在当前远程办公、分布式团队日益普遍的背景下，如何安全地访问公司内网资源成为许多企业和个人用户的刚需，传统方式如远程桌面（RDP）或跳板机存在安全隐患和配置复杂的问题，而使用简易VPN（虚拟私人网络）则是一种既高效又经济的解决方案，本文将详细介绍如何基于OpenVPN协议，在Linux服务器上快速搭建一个简易但功能完整的个人/小型企业级VPN服务，适合没有专业网络背景的用户轻松上手。
准备工作必不可少,你需要一台运行Linux系统的云服务器（推荐Ubuntu 20.04或22.04 LTS），并确保其公网IP地址可用，建议购买一个域名（如vpn.example.com）用于后续配置SSL证书，提升安全性与易用性，如果你只是测试用途，也可以直接用IP访问。
第一步是安装OpenVPN及相关工具,登录服务器后，执行以下命令：
sudo apt update && sudo apt install openvpn easy-rsa -y
生成PKI（公钥基础设施）证书和密钥，这一步是整个VPN安全性的核心，运行：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa sudo ./easyrsa init-pki sudo ./easyrsa build-ca nopass # 创建根证书，无需密码 sudo ./easyrsa gen-req server nopass # 生成服务器证书 sudo ./easyrsa sign-req server server # 签署服务器证书 sudo ./easyrsa gen-req client1 nopass # 为客户端生成证书（可多用户） sudo ./easyrsa sign-req client client1
完成后,复制关键文件到OpenVPN配置目录：
sudo cp pki/ca.crt pki/private/server.key pki/issued/server.crt /etc/openvpn/
第二步是配置服务器主文件 /etc/openvpn/server.conf，这是一个简化版本，可根据需求扩展：
port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3注意：push "redirect-gateway" 会强制客户端所有流量走VPN隧道，适合需要加密访问外网的情况；若只想访问内网，可删除该行。
第三步,启用IP转发和防火墙规则，编辑 /etc/sysctl.conf，取消注释：
net.ipv4.ip_forward=1然后执行 sudo sysctl -p 生效，再配置iptables：
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE sudo iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT sudo iptables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
启动OpenVPN服务：
sudo systemctl enable openvpn@server sudo systemctl start openvpn@server
你可以在本地电脑使用OpenVPN客户端导入客户端证书（client1.crt、client1.key、ca.crt），连接服务器IP即可实现加密通信，若配置了域名，还可使用TLS认证进一步增强安全性。
这个简易VPN方案成本极低（仅需云服务器月费约$5），适合作为家庭办公、小团队协作或临时内网穿透的解决方案，虽然功能简单，但通过合理配置，完全可以满足日常安全访问需求，对于有更高要求的场景（如负载均衡、多节点部署），可进一步扩展为OpenVPN + HAProxy架构，网络安全无小事，务必定期更新证书和系统补丁，确保长期稳定运行。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
