OpenVPN 服务器搭建与客户端管理实战指南

网络安全 , , , ,

OpenVPN 服务器搭建与客户端管理实战指南

一、引言

OpenVPN 是开源 VPN 领域的事实标准，基于 SSL/TLS 加密，支持 UDP/TCP 双协议，广泛应用于远程办公、内网穿透、跨境安全通信等场景。2026 年的 OpenVPN 2.7.x 版本已经成熟稳定，配合 EasyRSA 3.x 证书管理体系，可以快速搭建安全可靠的 VPN 服务。

本文从零开始，涵盖 OpenVPN 服务器的完整部署、证书管理、客户端配置生成、日常运维和故障排查，所有操作均在 Debian/Ubuntu 系 Linux 上验证通过。

二、架构概览

1
2
3
4
5
6
7
8
9
10
11
12
13
┌─────────────────────────────────────────────────────┐
│                   OpenVPN Server                      │
│  公网 IP: 443/UDP (伪装 HTTPS) 或 1194/UDP (标准)    │
│  虚拟网段: 10.8.0.0/24                                │
│  证书: EasyRSA CA + TLS Crypt v2 + CRL               │
└──────────┬────────────────────────────────────────────┘
           │ VPN Tunnel (tun0)
           │
┌──────────▼──────────┐     ┌──────────▼──────────┐
│   Client A (手机)    │     │   Client B (笔记本)   │
│   10.8.0.2           │     │   10.8.0.3           │
│   .ovpn 配置文件      │     │   .ovpn 配置文件      │
└─────────────────────┘     └─────────────────────┘

核心组件

组件 作用
OpenVPN Server VPN 服务端，管理加密隧道
EasyRSA 证书颁发机构（CA），签发客户端证书
TLS Crypt v2 预共享密钥，防止 TLS 握手被探测
CRL 证书吊销列表，踢出失陷客户端
CCD 客户端配置目录，为不同客户端分配固定 IP

三、前置要求

  • Linux 服务器（本文基于 Debian 12 / Ubuntu 24.04）
  • Root 权限或 sudo 访问
  • 公网 IP（或可路由的 IP）
  • 防火墙开放 UDP 端口（1194 或 443）
  • 基本的 Linux 命令行经验

四、安装 OpenVPN

4.1 安装软件包

1
2
3
4
5
6
7
# Debian/Ubuntu
sudo apt update
sudo apt install -y openvpn easy-rsa

# 验证安装
openvpn --version | head -1
# 输出示例：OpenVPN 2.7.5 x86_64-pc-linux-gnu

4.2 初始化 PKI（公钥基础设施）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
# 创建 EasyRSA 工作目录
make-cadir ~/easy-rsa
cd ~/easy-rsa

# 配置证书参数（可选，默认即可）
cat << 'EOF' > vars
set_var EASYRSA_REQ_COUNTRY    "CN"
set_var EASYRSA_REQ_PROVINCE   "Guangdong"
set_var EASYRSA_REQ_CITY       "Shenzhen"
set_var EASYRSA_REQ_ORG        "HomeLab"
set_var EASYRSA_REQ_EMAIL      "admin@example.com"
set_var EASYRSA_REQ_OU         "IT"
set_var EASYRSA_CERT_RENEW     3650
set_var EASYRSA_ALGO           ec
set_var EASYRSA_CURVE          prime256v1
EOF

# 初始化 PKI
./easyrsa init-pki

# 生成 CA 证书（需要输入 PEM 密码）
./easyrsa build-ca

提示：PEM 密码是 CA 的私钥保护密码，请务必记住。后续签发证书都需要它。

4.3 生成服务端证书

1
2
3
4
5
6
7
8
9
10
11
# 生成服务端证书请求（Common Name 填服务器域名或 IP）
./easyrsa gen-req server nopass

