在当前网络环境日益复杂的背景下,企业或个人用户对远程访问的安全性要求越来越高，OpenVPN作为一种开源、灵活且功能强大的虚拟私人网络（VPN）解决方案，成为许多系统管理员首选的远程接入工具，尤其在 CentOS 7 这一广泛使用的 Linux 发行版中，通过 OpenVPN 配置一个稳定、加密的远程访问通道，是保障数据传输安全的关键一步。
本文将详细介绍如何在 CentOS 7 系统上部署并配置 OpenVPN，实现客户端与服务器之间的安全连接，整个过程包括安装依赖包、生成证书、配置服务端和客户端、防火墙设置以及启动验证等关键步骤。
确保你已具备一台运行 CentOS 7 的服务器，并拥有 root 权限，推荐使用最小化安装版本以减少潜在漏洞，更新系统软件包：
sudo yum update -y
然后安装 EPEL 源，因为 OpenVPN 和 Easy-RSA（用于证书管理）不在默认仓库中：
sudo yum install epel-release -y sudo yum install openvpn easy-rsa -y
初始化 PKI（公钥基础设施），复制 Easy-RSA 示例配置到 /etc/openvpn/easy-rsa 并编辑其变量文件：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa nano vars
修改 KEY_SIZE 为 2048 或更高（如 4096），并根据需要设置国家、组织等信息，保存后执行以下命令生成 CA 根证书：
./clean-all ./build-ca
之后生成服务器证书和密钥：
./build-key-server server
客户端方面,可批量生成多个客户端证书（每个设备一个）：
./build-key client1
同时生成 Diffie-Hellman 参数（用于密钥交换）：
./build-dh
现在配置 OpenVPN 服务端主文件，创建 /etc/openvpn/server.conf如下（可根据需求调整）：
port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
comp-lzo
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3启用 IP 转发（让服务器能转发客户端流量）：
echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf sysctl -p
配置防火墙（firewalld）放行 UDP 1194 端口：
sudo firewall-cmd --permanent --add-port=1194/udp sudo firewall-cmd --reload
最后启动 OpenVPN 服务并设置开机自启：
systemctl enable openvpn@server systemctl start openvpn@server
客户端配置可通过 .ovpn 文件完成，其中包含 CA、客户端证书、密钥和服务器地址，用户只需导入该文件即可连接，建议结合 TAP/TUN 模式、TLS 认证和日志监控进一步提升安全性。
在 CentOS 7 上部署 OpenVPN 是一项成熟且可靠的实践，不仅满足基本远程办公需求，还可扩展为多用户、高可用架构，对于网络工程师而言，掌握此类技能是构建安全通信基础设施的重要一环。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
