作为一名网络工程师，我经常被问到如何在家庭或小型办公环境中部署一个既安全又高效的虚拟私人网络（VPN）服务，LEDE（Linux Embedded Development Environment）作为OpenWrt的前身项目，如今已并入OpenWrt社区，但其稳定性和强大的功能依然深受用户喜爱，尤其适合用于老旧路由器的固件升级和高级网络功能定制，本文将手把手教你如何在LEDE系统中搭建一个基于OpenVPN的客户端-服务器架构,实现远程访问内网资源的安全通道。
第一步：准备工作
你需要一台支持LEDE固件的路由器（如TP-Link TL-WR840N、Netgear WNDR3700等），并确保设备已经刷入LEDE最新版本固件（推荐使用LEDE 17.01.x系列，兼容性好），通过SSH登录路由器（默认IP为192.168.1.1，用户名root，密码为空或你自定义的密码）,进入命令行环境后执行以下操作：
opkg update opkg install openvpn-openssl ca-certificates
第二步：生成证书与密钥
为了保障通信加密，我们使用EasyRSA工具生成CA证书和服务器/客户端证书,首先安装EasyRSA：
opkg install easy-rsa
然后初始化PKI目录：
mkdir -p /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa easyrsa init-pki
接下来生成CA证书：
easyrsa build-ca nopass
生成服务器证书：
easyrsa gen-req server nopass easyrsa sign-req server server
最后生成客户端证书（每个用户一张）：
easyrsa gen-req client1 nopass easyrsa sign-req client client1
生成完成后，将ca.crt、server.crt、server.key、dh.pem复制到/etc/openvpn/目录下,这些是OpenVPN服务器启动所需的核心文件。
第三步：配置OpenVPN服务端
创建配置文件/etc/openvpn/server.conf如下：
port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3注意：push "redirect-gateway"会将所有流量重定向至VPN隧道，适合远程访问内网；若只想访问特定子网，请删除此行并添加push "route 192.168.1.0 255.255.255.0"。
第四步：启动与测试
保存配置后,启动服务：
/etc/init.d/openvpn start /etc/init.d/openvpn enable
此时可通过手机或电脑上的OpenVPN客户端导入client1.ovpn配置文件（需包含ca.crt、client1.crt、client1.key）,连接成功后即可访问本地局域网资源。
第五步：优化与安全建议
- 设置防火墙规则（iptables）限制仅允许来自公网IP的UDP 1194端口访问；
- 启用日志记录便于排查问题；
- 定期更新证书（建议每1年更换一次）；
- 使用静态IP分配给客户端,避免DHCP冲突；
- 若需多用户接入,可批量生成客户端证书并分发。
LEDE + OpenVPN组合不仅成本低廉，而且灵活可控，非常适合技术爱好者和中小企业部署私有网络通道，只要遵循上述步骤，你就能快速拥有一个稳定、安全的远程访问解决方案，网络安全无小事,定期维护和监控才是长久之道。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