# 用 CA 签发服务端证书
./easyrsa sign-req server server

# 生成 Diffie-Hellman 参数（现代 OpenVPN 用 ECDH，可跳过）
# ./easyrsa gen-dh

# 生成 TLS Crypt v2 密钥（防探测）
openvpn --genkey tls-crypt-v2-server ~/easy-rsa/pki/private/tls-crypt-v2.key

4.4 复制证书到 OpenVPN 目录

1
2
3
4
5
6
7
8
9
10
sudo mkdir -p /etc/openvpn/server

sudo cp ~/easy-rsa/pki/ca.crt /etc/openvpn/server/
sudo cp ~/easy-rsa/pki/issued/server.crt /etc/openvpn/server/
sudo cp ~/easy-rsa/pki/private/server.key /etc/openvpn/server/
sudo cp ~/easy-rsa/pki/private/tls-crypt-v2.key /etc/openvpn/server/

# 初始化 CRL（证书吊销列表）
./easyrsa gen-crl
sudo cp ~/easy-rsa/pki/crl.pem /etc/openvpn/server/

五、服务端配置

5.1 基础配置

/etc/openvpn/server/server.conf：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
# 监听端口和协议
port 1194
proto udp

# 虚拟网卡类型
dev tun

# 证书配置
ca ca.crt
cert server.crt
key server.key
tls-crypt-v2 tls-crypt-v2.key
crl-verify crl.pem

# 加密配置（2026 年推荐的安全参数）
dh none
tls-groups X25519:prime256v1:secp384r1:secp521r1
auth SHA256
cipher AES-128-GCM
data-ciphers AES-128-GCM
ncp-ciphers AES-128-GCM
tls-version-min 1.2
remote-cert-tls client
tls-cipher TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256
tls-ciphersuites TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256

# 虚拟网段
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt

# 推送路由和 DNS
push "dhcp-option DNS 1.0.0.1"
push "dhcp-option DNS 1.1.1.1"
push "redirect-gateway def1 bypass-dhcp"
push "block-ipv6"

# 客户端配置目录（用于固定 IP）
client-config-dir ccd

# 连接保活
keepalive 10 120

# 权限降级
user nobody
group nogroup
persist-key
persist-tun

# 日志
status /var/log/openvpn/status.log
log-append /var/log/openvpn/openvpn.log
verb 3

# 管理接口（可选，用于监控）
management /var/run/openvpn-server/server.sock unix

5.2 创建 CCD 目录

1
sudo mkdir -p /etc/openvpn/server/ccd

5.3 启用 IP 转发

1
2
3
4
5
6
7
8
9
10
11
12
# 开启 IP 转发
echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

# 配置 NAT（假设公网网卡为 eth0）
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -s 10.8.0.0/24 -j ACCEPT
sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

# 持久化 iptables 规则
sudo apt install -y iptables-persistent
sudo netfilter-persistent save

5.4 启动服务

1
2
3
4
5
6
7
8
9
10
# 启动 OpenVPN 服务
sudo systemctl enable openvpn@server
sudo systemctl start openvpn@server

# 检查状态
sudo systemctl status openvpn@server

# 查看虚拟网卡
ip addr show tun0
# 应看到：inet 10.8.0.1/24 scope global tun0

六、客户端管理

6.1 签发客户端证书

1
2
3
4
5
6
7
cd ~/easy-rsa

# 生成客户端证书请求（不需要密码，方便手机导入）
./easyrsa gen-req client-name nopass

# 用 CA 签发
./easyrsa sign-req client client-name

6.2 生成客户端配置文件（.ovpn）

编写客户端配置生成脚本 /usr/local/bin/gen-ovpn.sh：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
#!/bin/bash
# OpenVPN 客户端配置文件生成器
# 用法：sudo bash gen-ovpn.sh <client-name> <server-ip-or-domain>

set -euo pipefail

CLIENT_NAME="${1:?用法: $0 <client-name> <server-ip>}"
SERVER_IP="${2:?用法: $0 <client-name> <server-ip>}"
EASYRSA_DIR="$HOME/easy-rsa"
OUTPUT_DIR="/etc/openvpn/client"

mkdir -p "$OUTPUT_DIR"

