首页/半仙加速器/服务器搭建VPN详解，从零开始实现安全远程访问

服务器搭建VPN详解，从零开始实现安全远程访问

半仙加速器 04 May 2026

作为一名网络工程师,我经常被问到：“怎么在自己的服务器上搭建一个VPN？”这个问题看似简单，实则涉及网络安全、配置细节和运维经验，本文将带你从零开始，在Linux服务器上部署一个稳定、安全的OpenVPN服务，让你无论身处何地都能安全地访问内网资源。

明确你的需求：你是为了远程办公？还是想加密访问家庭NAS？或者为多设备提供统一接入通道？根据用途不同，选择的方案也不同，这里我们以最常用的OpenVPN为例，它开源、成熟、支持多种认证方式（如用户名密码+证书），非常适合个人或中小企业使用。

第一步：准备服务器环境
你需要一台运行Linux（推荐Ubuntu 20.04/22.04或CentOS Stream）的云服务器或本地物理机，确保有公网IP，并开放UDP端口1194（OpenVPN默认端口），建议使用防火墙工具如UFW（Ubuntu）或firewalld（CentOS）进行端口管理，同时开启IP转发功能：

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
sysctl -p

第二步：安装OpenVPN及相关工具
在Ubuntu系统中执行以下命令：

sudo apt update && sudo apt install openvpn easy-rsa -y

Easy-RSA是用于生成证书和密钥的工具，它是OpenVPN身份验证的核心组件。

第三步：配置PKI（公钥基础设施）
进入Easy-RSA目录并初始化证书颁发机构（CA）：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
./easyrsa init-pki
./easyrsa build-ca nopass

接下来生成服务器证书和密钥：

./easyrsa gen-req server nopass
./easyrsa sign-req server server

然后为客户端生成证书（每台设备都需要单独证书）：

./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

第四步：配置OpenVPN服务端
创建主配置文件 /etc/openvpn/server.conf如下：

port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3

第五步：启动并测试
启用OpenVPN服务：

sudo systemctl enable openvpn@server
sudo systemctl start openvpn@server

你可以将客户端证书（client1.crt、client1.key）和CA证书（ca.crt）打包成.ovpn文件，用OpenVPN客户端连接即可。

注意事项：

定期更新证书,避免过期；
使用强密码保护私钥；
建议结合fail2ban防止暴力破解；
若需多用户,可批量生成证书并分发。

搭建服务器上的VPN并非难事,但必须重视安全性与稳定性，通过以上步骤，你可以拥有一个专属于自己的私有网络通道，无论是远程办公、访问内网服务，还是增强数据传输加密，都游刃有余，安全不是一次性的设置，而是持续的维护，作为网络工程师，我建议你养成定期审计日志、更新软件版本的习惯——这才是真正的“稳如老狗”。

服务器搭建VPN详解，从零开始实现安全远程访问