手把手教你用阿里云搭建安全可靠的VPN服务—从零开始配置OpenVPN服务器

作为一名网络工程师，我经常被客户问到如何在阿里云上快速搭建一个稳定、安全的远程访问通道，今天就来详细分享如何使用阿里云ECS实例（弹性计算服务）部署OpenVPN服务，让你随时随地安全接入内网资源,无论是远程办公还是跨地域访问服务器都变得轻松高效。

准备工作必不可少，你需要拥有一个阿里云账号，并确保已开通ECS服务，推荐选择Ubuntu 20.04或CentOS 7作为操作系统（本文以Ubuntu为例），创建一台ECS实例时，务必选择公网IP地址，且安全组规则要放行端口1194（OpenVPN默认端口）以及SSH端口22（用于登录管理），建议使用密钥对认证方式登录,提升安全性。

第一步：登录ECS实例
通过SSH客户端（如PuTTY或终端命令行）连接你的ECS服务器,执行以下命令更新系统包列表：

sudo apt update && sudo apt upgrade -y

第二步：安装OpenVPN和Easy-RSA
OpenVPN是开源的虚拟私人网络解决方案，支持SSL/TLS加密协议,运行以下命令安装核心组件：

sudo apt install openvpn easy-rsa -y

我们配置证书颁发机构（CA），这是后续客户端连接验证的基础，复制Easy-RSA模板目录：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa

编辑vars文件，设置你的组织信息（如国家、省份、公司名等），这一步非常重要，因为这些信息将嵌入证书中,用于身份识别。

第三步：生成证书和密钥
运行以下命令初始化PKI（公钥基础设施）并生成CA证书：

./easyrsa init-pki
./easyrsa build-ca nopass

然后生成服务器证书和密钥：

./easyrsa gen-req server nopass
./easyrsa sign-req server server

生成客户端证书（每台设备都需要单独生成）：

./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

第四步：配置OpenVPN服务器
复制示例配置文件并修改关键参数：

cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/
sudo nano /etc/openvpn/server.conf

重点修改以下几项：

• port 1194（可改为其他端口避免扫描）
• proto udp（UDP性能更优）
• dev tun
• ca /etc/openvpn/easy-rsa/pki/ca.crt
• cert /etc/openvpn/easy-rsa/pki/issued/server.crt
• key /etc/openvpn/easy-rsa/pki/private/server.key
• dh /etc/openvpn/easy-rsa/pki/dh.pem

第五步：启用IP转发与防火墙规则
开启Linux内核的IP转发功能：

echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

配置iptables规则,允许流量转发并建立NAT：

sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT
sudo iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT

第六步：启动服务并设置开机自启

sudo systemctl start openvpn@server
sudo systemctl enable openvpn@server

将客户端证书（client1.crt）、私钥（client1.key）和CA证书（ca.crt）打包成.ovpn配置文件，供客户端导入使用，Windows用户可用OpenVPN GUI，Android/iOS可用OpenVPN Connect应用。

这套方案不仅成本低（仅需ECS费用），而且安全性高，适合中小型企业或个人用户搭建专属远程访问通道，记住定期更新证书、监控日志、关闭不必要的端口，才能真正实现“安全又自由”的远程办公体验！

VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN