首页 / 半仙VPN / 生成CA私钥和证书

生成CA私钥和证书

hk258369 2026-05-18 4 0

手把手教你用华硕RT-AC66U路由器设置OpenVPN服务，轻松实现家庭网络加密与远程访问

作为一名网络工程师，在日常工作中经常会遇到客户希望在家中搭建一个安全、稳定的远程访问通道，用于访问NAS、监控摄像头或远程办公，华硕RT-AC66U作为一款广受欢迎的中端双频千兆无线路由器，不仅性能稳定，还支持丰富的第三方固件（如DD-WRT、Tomato）和原生OpenVPN功能，本文将详细介绍如何在华硕RT-AC66U上配置OpenVPN服务器,让你的家庭网络也能拥有企业级的安全防护。

确保你已具备以下条件：

一台运行华硕官方固件（如ASUSWRT-Merlin或原厂固件）的RT-AC66U；
一个公网IP地址（建议使用动态DNS服务如No-IP或DynDNS，避免IP变动导致连接失败）；
一台电脑用于生成证书和配置客户端；
熟悉基本的命令行操作（如使用OpenSSL生成密钥对）；

第一步：登录路由器管理界面
打开浏览器，输入路由器IP（通常是192.168.1.1），用管理员账号密码登录，进入“网络设置” > “虚拟私人网络（VPN）” > “OpenVPN服务器”。

第二步：启用OpenVPN服务器
勾选“启用OpenVPN服务器”，然后选择协议为UDP（推荐）或TCP，端口默认是1194，若冲突可修改为其他端口（如12345），协议选择“TLS”模式，并开启“客户端到客户端通信”（如果需要局域网内设备互通）。

第三步：生成证书和密钥
这是最关键的一步，推荐使用OpenSSL工具生成完整的证书体系，包括CA证书、服务器证书、客户端证书和密钥，你可以使用Windows下的Git Bash或Linux系统执行如下命令：

openssl req -new -x509 -days 3650 -key ca.key -out ca.crt
# 生成服务器证书和密钥
openssl genrsa -out server.key 2048
openssl req -new -key server.key -out server.csr
openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt
# 生成客户端证书和密钥（每个客户端需单独生成）
openssl genrsa -out client.key 2048
openssl req -new -key client.key -out client.csr
openssl x509 -req -days 3650 -in client.csr -CA ca.crt -CAkey ca.key -set_serial 02 -out client.crt

第四步：上传证书并配置客户端
将生成的ca.crt、server.crt、server.key、client.crt和client.key文件通过FTP或Web界面上传至路由器的“OpenVPN服务器”页面的对应字段，注意格式必须为PEM格式,且不能包含中文注释。

第五步：设置防火墙规则
进入“防火墙” > “自定义规则”，添加如下规则允许UDP 1194端口入站流量，并允许从VPN子网（如10.8.0.0/24）访问内部网络。

第六步：测试客户端连接
使用OpenVPN Connect客户端软件导入生成的.ovpn配置文件（内容包含CA、证书、密钥和服务器地址），连接成功后即可获得一个虚拟IP（如10.8.0.2）,此时你可以通过该IP访问家庭局域网内的任意设备。

小贴士：