Linux云服务器OpenVPN配置全攻略：从零搭建安全隧道
在数字化时代，远程访问企业资源的需求日益增长。OpenVPN作为开源的VPN解决方案，以其出色的安全性和跨平台兼容性成为企业首选。本文将手把手教您在Linux云服务器上完成OpenVPN的完整配置，包括证书体系搭建、服务端配置和客户端连接等关键步骤。
一、准备工作
1. 服务器要求：推荐使用Ubuntu 20.04/22.04或CentOS 7/8系统，1核CPU/1GB内存即可满足基本需求。
2. 网络准备：确保服务器已开启UDP 1194端口（或自定义端口），建议同时配置防火墙规则：
sudo ufw allow 1194/udp
sudo ufw enable3. 软件安装：通过包管理器安装必要组件：
# Ubuntu/Debian
sudo apt update
sudo apt install openvpn easy-rsa -y
# CentOS/RHEL
sudo yum install epel-release
sudo yum install openvpn easy-rsa -y二、证书权威(CA)配置
OpenVPN采用PKI(公钥基础设施)体系保障通信安全，需先建立证书体系：
sudo mkdir -p /etc/openvpn/easy-rsa
sudo cp -r /usr/share/easy-rsa/* /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa编辑vars文件配置证书参数：
sudo nano vars
# 修改以下关键参数
set_var EASYRSA_REQ_COUNTRY "CN"
set_var EASYRSA_REQ_PROVINCE "Beijing"
set_var EASYRSA_REQ_CITY "Beijing"
set_var EASYRSA_REQ_ORG "YourCompany"
set_var EASYRSA_REQ_EMAIL "admin@yourcompany.com"
set_var EASYRSA_REQ_OU "IT"初始化并生成证书：
sudo ./easyrsa init-pki
sudo ./easyrsa build-ca nopass # 生成CA证书
sudo ./easyrsa gen-req server nopass # 服务器证书
sudo ./easyrsa sign-req server server # 签署服务器证书
sudo ./easyrsa gen-dh # 生成Diffie-Hellman参数三、服务器端配置
1. 基础配置：创建服务器配置文件
sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/
sudo nano /etc/openvpn/server.conf关键配置参数示例：
port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log-append /var/log/openvpn/openvpn.log
verb 32. 启用IP转发：编辑sysctl.conf文件
sudo nano /etc/sysctl.conf
# 取消注释或添加
net.ipv4.ip_forward=1
# 使配置生效
sudo sysctl -p四、客户端配置
1. 生成客户端证书：
cd /etc/openvpn/easy-rsa
sudo ./easyrsa gen-req client1 nopass
sudo ./easyrsa sign-req client client12. 创建客户端配置文件（client.ovpn）：
client
dev tun
proto udp
remote your_server_ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher AES-256-CBC
verb 3
<ca>
[粘贴ca.crt内容]
</ca>
<cert>
[粘贴client1.crt内容]
</cert>
<key>
[粘贴client1.key内容]
</key>五、启动与测试
1. 启动OpenVPN服务：
sudo systemctl start openvpn@server
sudo systemctl enable openvpn@server2. 验证服务状态：
sudo systemctl status openvpn@server
# 检查日志
sudo tail -f /var/log/openvpn/openvpn.log3. 客户端连接测试：
- Windows：使用OpenVPN GUI导入.ovpn文件
- Linux：
sudo openvpn --config client.ovpn - Android/iOS：使用OpenVPN Connect应用
六、高级优化建议
1. 安全强化：
- 启用TLS-auth：防止DoS攻击
- 配置防火墙限制VPN访问IP
- 定期轮换证书
2. 性能优化：
- 启用数据压缩：
comp-lzo - 调整MTU值避免分包
- 多线程处理（OpenVPN 2.4+）
3. 监控维护：
- 配置logrotate管理日志
- 设置监控告警
- 定期备份证书和配置文件
通过上述步骤，您已在Linux云服务器上成功部署了企业级OpenVPN服务。OpenVPN的灵活性允许您根据实际需求调整配置，如添加双因素认证、集成LDAP认证等。建议在生产环境中结合网络监控工具，确保持续稳定的VPN服务。