或

手把手教你搭建云主机上的VPN服务：从零开始的网络加密通道指南

作为一名网络工程师,我经常被问到：“如何在云主机上搭建一个安全、稳定的VPN？”尤其是在远程办公普及、数据安全日益重要的今天，搭建自己的私有VPN不仅成本低、可控性强，还能有效保护敏感信息不被窃取，本文将详细介绍如何在主流云服务商（如阿里云、腾讯云或AWS）提供的Linux云主机上部署OpenVPN或WireGuard——两种当前最推荐的开源VPN方案。

第一步：准备云主机环境
确保你已经拥有一台运行Ubuntu 20.04/22.04或CentOS 7/8的云服务器，并且具备root权限，登录后，建议先更新系统：

sudo apt update && sudo apt upgrade -y   # Ubuntusudo yum update -y                       # CentOS

第二步：选择并安装VPN服务端软件
我们以OpenVPN为例，因其配置成熟、社区支持强大，执行以下命令安装：

sudo apt install openvpn easy-rsa -y

使用Easy-RSA工具生成证书和密钥（这是SSL/TLS加密的核心）：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
sudo ./easyrsa init-pki
sudo ./easyrsa build-ca nopass
sudo ./easyrsa gen-req server nopass
sudo ./easyrsa sign-req server server
sudo ./easyrsa gen-req client1 nopass
sudo ./easyrsa sign-req client client1

这些命令会生成服务器证书、客户端证书及CA根证书，是后续认证的关键。

第三步：配置OpenVPN服务
复制模板文件并修改配置：

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/
sudo nano /etc/openvpn/server.conf

关键配置项包括：

• port 1194（默认端口，可改为其他）
• proto udp（性能优于TCP）
• dev tun（虚拟隧道设备）
• ca /etc/openvpn/easy-rsa/pki/ca.crt
• cert /etc/openvpn/easy-rsa/pki/issued/server.crt
• key /etc/openvpn/easy-rsa/pki/private/server.key
• dh /etc/openvpn/easy-rsa/pki/dh.pem（需用./easyrsa gen-dh生成）

第四步：启用IP转发与防火墙规则
开启内核转发功能：

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
sudo sysctl -p

配置iptables允许流量通过：

sudo iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT
sudo iptables -A FORWARD -i tun0 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

若使用UFW（Ubuntu），则用ufw allow 1194/udp开放端口。

第五步：启动服务并分发客户端配置

sudo systemctl enable openvpn@server
sudo systemctl start openvpn@server

把生成的client1.ovpn配置文件（含证书和密钥）打包发送给客户端，即可在Windows、Mac、Android或iOS设备上直接导入使用。

进阶建议：
若追求更高性能与更低延迟，可考虑替换为WireGuard（轻量级、现代加密协议），其配置更简洁，资源占用更少，只需安装wireguard-tools并配置wg0.conf即可完成。

在云主机上搭建VPN并非复杂任务，关键是理解其原理（证书认证+加密隧道）并按步骤操作，无论是个人隐私保护还是企业远程接入，自建VPN都是一种灵活、安全、可控的选择，作为网络工程师，掌握这项技能，等于为你的数字世界加了一把“数字锁”。

半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速