如何在VPS上搭建安全可靠的VPN服务，从零开始的完整指南

在当今数字化时代,保护在线隐私和绕过地理限制已成为许多用户的基本需求，虚拟专用网络（VPN）正是实现这一目标的关键工具，如果你拥有一个VPS（虚拟私有服务器），它不仅是一个强大的计算资源，还能成为你专属的、安全可控的VPN服务器，本文将详细讲解如何在Linux VPS上搭建一个稳定、安全且高效的OpenVPN服务，适用于个人使用或小团队部署。

确保你已经准备好以下条件：

• 一台运行Ubuntu 20.04/22.04或CentOS 7/8的VPS；
• 一个域名（可选但推荐用于证书管理）；
• 通过SSH连接到你的VPS（建议使用密钥认证而非密码）；
• 确保防火墙允许UDP端口1194（OpenVPN默认端口）或TCP端口443（若需规避审查）；

第一步：更新系统并安装OpenVPN与Easy-RSA
登录VPS后，执行以下命令：

sudo apt update && sudo apt upgrade -y
sudo apt install openvpn easy-rsa -y

第二步：配置PKI（公钥基础设施）
复制Easy-RSA模板到本地目录，并初始化证书颁发机构（CA）：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
./easyrsa init-pki
./easyrsa build-ca nopass  # 创建CA证书，无需密码

第三步：生成服务器证书和密钥

./easyrsa gen-req server nopass
./easyrsa sign-req server server

第四步：生成Diffie-Hellman参数和TLS密钥

./easyrsa gen-dh
openvpn --genkey --secret ta.key

第五步：创建OpenVPN配置文件
在/etc/openvpn/server/目录下新建server.conf如下：

port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
tls-auth /etc/openvpn/ta.key 0
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3

第六步：启用IP转发并配置iptables
编辑/etc/sysctl.conf，取消注释：

net.ipv4.ip_forward=1

然后应用设置：

sysctl -p

配置NAT规则：

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT

第七步：启动并设置开机自启

systemctl enable openvpn@server
systemctl start openvpn@server

最后一步：为客户端生成证书和配置文件
在Easy-RSA目录中运行：

./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

将生成的ca.crt、client1.crt、client1.key及ta.key打包下载，用于客户端配置（如Windows、Android、iOS等）。

至此,你的VPS已成功部署为一个安全的OpenVPN服务器，相比商业服务，自建VPS VPN更灵活、隐私更强，也更适合技术爱好者深入学习网络架构与加密原理，记住定期备份证书和日志，保持系统更新，才能长期稳定运行。

半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速