首页/VPN梯子/CentOS系统下搭建OpenVPN服务完整指南，从配置到安全优化

CentOS系统下搭建OpenVPN服务完整指南，从配置到安全优化

VPN梯子 06 May 2026

在当今企业网络架构日益复杂的背景下,远程访问和安全通信成为刚需，CentOS作为一款稳定、可靠的Linux发行版，广泛应用于服务器环境中，而OpenVPN则因其开源、灵活且安全性高的特性，成为构建虚拟专用网络（VPN）的首选方案之一，本文将详细介绍如何在CentOS 7或8系统中从零开始搭建一个功能完整的OpenVPN服务，并涵盖证书生成、防火墙配置、客户端连接以及性能与安全优化建议。

确保你拥有一个运行CentOS的服务器（推荐使用最小化安装版本），并具备root权限或sudo权限，我们以CentOS 7为例进行演示，第一步是更新系统并安装必要的依赖包：

yum update -y
yum install epel-release -y
yum install openvpn easy-rsa -y

我们使用Easy-RSA工具来生成PKI（公钥基础设施）证书，这一步至关重要，它为服务器和客户端提供身份验证和加密通道的基础：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
cp vars.example vars

编辑vars文件，设置你的组织信息（如国家、省份、公司名等），然后执行以下命令生成CA证书、服务器证书和客户端证书：

source ./vars
./clean-all
./build-ca
./build-key-server server
./build-key client1
./build-dh

服务器端的证书已准备就绪,我们将这些文件复制到OpenVPN配置目录：

cp ca.crt ca.key server.crt server.key dh2048.pem /etc/openvpn/

创建主配置文件/etc/openvpn/server.conf如下（可根据需求调整端口、协议、子网等）：

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh2048.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
comp-lzo
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3

配置完成后,启动OpenVPN服务并设置开机自启：

systemctl start openvpn@server
systemctl enable openvpn@server

你需要开放防火墙中的UDP 1194端口（若启用SELinux，请确保规则允许）：

firewall-cmd --permanent --add-port=1194/udp
firewall-cmd --reload

为了使客户端能成功连接,还需将ca.crt、client1.crt和client1.key打包成.ovpn配置文件，并分发给用户，示例客户端配置文件如下：

client
dev tun
proto udp
remote your-server-ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
comp-lzo
verb 3

安全优化不能忽视,建议：