首页/VPN软件/手把手教你搭建个人VPN，安全上网、突破网络限制的实用指南

手把手教你搭建个人VPN，安全上网、突破网络限制的实用指南

VPN软件 17 March 2026

在当今高度依赖互联网的时代，无论是远程办公、跨境访问资源，还是保护隐私数据，虚拟私人网络（VPN）已成为许多用户不可或缺的工具，市面上大多数商业VPN服务存在隐私泄露风险、速度慢、费用高等问题，如果你具备一定的技术基础，不妨尝试自己搭建一个私有VPN，不仅成本低、可控性强,还能实现完全自主的数据加密与传输管理。

本文将详细介绍如何基于OpenVPN协议，在Linux服务器（如Ubuntu或CentOS）上搭建一个稳定、安全的个人VPN服务，适合家庭用户、开发者及企业IT人员使用。

第一步：准备环境
你需要一台具有公网IP的云服务器（推荐阿里云、腾讯云、AWS等），操作系统建议使用Ubuntu 20.04 LTS或更高版本，确保服务器已开通防火墙端口（默认OpenVPN使用UDP 1194端口）,并登录服务器执行以下操作。

第二步：安装OpenVPN及相关工具
打开终端,运行以下命令更新系统并安装OpenVPN：

sudo apt update && sudo apt upgrade -y
sudo apt install openvpn easy-rsa -y

easy-rsa是用于生成证书和密钥的工具包，是构建PKI（公钥基础设施）的核心组件。

第三步：配置证书颁发机构（CA）
进入EasyRSA目录,初始化PKI环境：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
sudo ./easyrsa init-pki
sudo ./easyrsa build-ca nopass

这里会提示你输入CA的名称（如“MyPrivateCA”），之后会生成根证书（ca.crt）,这是后续所有客户端连接的基础信任凭证。

第四步：生成服务器证书和密钥
继续执行：

sudo ./easyrsa gen-req server nopass
sudo ./easyrsa sign-req server server

这一步会为服务器生成证书和私钥，签名由CA完成,确保其可信。

第五步：生成Diffie-Hellman参数和TLS密钥
为了增强安全性，生成DH参数（约2048位）和TLS认证密钥：

sudo ./easyrsa gen-dh
sudo openvpn --genkey --secret ta.key

第六步：配置OpenVPN服务器
复制示例配置文件并修改：

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/
sudo gunzip /etc/openvpn/server.conf.gz
sudo nano /etc/openvpn/server.conf

在配置文件中设置关键项：

port 1194：监听端口（可改为其他）
proto udp：使用UDP协议提升性能
dev tun：创建TUN虚拟设备
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-auth ta.key 0（启用TLS控制通道）
server 10.8.0.0 255.255.255.0：分配给客户端的IP网段
push "redirect-gateway def1 bypass-dhcp"：让客户端流量走VPN
push "dhcp-option DNS 8.8.8.8"：指定DNS服务器

第七步：启动并测试
保存配置后,启用IP转发并设置iptables规则：

echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo ufw allow 1194/udp
sudo systemctl enable openvpn@server
sudo systemctl start openvpn@server

第八步：客户端配置
在Windows/macOS/Linux上下载OpenVPN客户端，创建.ovpn配置文件，内容包括CA证书、客户端证书、密钥和服务器地址,然后导入即可连接。

注意事项：