!bin/bash

免费vpn 22 March 2026

手把手教你用脚本搭建安全高效的VPN服务——从零开始的网络工程师实践指南

作为一名网络工程师,我经常被客户或同事问到：“能不能快速部署一个稳定、安全的VPN服务？”尤其是在远程办公日益普及的今天，一个可靠的个人或企业级VPN解决方案显得尤为重要，本文将带你一步步通过脚本自动化方式搭建一个基于OpenVPN的私有VPN服务，无需手动配置繁琐步骤，只需执行一段Shell脚本即可完成环境准备、证书生成、服务启动和防火墙规则设置。

我们需要明确目标：搭建一个支持多用户登录、使用TLS加密、具备良好性能且易于维护的OpenVPN服务器，我们选用Ubuntu 20.04/22.04作为操作系统，因为其社区支持强、文档丰富，适合自动化运维场景。

第一步是准备脚本环境,我们将编写一个名为setup_vpn.sh的Bash脚本，它包含以下核心功能模块：

系统更新与依赖安装
脚本会自动运行 apt update && apt upgrade -y，并安装OpenVPN、Easy-RSA（用于证书管理）、iptables或ufw（防火墙工具）等必要组件。
证书生成自动化
使用Easy-RSA工具一键生成CA根证书、服务器证书和客户端证书模板，这一步是OpenVPN安全性的关键——没有正确签发的证书，连接将被拒绝，脚本会自动配置证书有效期、密钥长度（推荐2048位RSA或更安全的ECC），并保存在/etc/openvpn/easy-rsa/目录下。
配置文件自动生成
脚本会根据预设参数（如IP段、端口、加密协议）生成server.conf主配置文件，设定push "redirect-gateway def1 bypass-dhcp"可使客户端流量全部走VPN隧道；启用tls-auth增强抗重放攻击能力。
防火墙规则配置
自动开启IP转发（net.ipv4.ip_forward=1），并配置iptables规则允许UDP 1194端口（默认OpenVPN端口）入站，同时设置NAT规则让内部网络访问外网时使用VPN出口IP。
服务启动与开机自启
脚本会启动OpenVPN服务，并设置为systemd开机自启，确保系统重启后服务不中断。

完整脚本如下（简化版，实际需处理权限和错误检测）：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
./easyrsa init-pki
./easyrsa build-ca nopass
./easyrsa gen-req server nopass
./easyrsa sign-req server server
cp pki/ca.crt pki/private/server.key /etc/openvpn/
cp -r /etc/openvpn/easy-rsa/pki/* /etc/openvpn/
echo "local 0.0.0.0" > /etc/openvpn/server.conf
echo "port 1194" >> /etc/openvpn/server.conf
echo "proto udp" >> /etc/openvpn/server.conf
echo "dev tun" >> /etc/openvpn/server.conf
echo "ca ca.crt" >> /etc/openvpn/server.conf
echo "cert server.crt" >> /etc/openvpn/server.conf
echo "key server.key" >> /etc/openvpn/server.conf
echo "dh dh.pem" >> /etc/openvpn/server.conf
echo "server 10.8.0.0 255.255.255.0" >> /etc/openvpn/server.conf
echo "push \"redirect-gateway def1 bypass-dhcp\"" >> /etc/openvpn/server.conf
echo "keepalive 10 120" >> /etc/openvpn/server.conf
echo "comp-lzo" >> /etc/openvpn/server.conf
echo "user nobody" >> /etc/openvpn/server.conf
echo "group nogroup" >> /etc/openvpn/server.conf
echo "persist-key" >> /etc/openvpn/server.conf
echo "persist-tun" >> /etc/openvpn/server.conf
echo "status openvpn-status.log" >> /etc/openvpn/server.conf
echo "verb 3" >> /etc/openvpn/server.conf
sysctl net.ipv4.ip_forward=1
iptables -A INPUT -p udp --dport 1194 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
ufw allow 1194/udp
systemctl enable openvpn@server
systemctl start openvpn@server

执行此脚本前,请确保你拥有root权限，并已开放云服务器或本地路由器的1194端口，部署完成后，你可以导出客户端配置文件（.ovpn），分发给用户使用，整个过程可在10分钟内完成，比传统手动配置快5倍以上。

通过脚本化部署,不仅提升了效率，还降低了人为错误风险，这对于需要频繁部署测试环境或批量管理多个站点的企业来说，无疑是巨大的生产力提升，安全始终是第一位的——定期更新证书、监控日志、限制用户权限，才能真正构建一个“安全+高效”的VPN体系。

!bin/bash