在当今数字化办公环境中，远程访问公司内部资源已成为常态，无论是员工居家办公、分支机构互联，还是移动设备接入内网，虚拟私人网络（VPN）都是保障数据传输安全的核心技术，对于局域网（LAN）环境下的企业或中小型企业来说，正确配置一个稳定、安全的VPN服务，不仅能提升工作效率，还能有效防止敏感信息泄露，本文将详细介绍如何在局域网中部署和配置一台基于OpenVPN的服务器，实现安全、可控的远程访问。
明确你的网络拓扑结构至关重要，假设你有一个标准的局域网，IP段为192.168.1.0/24，路由器已分配DHCP地址，并具备公网IP（如1.1.1.1），你需要一台运行Linux系统的服务器（如Ubuntu Server 22.04），作为OpenVPN服务端，该服务器可以是物理机或虚拟机，但必须确保能被外部网络访问，即公网IP可直接访问其开放端口（默认UDP 1194）。
第一步是安装OpenVPN及相关工具,使用命令行执行：
sudo apt update && sudo apt install openvpn easy-rsa -y
生成证书和密钥，Easy-RSA是OpenVPN官方推荐的PKI（公钥基础设施）工具，通过以下步骤完成CA（证书颁发机构）、服务器证书和客户端证书的创建：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa ./easyrsa init-pki ./easyrsa build-ca nopass # 创建CA，无需密码 ./easyrsa gen-req server nopass # 生成服务器证书请求 ./easyrsa sign-req server server # 签署服务器证书 ./easyrsa gen-dh # 生成Diffie-Hellman参数
第二步，配置OpenVPN服务器主文件，编辑 /etc/openvpn/server.conf,关键配置如下：
port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3此配置启用TUN模式（点对点隧道），分配子网10.8.0.0/24给客户端，强制所有流量经由VPN路由（redirect-gateway）,并推送DNS解析地址。
第三步，配置防火墙与NAT转发，若使用UFW，需允许UDP 1194端口：
sudo ufw allow 1194/udp
在Linux服务器上启用IP转发和iptables规则,使客户端能访问局域网资源：
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf sysctl -p iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
为每个客户端生成唯一证书和配置文件（如用openvpn --genkey --secret ta.key生成TLS认证密钥）,分发给用户。
完成以上步骤后,启动OpenVPN服务：
sudo systemctl enable openvpn@server sudo systemctl start openvpn@server
至此，你已在局域网成功部署了一个可扩展、高安全性的OpenVPN服务，它不仅支持多用户并发连接，还可通过日志监控、IP白名单等策略进一步增强安全性，建议定期更新证书、升级软件版本，并结合入侵检测系统（IDS）进行防护，对于更高要求的企业场景,可考虑使用WireGuard替代OpenVPN以获得更优性能。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
