在当今数字化办公日益普及的背景下，越来越多的企业依赖远程访问技术来保障员工的工作效率和数据安全性，虚拟专用网络（VPN）作为实现安全远程连接的核心工具，已经成为企业服务器部署中不可或缺的一环，本文将详细讲解如何在Linux服务器上配置OpenVPN服务，帮助网络工程师快速搭建一个稳定、安全且可扩展的远程访问环境。
第一步：准备工作
确保你拥有一台运行Linux操作系统的服务器（推荐Ubuntu 20.04或CentOS 7以上版本），并具备root权限，你需要一个公网IP地址（静态IP更佳）以及域名解析服务（如阿里云DNS或Cloudflare），用于后续配置证书和客户端连接，建议提前在防火墙（如UFW或firewalld）中开放UDP 1194端口（OpenVPN默认端口）,防止连接被阻断。
第二步：安装OpenVPN及相关工具
以Ubuntu为例，执行以下命令安装OpenVPN和Easy-RSA（用于生成SSL/TLS证书）：
sudo apt update sudo apt install openvpn easy-rsa -y
安装完成后，复制Easy-RSA模板到指定目录，并初始化PKI（公钥基础设施）：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa sudo ./easyrsa init-pki sudo ./easyrsa build-ca nopass
上述步骤会创建根证书颁发机构（CA）,这是后续所有客户端证书验证的基础。
第三步：生成服务器与客户端证书
为服务器生成证书请求并签发：
sudo ./easyrsa gen-req server nopass sudo ./easyrsa sign-req server server
为每个客户端生成独立证书（例如用户“alice”）：
sudo ./easyrsa gen-req alice nopass sudo ./easyrsa sign-req client alice
每生成一个客户端证书，就对应一个可信任的终端设备,这一步是实现多用户分权管理的关键。
第四步：配置服务器端OpenVPN参数
复制示例配置文件并修改：
sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/ sudo nano /etc/openvpn/server.conf
关键修改项包括：
port 1194（端口号）proto udp（协议选择）dev tun（使用隧道模式）ca /etc/openvpn/easy-rsa/pki/ca.crtcert /etc/openvpn/easy-rsa/pki/issued/server.crtkey /etc/openvpn/easy-rsa/pki/private/server.keydh /etc/openvpn/easy-rsa/pki/dh.pem（生成DH参数：sudo ./easyrsa gen-dh）
第五步：启用IP转发与防火墙规则
为了让客户端能访问内网资源,需开启IP转发：
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf sysctl -p
然后配置iptables或nftables规则,允许流量转发并建立NAT：
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -i tun0 -j ACCEPT sudo iptables -A FORWARD -s 10.8.0.0/24 -i eth0 -o tun0 -j ACCEPT
第六步：启动服务并测试连接
启动OpenVPN服务并设置开机自启：
sudo systemctl start openvpn@server sudo systemctl enable openvpn@server
客户端可通过OpenVPN GUI或命令行导入.ovpn配置文件（包含CA、证书、密钥信息）进行连接，成功后，客户端将获得一个私有IP（如10.8.0.x）,并可访问内网服务。
通过以上步骤，你已成功搭建一个基于OpenVPN的企业级服务器VPN，该方案支持多用户认证、加密通信和灵活的访问控制，适用于远程办公、分支机构互联等场景，后续可根据需求升级至WireGuard或结合Zero Trust架构,进一步提升安全性与性能。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
