在现代企业网络环境中，远程办公和跨地域协作已成为常态，为了保障员工在外网环境下安全、稳定地访问内部资源，部署一个可靠、易管理的虚拟专用网络（VPN）服务至关重要，本文将详细讲解如何基于Linux系统（以Ubuntu Server为例）架设一个企业级OpenVPN服务器，涵盖环境准备、证书生成、配置文件编写、防火墙设置及客户端接入等全流程操作,帮助网络工程师快速构建安全的远程访问通道。

准备工作
首先确认服务器操作系统为Ubuntu 20.04或以上版本，且具备公网IP地址（若使用云服务器需提前开通端口访问权限），登录服务器后，更新系统并安装必要工具：

sudo apt update && sudo apt upgrade -y  
sudo apt install openvpn easy-rsa -y

生成SSL/TLS证书与密钥
OpenVPN依赖PKI（公钥基础设施）进行身份认证，因此需使用Easy-RSA工具创建CA证书和服务器/客户端证书：

1. 复制Easy-RSA模板到工作目录：

   make-cadir /etc/openvpn/easy-rsa
   cd /etc/openvpn/easy-rsa

2. 编辑vars文件，设置国家、组织等信息（如set_var EASYRSA_COUNTRY "CN"），然后执行：

   ./easyrsa init-pki  
   ./easyrsa build-ca nopass  # 生成根证书，不设密码
   ./easyrsa gen-req server nopass  # 生成服务器密钥对
   ./easyrsa sign-req server server  # 签署服务器证书
   ./easyrsa gen-req client1 nopass  # 生成客户端证书（可重复生成多用户）
   ./easyrsa sign-req client client1

3. 生成Diffie-Hellman参数（提升加密强度）：

   ./easyrsa gen-dh

配置OpenVPN服务器
创建主配置文件/etc/openvpn/server.conf，关键参数如下：

port 1194  
proto udp  
dev tun  
ca /etc/openvpn/easy-rsa/pki/ca.crt  
cert /etc/openvpn/easy-rsa/pki/issued/server.crt  
key /etc/openvpn/easy-rsa/pki/private/server.key  
dh /etc/openvpn/easy-rsa/pki/dh.pem  
server 10.8.0.0 255.255.255.0  
push "redirect-gateway def1 bypass-dhcp"  
push "dhcp-option DNS 8.8.8.8"  
keepalive 10 120  
comp-lzo  
user nobody  
group nogroup  
persist-key  
persist-tun  
status /var/log/openvpn-status.log  
verb 3

此配置启用UDP协议（性能更优）、分配10.8.0.0/24私网IP段给客户端，并强制所有流量通过VPN路由（redirect-gateway）。

启用IP转发与防火墙规则
开启内核IP转发功能：

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf  
sysctl -p

配置iptables规则（允许VPN流量并做NAT转换）：

iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT  
iptables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT  
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

保存规则：iptables-save > /etc/iptables/rules.v4

启动服务与客户端配置
启动OpenVPN服务：

systemctl enable openvpn@server  
systemctl start openvpn@server

客户端需下载以下文件：ca.crt、client1.crt、client1.key（由服务器提供），并创建.ovpn配置文件：

client  
dev tun  
proto udp  
remote your-server-ip 1194  
resolv-retry infinite  
nobind  
persist-key  
persist-tun  
ca ca.crt  
cert client1.crt  
key client1.key  
comp-lzo  
verb 3

双击该文件即可在Windows/macOS/Linux上连接。

安全加固建议

• 使用强密码保护客户端证书（非nopass模式）
• 定期轮换证书（如每6个月）
• 结合Fail2Ban防暴力破解
• 启用日志审计（openvpn-status.log记录在线用户）

通过上述步骤，你已成功部署一个支持多用户、高安全性的OpenVPN服务器，此方案兼顾易用性与安全性,适合中小型企业快速落地远程办公需求。