# 检查证书是否存在
if [ ! -f "$EASYRSA_DIR/pki/issued/${CLIENT_NAME}.crt" ]; then
    echo "❌ 客户端证书不存在，请先签发："
    echo "   cd $EASYRSA_DIR && ./easyrsa gen-req $CLIENT_NAME nopass"
    echo "   cd $EASYRSA_DIR && ./easyrsa sign-req client $CLIENT_NAME"
    exit 1
fi

# 生成 TLS Crypt v2 客户端密钥
openvpn --genkey tls-crypt-v2-client \
    --tls-crypt-v2 "$EASYRSA_DIR/pki/private/tls-crypt-v2.key" \
    --tls-crypt-v2-verify-client "$EASYRSA_DIR/pki/private/tls-crypt-v2.key"

cat > "${OUTPUT_DIR}/${CLIENT_NAME}.ovpn" << EOF
# OpenVPN 客户端配置 — ${CLIENT_NAME}
# 生成时间: $(date '+%Y-%m-%d %H:%M:%S')

client
dev tun
proto udp
remote ${SERVER_IP} 1194
resolv-retry infinite
nobind

remote-cert-tls server

# 加密参数
cipher AES-128-GCM
data-ciphers AES-128-GCM
auth SHA256
tls-version-min 1.2

# 持久化
persist-key
persist-tun

# 日志
verb 3

<ca>
$(cat "$EASYRSA_DIR/pki/ca.crt")
</ca>

<cert>
$(sed -n '/BEGIN CERTIFICATE/,/END CERTIFICATE/p' "$EASYRSA_DIR/pki/issued/${CLIENT_NAME}.crt")
</cert>

<key>
$(cat "$EASYRSA_DIR/pki/private/${CLIENT_NAME}.key")
</key>

<tls-crypt-v2>
$(cat "$EASYRSA_DIR/pki/private/tls-crypt-v2.key")
</tls-crypt-v2>
EOF

echo "✅ 客户端配置文件已生成：${OUTPUT_DIR}/${CLIENT_NAME}.ovpn"

使用示例：

1
sudo bash /usr/local/bin/gen-ovpn.sh beidou vpn.example.com

6.3 一键新增客户端脚本

更完整的脚本，包含自动签发证书：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
#!/bin/bash
# add-openvpn-client.sh — 一键新增 OpenVPN 客户端
# 用法：sudo bash add-openvpn-client.sh <client-name> [server-ip]

set -euo pipefail

CLIENT_NAME="${1:?用法: $0 <client-name> [server-ip]}"
SERVER_IP="${2:-$(curl -s ifconfig.me)}"  # 自动获取公网 IP
EASYRSA_DIR="$HOME/easy-rsa"
OUTPUT_DIR="/etc/openvpn/client"

# 检查是否 root
if [ "$EUID" -ne 0 ]; then
    echo "❌ 请以 root 身份运行（sudo）"
    exit 1
fi

mkdir -p "$OUTPUT_DIR"

# 切换到 easy-rsa 用户
EASYRSA_USER=$(stat -c '%U' "$EASYRSA_DIR")

echo "🔑 签发客户端证书: ${CLIENT_NAME}..."

# 生成证书请求
su - "$EASYRSA_USER" -c "cd $EASYRSA_DIR && ./easyrsa gen-req $CLIENT_NAME nopass"

# 签发证书
su - "$EASYRSA_USER" -c "cd $EASYRSA_DIR && ./easyrsa sign-req client $CLIENT_NAME" <<< "yes"

# 重新生成 CRL
su - "$EASYRSA_USER" -c "cd $EASYRSA_DIR && ./easyrsa gen-crl"
cp "$EASYRSA_DIR/pki/crl.pem" /etc/openvpn/server/

# 生成客户端配置文件
cat > "${OUTPUT_DIR}/${CLIENT_NAME}.ovpn" << OVPNEOF
client
dev tun
proto udp
remote ${SERVER_IP} 1194
resolv-retry infinite
nobind
remote-cert-tls server
cipher AES-128-GCM
data-ciphers AES-128-GCM
auth SHA256
tls-version-min 1.2
persist-key
persist-tun
verb 3

