在现代网络环境中，虚拟私人网络（VPN）已成为远程办公、跨地域访问和数据加密的重要工具，对于使用Ubuntu系统的用户而言，搭建一个稳定、安全且易于管理的OpenVPN服务是实现私密通信的关键步骤，本文将详细介绍如何在Ubuntu 20.04/22.04系统上从零开始部署OpenVPN服务端，并提供客户端配置示例与常见问题排查方法,帮助你快速构建企业级或个人使用的安全网络通道。
第一步：环境准备
确保你的Ubuntu服务器已安装最新系统更新,打开终端执行以下命令：
sudo apt update && sudo apt upgrade -y
接着安装OpenVPN及相关依赖包：
sudo apt install openvpn easy-rsa -y
easy-rsa用于生成SSL/TLS证书,是OpenVPN认证体系的核心组件。
第二步：配置证书颁发机构（CA）
使用easy-rsa创建PKI（公钥基础设施）环境,首先复制模板文件：
make-cadir ~/openvpn-ca cd ~/openvpn-ca
编辑vars文件，设置国家、组织等信息（可按需修改）：
export KEY_COUNTRY="CN" export KEY_PROVINCE="Beijing" export KEY_CITY="Beijing" export KEY_ORG="MyCompany" export KEY_EMAIL="admin@mycompany.com" export KEY_OU="IT Dept"
运行脚本生成CA证书：
./clean-all ./build-ca
此时会提示输入CA名称（默认为“EasyRSA”），确认后即可生成ca.crt和ca.key文件。
第三步：生成服务器证书与密钥
继续执行：
./build-key-server server
此步骤会要求确认是否签署证书，输入yes并确认签名，随后生成server.crt和server.key。
第四步：生成Diffie-Hellman密钥交换参数
这是增强TLS握手安全性的重要步骤：
./build-dh
该过程可能耗时数分钟,请耐心等待。
第五步：配置OpenVPN服务端
将生成的证书文件复制到OpenVPN配置目录：
sudo cp ca.crt server.crt server.key dh.pem /etc/openvpn/
创建主配置文件 /etc/openvpn/server.conf如下（可根据实际需求调整）：
port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
tls-auth ta.key 0
cipher AES-256-CBC
auth SHA256
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3注意：若未生成ta.key,可使用以下命令生成：
openvpn --genkey --secret ta.key
然后将其拷贝至/etc/openvpn/目录。
第六步：启用IP转发与防火墙规则
编辑/etc/sysctl.conf,取消注释以下行以启用IP转发：
net.ipv4.ip_forward=1应用更改：
sudo sysctl -p
配置iptables规则（假设接口为eth0）：
sudo iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT sudo iptables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
保存规则：
sudo iptables-save > /etc/iptables/rules.v4
第七步：启动服务与测试
启动OpenVPN服务：
sudo systemctl enable openvpn@server sudo systemctl start openvpn@server
检查状态：
sudo systemctl status openvpn@server
客户端连接时，需使用.ovpn配置文件，包含ca.crt、tls-auth ta.key及服务器IP地址等信息。
通过以上步骤，你已在Ubuntu系统上成功部署了一个功能完整的OpenVPN服务，后续还可结合fail2ban、日志监控和定时备份进一步提升安全性，无论是远程办公还是内网穿透，这套方案都能为你提供可靠、加密的网络隧道。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
