首页 / VPN翻墙 / 云主机如何设置VPN，从零开始搭建安全远程访问通道

云主机如何设置VPN，从零开始搭建安全远程访问通道

hk258369 2026-05-15 6 0

在当今数字化办公和分布式部署日益普及的背景下，企业或个人用户越来越依赖云主机来托管应用、存储数据和提供服务，直接通过公网IP访问云主机存在安全隐患，尤其在需要远程管理服务器或跨地域访问内部资源时，为解决这一问题，配置一个安全、稳定的虚拟私人网络（VPN）成为必不可少的技术手段，本文将详细介绍如何在云主机上搭建基于OpenVPN的VPN服务,帮助你建立一条加密的远程访问通道。

准备工作至关重要，你需要一台运行Linux系统的云主机（如Ubuntu 20.04或CentOS 7），并确保其已安装SSH客户端工具（如PuTTY或Terminal），需具备一定的Linux命令行操作能力，并拥有云服务商提供的公网IP地址以及域名解析权限（可选但推荐），如果使用阿里云、腾讯云或AWS等平台，请确认安全组规则允许开放UDP端口1194（OpenVPN默认端口）,否则无法建立连接。

接下来是安装与配置OpenVPN服务，以Ubuntu为例,我们通过以下步骤完成部署：

更新系统并安装OpenVPN
登录云主机后执行：

sudo apt update && sudo apt upgrade -y
sudo apt install openvpn easy-rsa -y

生成证书和密钥
OpenVPN依赖SSL/TLS进行身份认证，因此需要创建CA证书和服务器/客户端证书,运行：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
sudo ./easyrsa init-pki
sudo ./easyrsa build-ca nopass
sudo ./easyrsa gen-req server nopass
sudo ./easyrsa sign-req server server
sudo ./easyrsa gen-req client1 nopass
sudo ./easyrsa sign-req client client1

上述命令会生成一系列证书文件，包括CA根证书、服务器证书和客户端证书。

配置OpenVPN服务端
编辑/etc/openvpn/server.conf文件,添加如下关键参数：

port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3

此配置启用UDP协议、私有子网（10.8.0.0/24）、自动推送DNS和路由重定向,实现客户端流量经由服务器转发。

启用IP转发并配置防火墙
在云主机上开启IP转发功能：

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
sysctl -p

同时配置iptables规则：

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -A INPUT -p udp --dport 1194 -j ACCEPT

若使用UFW防火墙，还需允许UDP 1194端口。

启动服务并测试连接
启动OpenVPN服务：
```
systemctl enable openvpn@server
systemctl start openvpn@server
```
将客户端证书（client1.crt、client1.key、ca.crt）打包成.ovpn配置文件，并导入到Windows/macOS/Linux客户端（如OpenVPN GUI或Tunnelblick）,即可成功连接。