa -y
接着生成证书和密钥（CA证书用于身份验证），使用EasyRSA工具初始化PKI环境并创建服务器证书、客户端证书和DH参数（用于密钥交换）：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa sudo ./easyrsa init-pki sudo ./easyrsa build-ca nopass # 不设置密码的CA根证书 sudo ./easyrsa gen-req server nopass sudo ./easyrsa sign-req server server sudo ./easyrsa gen-dh sudo cp pki/ca.crt pki/dh.pem pki/issued/server.crt /etc/openvpn/
然后配置OpenVPN服务端口（默认1194）、协议（UDP更高效）、子网分配（如10.8.0.0/24）和加密算法（AES-256-GCM），编辑/etc/openvpn/server.conf，添加以下关键配置：
port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3重启服务并启用开机自启：
sudo systemctl enable openvpn@server sudo systemctl start openvpn@server
为每个客户端生成证书（用./easyrsa gen-req client1 nopass 和 sign-req client client1），并将client1.ovpn配置文件分发至客户端设备，该文件包含连接信息、证书、密钥和DNS设置，可在Windows、macOS、Android或iOS上直接导入使用。
为了进一步提升安全性,建议开启防火墙规则（如ufw）允许1194端口，并启用NAT转发使客户端能访问外网，同时定期更新证书有效期（通常1年），避免因过期导致连接中断。
如果你追求更高性能与更低延迟,WireGuard是更现代的选择，配置简洁且原生支持UDP快速握手，适合移动场景，但OpenVPN在兼容性和成熟度上仍有优势。
搭建局域网VPN不仅解决了远程访问难题,更是网络安全的第一道防线，掌握这一技能，无论你是IT管理员还是家庭用户，都能在保障隐私的同时，享受无缝的远程协作体验。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
