CentOS下搭建OpenVPN服务详解，实现安全远程访问的完整指南

在现代企业网络环境中，远程访问内网资源已成为常态，无论是员工出差、家庭办公还是跨地域协作，安全可靠的虚拟专用网络（VPN）解决方案必不可少，CentOS作为一款稳定且广泛应用于服务器环境的Linux发行版，是部署OpenVPN服务的理想平台，本文将详细介绍如何在CentOS 7或8系统中配置OpenVPN服务，以实现加密、安全的远程连接。

确保你已准备好一台运行CentOS的服务器，并具备root权限，我们以CentOS 8为例进行说明（CentOS 7操作类似），第一步是安装必要的软件包,使用以下命令更新系统并安装OpenVPN及相关依赖：

sudo dnf update -y
sudo dnf install openvpn easy-rsa -y

我们需要生成证书和密钥，这是OpenVPN身份认证的核心，Easy-RSA是一个用于管理PKI（公钥基础设施）的工具，可自动创建CA证书、服务器证书和客户端证书,执行以下步骤：

1. 复制Easy-RSA模板到指定目录：

   sudo cp -r /usr/share/easy-rsa/ /etc/openvpn/
   cd /etc/openvpn/easy-rsa/

2. 编辑vars文件，设置你的组织信息（如国家、省份、组织名等）,然后初始化PKI环境：

   sudo ./easyrsa init-pki
   sudo ./easyrsa build-ca nopass

3. 生成服务器证书和密钥：

   sudo ./easyrsa gen-req server nopass
   sudo ./easyrsa sign-req server server

4. 生成客户端证书（每个客户端需要单独生成）：

   sudo ./easyrsa gen-req client1 nopass
   sudo ./easyrsa sign-req client client1

5. 生成Diffie-Hellman参数和TLS密钥（用于增强安全性）：

   sudo ./easyrsa gen-dh
   sudo openvpn --genkey --secret ta.key

完成证书生成后,复制相关文件到OpenVPN配置目录：

sudo cp pki/ca.crt pki/private/server.key pki/issued/server.crt pki/dh.pem ta.key /etc/openvpn/

现在配置OpenVPN服务器，编辑主配置文件 /etc/openvpn/server.conf如下（可根据需求调整端口、子网等）：

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-auth ta.key 0
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
cipher AES-256-CBC
auth SHA256
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
verb 3

保存后,启用并启动OpenVPN服务：

sudo systemctl enable openvpn@server
sudo systemctl start openvpn@server

在防火墙中放行UDP 1194端口（若使用firewalld）：

sudo firewall-cmd --add-port=1194/udp --permanent
sudo firewall-cmd --reload

至此，OpenVPN服务器已成功部署，客户端可通过.ovpn配置文件连接，其中包含CA证书、客户端证书、私钥及服务器地址等信息,用户只需导入配置即可实现安全远程接入。

通过以上步骤，你可以基于CentOS构建一个高性能、高安全性的OpenVPN服务，满足企业级远程访问需求，建议定期更新证书、监控日志,并结合IP白名单策略进一步提升安全性。

VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN