作为一名网络工程师,在日常工作中，安全、稳定地实现远程访问是至关重要的任务之一，虚拟专用网络（VPN）技术因其加密通信和私有网络隔离特性，成为企业及个人用户远程办公、跨地域数据传输的核心工具，在众多开源VPN解决方案中，OpenVPN因其灵活性、安全性与广泛兼容性脱颖而出，本文将详细讲解如何在Linux系统上通过命令行配置OpenVPN服务端与客户端，确保你快速掌握关键操作。
我们需要安装OpenVPN及相关依赖包,以Ubuntu/Debian系统为例，执行以下命令：
sudo apt update sudo apt install openvpn easy-rsa -y
easy-rsa 是用于生成SSL/TLS证书和密钥的工具包，是OpenVPN认证体系的基础，安装完成后，建议将EasyRSA的模板复制到指定目录：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa
编辑 vars 文件（位于 /etc/openvpn/easy-rsa/vars），根据你的组织信息修改如下变量：
KEY_COUNTRY：国家代码（如CN）KEY_PROVINCE：省份（如Beijing）KEY_CITY：城市KEY_ORG：组织名KEY_EMAIL：管理员邮箱
然后初始化PKI（公钥基础设施）并生成CA证书：
./clean-all ./build-ca
系统会提示输入CA名称,确认后生成 ca.crt 和 ca.key，这是后续所有客户端和服务端证书签发的信任根。
下一步,生成服务器证书和密钥：
./build-key-server server
此过程会要求确认是否信任该证书,输入“yes”即可，接着生成客户端证书（每台设备需单独生成）：
./build-key client1
生成Diffie-Hellman参数（用于密钥交换）：
./build-dh
至此,服务端所需的所有证书和密钥已准备就绪，现在创建OpenVPN服务端配置文件（通常位于 /etc/openvpn/server.conf示例如下：
port 1194 proto udp dev tun ca /etc/openvpn/easy-rsa/ca.crt cert /etc/openvpn/easy-rsa/keys/server.crt key /etc/openvpn/easy-rsa/keys/server.key dh /etc/openvpn/easy-rsa/keys/dh2048.pem server 10.8.0.0 255.255.255.0 push "redirect-gateway def1 bypass-dhcp" push "dhcp-option DNS 8.8.8.8" keepalive 10 120 comp-lzo user nobody group nogroup persist-key persist-tun status /var/log/openvpn-status.log verb 3
保存后,启用OpenVPN服务并设置开机自启：
sudo systemctl enable openvpn@server sudo systemctl start openvpn@server
客户端配置文件（如 client1.ovpn）需包含连接地址、CA证书、客户端证书和密钥路径，
client dev tun proto udp remote your-server-ip 1194 resolv-retry infinite nobind persist-key persist-tun ca ca.crt cert client1.crt key client1.key comp-lzo verb 3
将客户端证书文件（.crt、.key）与配置文件一同分发至终端用户设备，即可通过 openvpn --config client1.ovpn 命令建立连接。
OpenVPN命令行配置虽然初看复杂,但只要按部就班完成证书生成、服务端配置、客户端部署三步，就能构建出高安全性、可扩展的远程访问通道，作为网络工程师，熟练掌握此类技能，能极大提升运维效率与网络安全水平。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
