Ubuntu/Debian

khdsff1 2026-05-08 7 0

手把手教你用OpenVPN搭建企业级安全远程访问网络（附代码与配置详解）

作为一名资深网络工程师，我经常被客户问到：“如何在不暴露内网的情况下安全地远程访问公司资源？”答案就是——部署一个稳定、加密且可管理的虚拟专用网络（VPN），我将带你一步步用开源工具 OpenVPN 搭建一个企业级的远程接入系统，不仅代码清晰,还附带详细配置说明和常见问题排查技巧。

确保你有一台运行 Linux 的服务器（推荐 Ubuntu 20.04 或 CentOS Stream 8），并具备公网 IP 地址，我们使用 OpenVPN 的官方社区版,免费且成熟稳定。

第一步：安装 OpenVPN 和 Easy-RSA

# CentOS/RHEL
sudo yum install epel-release -y
sudo yum install openvpn easy-rsa -y

第二步：生成证书和密钥（CA 认证中心）

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
sudo ./easyrsa init-pki
sudo ./easyrsa build-ca nopass  # 不输入密码，适合自动化部署
sudo ./easyrsa gen-req server nopass
sudo ./easyrsa sign-req server server
sudo ./easyrsa gen-req client1 nopass
sudo ./easyrsa sign-req client client1

第三步：生成 Diffie-Hellman 参数（增强安全性）

sudo ./easyrsa gen-dh

第四步：配置 OpenVPN 服务端（/etc/openvpn/server.conf）

port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3

第五步：启用 IP 转发与防火墙规则（Ubuntu 示例）

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
sysctl -p
ufw allow 1194/udp
ufw allow ssh

第六步：启动服务并设置开机自启

systemctl enable openvpn@server
systemctl start openvpn@server

客户端配置文件（client.ovpn）示例：

client
dev tun
proto udp
remote your-server-ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
comp-lzo
verb 3

注意事项：