<ca>
$(cat "$EASYRSA_DIR/pki/ca.crt")
</ca>

<cert>
$(sed -n '/BEGIN CERTIFICATE/,/END CERTIFICATE/p' "$EASYRSA_DIR/pki/issued/${CLIENT_NAME}.crt")
</cert>

<key>
$(cat "$EASYRSA_DIR/pki/private/${CLIENT_NAME}.key")
</key>

<tls-crypt-v2>
$(cat "$EASYRSA_DIR/pki/private/tls-crypt-v2.key")
</tls-crypt-v2>
OVPNEOF

# 重启 OpenVPN 以加载新 CRL
systemctl restart openvpn@server

echo ""
echo "✅ 客户端 ${CLIENT_NAME} 创建完成！"
echo "📄 配置文件: ${OUTPUT_DIR}/${CLIENT_NAME}.ovpn"
echo ""
echo "📱 导入方式："
echo "   手机: 将 .ovpn 文件传到手机 → OpenVPN App → Import"
echo "   电脑: sudo openvpn ${OUTPUT_DIR}/${CLIENT_NAME}.ovpn"

6.4 吊销客户端证书

1
2
3
4
5
6
7
8
9
10
11
cd ~/easy-rsa

# 吊销证书
./easyrsa revoke client-name

# 重新生成 CRL
./easyrsa gen-crl
sudo cp pki/crl.pem /etc/openvpn/server/

# 重启 OpenVPN 使 CRL 生效
sudo systemctl restart openvpn@server

七、安全加固

7.1 防火墙配置

1
2
3
4
5
6
# 只开放 VPN 端口
sudo ufw allow 1194/udp comment 'OpenVPN'
sudo ufw enable

# 如果使用 443 端口伪装 HTTPS
# sudo ufw allow 443/udp comment 'OpenVPN over HTTPS'

7.2 防止 DNS 泄露

在服务端配置中已经推送了 block-ipv6 和自定义 DNS。客户端也可以额外配置：

1
2
3
4
5
# 客户端 resolv.conf 配置（Linux）
# 在 .ovpn 中添加：
# script-security 2
# up /etc/openvpn/update-resolv-conf
# down /etc/openvpn/update-resolv-conf

7.3 限制客户端访问

使用 CCD 为不同客户端分配固定 IP 并限制访问：

1
2
3
# /etc/openvpn/server/ccd/beidou
ifconfig-push 10.8.0.10 255.255.255.0
push "route 192.168.1.0 255.255.255.0"

7.4 定期更新 CRL

1
2
3
4
5
6
#!/bin/bash
# /etc/cron.weekly/update-crl
cd /home/admin/easy-rsa
./easyrsa gen-crl
cp pki/crl.pem /etc/openvpn/server/
systemctl restart openvpn@server

八、性能优化

8.1 多线程支持

OpenVPN 2.7+ 支持多线程：

1
2
# server.conf 中添加
thread-count 4

8.2 调整 MTU

1
2
3
4
# 解决某些网络环境下的连接问题
tun-mtu 1500
fragment 1300
mssfix 1300

8.3 压缩（谨慎使用）

1
2
3
4
# 建议仅在低带宽环境下启用
# 注意：压缩可能引入 VORACLE 攻击风险
compress lz4-v2
push "compress lz4-v2"

九、常见问题

Q1：OpenVPN 启动失败，日志显示 “Options error: Unrecognized option or missing parameter(s)”

原因：配置文件中有 OpenVPN 版本不支持的参数，或者语法错误。

排查：

1
2
3
4
5
# 检查配置语法
sudo openvpn --config /etc/openvpn/server/server.conf --verb 5

