首页 / VPN翻墙 / Linux系统下搭建与配置VPN服务的完整指南，从安装到安全优化

Linux系统下搭建与配置VPN服务的完整指南，从安装到安全优化

hk258369 2026-05-27 3 0

在当今远程办公和跨地域访问日益普遍的背景下,虚拟私人网络（VPN）已成为Linux用户保障网络安全、绕过地理限制或访问内网资源的重要工具，无论你是企业IT管理员、开发者还是普通家庭用户，掌握在Linux上安装与配置VPN服务都是一项实用技能，本文将详细介绍如何在主流Linux发行版（如Ubuntu、CentOS或Debian）中部署OpenVPN或WireGuard，涵盖安装步骤、配置文件编写、防火墙设置以及安全性优化建议。

选择合适的VPN协议至关重要,OpenVPN历史悠久、兼容性强，适合大多数场景；而WireGuard则以高性能、轻量级著称，是近年来备受推崇的新一代协议，以Ubuntu 22.04为例，我们以OpenVPN为例进行演示：

更新系统并安装OpenVPN
打开终端，执行以下命令：
```
sudo apt update && sudo apt install openvpn easy-rsa -y
```
easy-rsa 是用于生成证书和密钥的工具包，是OpenVPN认证体系的核心。

生成证书与密钥
进入EasyRSA目录并初始化PKI（公钥基础设施）：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
sudo ./easyrsa init-pki
sudo ./easyrsa build-ca nopass  # 创建根CA证书，无需密码
sudo ./easyrsa gen-req server nopass  # 生成服务器证书请求
sudo ./easyrsa sign-req server server  # 签署服务器证书
sudo ./easyrsa gen-req client1 nopass  # 为客户端生成证书
sudo ./easyrsa sign-req client client1  # 签署客户端证书
sudo ./easyrsa gen-dh  # 生成Diffie-Hellman参数

配置OpenVPN服务器
复制模板配置文件并编辑：
```
sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/
sudo nano /etc/openvpn/server.conf
```
关键配置项包括：
- port 1194：指定端口（默认UDP）
- proto udp：使用UDP协议提升性能
- dev tun：创建隧道接口
- ca /etc/openvpn/easy-rsa/pki/ca.crt
- cert /etc/openvpn/easy-rsa/pki/issued/server.crt
- key /etc/openvpn/easy-rsa/pki/private/server.key
- dh /etc/openvpn/easy-rsa/pki/dh.pem
- server 10.8.0.0 255.255.255.0：分配IP段给客户端
- push "redirect-gateway def1 bypass-dhcp"：强制客户端流量通过VPN

启用IP转发与防火墙规则
启用内核转发：

echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

配置iptables：

sudo iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT
sudo iptables -A FORWARD -i tun0 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE