CentOS系统搭建OpenVPN服务详解，从零开始配置安全远程访问通道

在现代企业网络环境中，远程办公和安全访问已成为刚需，OpenVPN作为一款开源、跨平台的虚拟专用网络（VPN）解决方案，因其高度可定制性、强加密能力和良好的稳定性，被广泛应用于Linux服务器环境，尤其是基于CentOS的操作系统中，本文将详细讲解如何在CentOS 7/8或RHEL系统上部署并配置OpenVPN服务，帮助用户构建一个稳定、安全的远程访问通道。

第一步：准备工作
确保你有一台运行CentOS的服务器，并具备root权限，建议使用静态IP地址，避免因IP变化导致连接异常，更新系统软件包至最新版本：

sudo yum update -y

第二步：安装OpenVPN及相关工具
OpenVPN官方仓库未包含在默认源中，需先添加EPEL和OpenVPN官方YUM源,执行以下命令：

sudo yum install epel-release -y
sudo rpm --import https://swupdate.openvpn.net/assets/openvpn-2.4.x.repo
sudo yum install openvpn easy-rsa -y

easy-rsa是用于生成SSL证书和密钥的工具包,是OpenVPN认证机制的核心。

第三步：配置证书颁发机构（CA）
进入EasyRSA目录并初始化PKI结构：

cd /usr/share/easy-rsa/
cp vars.example vars
nano vars

修改vars文件中的参数（如国家、组织名等）,然后执行：

./easyrsa init-pki
./easyrsa build-ca

这将生成根证书（ca.crt）,用于后续所有客户端和服务端的数字签名验证。

第四步：生成服务器证书与密钥

./easyrsa gen-req server nopass
./easyrsa sign-req server server

生成的server.crt和server.key将用于OpenVPN服务端的身份认证。

第五步：生成客户端证书
每个客户端都需要单独证书，例如为客户端“client1”生成：

./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

第六步：配置OpenVPN服务端
复制模板配置文件并编辑：

cp /usr/share/doc/openvpn/sample-config-files/server.conf /etc/openvpn/
nano /etc/openvpn/server.conf

关键配置项包括：

• dev tun：使用TUN设备（路由模式）
• proto udp：使用UDP协议提升性能
• port 1194：指定端口（可自定义）
• ca ca.crt、cert server.crt、key server.key：引用证书路径
• dh dh.pem：生成Diffie-Hellman参数（./easyrsa gen-dh）
• server 10.8.0.0 255.255.255.0：分配给客户端的子网
• push "redirect-gateway def1 bypass-dhcp"：强制客户端流量走VPN隧道

第七步：启用IP转发和防火墙规则
编辑/etc/sysctl.conf，取消注释net.ipv4.ip_forward=1,然后执行：

sysctl -p

配置iptables允许OpenVPN流量：

iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

保存规则后重启服务：

systemctl enable openvpn@server
systemctl start openvpn@server

将客户端证书（ca.crt、client1.crt、client1.key）打包成.ovpn配置文件，供客户端导入即可连接，通过此方案，用户可在任何地点安全接入内网资源，实现真正的“远程办公”体验。

半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速