# 查看详细日志
sudo journalctl -u openvpn@server -n 50 --no-pager

Q2：客户端连接后无法上网

原因：服务端未开启 IP 转发或 NAT 配置错误。

排查：

1
2
3
4
5
6
7
8
9
# 检查 IP 转发是否开启
sysctl net.ipv4.ip_forward
# 应返回：net.ipv4.ip_forward = 1

# 检查 NAT 规则
sudo iptables -t nat -L POSTROUTING -n -v

# 检查 FORWARD 规则
sudo iptables -L FORWARD -n -v

Q3：sh script.sh 执行报错，但 bash script.sh 正常

原因：Debian/Ubuntu 系统的 /bin/sh 链接到 dash（一个轻量级 POSIX shell），而脚本使用了 bash 专有语法（如 [[ ]]、数组 ()、source 等）。

解决：

1
2
3
4
5
6
7
8
9
# 方法一：用 bash 执行
sudo bash script.sh

# 方法二：给脚本执行权限后直接运行（shebang 生效）
sudo chmod +x script.sh
sudo ./script.sh

# 方法三：检查脚本 shebang 是否为 #!/bin/bash
head -1 script.sh

常见 bash 专有语法：

语法 dash 兼容 说明
[[ -f file ]] ❌ 用 [ -f file ] 替代
array=(a b c) ❌ dash 不支持数组
source file ❌ 用 . file 替代
function f { } ❌ 用 f() { } 替代
echo {1..10} ❌ 用 seq 1 10 替代
$(cmd) ✅ 两种 shell 都支持

Q4：客户端连接后获取不到 IP 地址

原因：ifconfig-pool-persist 文件权限问题或 CCD 配置冲突。

排查：

1
2
3
4
5
# 检查 ipp.txt 权限
ls -la /etc/openvpn/server/ipp.txt

# 查看 OpenVPN 日志中的 IP 分配记录
sudo grep "ifconfig_pool" /var/log/openvpn/openvpn.log

Q5：如何让客户端通过 VPN 访问内网其他服务？

方案：在服务端添加路由推送：

1
2
3
# server.conf 中推送内网路由
push "route 192.168.31.0 255.255.255.0"   # 访问 192.168.31.x 网段
push "route 10.0.0.0 255.255.255.0"       # 访问 10.0.0.x 网段

同时确保服务端开启了 IP 转发并配置了正确的 iptables 规则。

Q6：OpenVPN 日志在哪里查看？

1
2
3
4
5
6
7
8
# 服务日志
sudo journalctl -u openvpn@server -f

# 详细连接日志
sudo tail -f /var/log/openvpn/openvpn.log

# 状态日志（当前连接的客户端）
sudo cat /var/log/openvpn/status.log

Q7：客户端配置文件（.ovpn）包含私钥，如何安全传输？

推荐方法：

  1. 二维码：将 .ovpn 文件内容生成二维码，手机扫码导入
    1
    2
    sudo apt install -y qrencode
    qrencode -t ansiutf8 < /etc/openvpn/client/beidou.ovpn
  2. 加密传输：使用 GPG 加密后通过邮件发送
  3. 临时 HTTP 服务：在服务器上启动一次性 HTTP 服务供下载
    1
    2
    3
    cd /etc/openvpn/client
    python3 -m http.server 8080 --bind 127.0.0.1
    # 通过 SSH 隧道访问

十、总结

通过本文，你已掌握 OpenVPN 的完整部署流程：

阶段 关键操作
安装 apt install openvpn easy-rsa
PKI easyrsa init-pki && easyrsa build-ca
服务端证书 easyrsa gen-req server && easyrsa sign-req server server
配置 编写 server.conf，开启 IP 转发和 NAT
客户端 gen-req client → sign-req client → gen-ovpn.sh
吊销 revoke client → gen-crl → restart openvpn

安全提醒：

  • CA 的 PEM 密码务必妥善保管
  • 客户端 .ovpn 文件包含私钥，传输时注意加密
  • 定期更新 CRL 并重启服务
  • 生产环境建议使用 443/UDP 端口伪装 HTTPS 流量

参考资源

CaoZHProgrammer

学习使我快乐。