LEDE路由器搭建OpenVPN服务的完整指南，从零开始实现安全远程访问

在当今数字化办公和家庭网络日益普及的背景下，通过虚拟私人网络（VPN）实现远程访问内网资源变得越来越重要，LEDE（Linux Embedded Development Environment）作为OpenWrt的一个分支，因其轻量级、高度可定制和强大的功能而广受网络爱好者与专业工程师青睐，本文将详细介绍如何在LEDE路由器上部署OpenVPN服务，让你轻松构建一个稳定、安全的远程访问通道。

准备工作必不可少，你需要一台运行LEDE固件的路由器（如TP-Link TL-WR840N、Netgear WNDR3700等），并通过SSH或Web界面登录到路由器系统，建议使用SSH连接以获得更高的控制权，确保你的LEDE版本支持OpenVPN，一般而言，LEDE 17.01及以上版本都已内置OpenVPN支持。

我们进入核心配置阶段，第一步是安装OpenVPN及相关工具包,在命令行中执行以下指令：

opkg update
opkg install openvpn-openssl

安装完成后，需要生成证书和密钥，这一步至关重要，因为它决定了整个VPN服务的安全性，推荐使用Easy-RSA脚本进行管理，你可以从LEDE的官方仓库获取Easy-RSA工具包,或者手动创建PKI目录结构：

mkdir -p /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
cp -r /usr/share/easy-rsa/* .

然后编辑vars文件，设置国家、组织名称、常见名等信息，

export KEY_COUNTRY="CN"
export KEY_PROVINCE="Beijing"
export KEY_CITY="Beijing"
export KEY_ORG="MyCompany"
export KEY_EMAIL="admin@example.com"

接着执行初始化并生成CA证书：

./clean-all
./build-ca

随后生成服务器证书和密钥：

./build-key-server server

客户端证书同样需要生成，每个用户应拥有独立的证书,便于权限管理和撤销：

./build-key client1

生成Diffie-Hellman参数和TLS认证密钥（用于增强加密强度）：

./build-dh
openvpn --genkey --secret ta.key

完成证书体系后，我们编写OpenVPN服务器配置文件，新建 /etc/openvpn/server.conf如下：

port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh /etc/openvpn/easy-rsa/keys/dh2048.pem
server 10.8.0.0 255.255.255.0
push "route 192.168.1.0 255.255.255.0"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
tls-auth /etc/openvpn/easy-rsa/keys/ta.key 0

push "route ..." 是关键指令，它告诉客户端如何访问本地局域网，若你希望客户端能访问内部设备（如NAS、摄像头等）,请确保该网段正确无误。

保存配置后,启动OpenVPN服务：