在现代企业网络架构中,远程访问内网资源已成为刚需，尤其对于没有独立公网IP或仅配置单网卡服务器的用户而言，如何安全、高效地搭建一个可信赖的虚拟专用网络（VPN）服务，是一个常见且重要的技术挑战，本文将详细介绍如何在CentOS操作系统上，利用单网卡环境部署OpenVPN服务器，实现远程安全接入内网。
确保你有一台运行CentOS 7或8的物理机或虚拟机，该服务器仅配置了一块网卡（eth0），并已连接到公网，此场景下，我们不依赖多网卡划分内外网，而是通过iptables端口转发和路由规则来实现内部网络的访问控制与流量隔离。
第一步：系统准备
更新系统软件包并安装必要的工具：
sudo yum update -y sudo yum install epel-release -y sudo yum install openvpn easy-rsa -y
第二步：生成证书和密钥
使用Easy-RSA工具创建PKI（公钥基础设施），进入证书目录后初始化：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa cp vars.example vars
编辑vars文件，设置国家、组织等基本信息，然后执行：
source ./vars ./clean-all ./build-ca ./build-key-server server ./build-key client1 ./build-dh
这一步生成服务器证书、客户端证书、Diffie-Hellman参数，是OpenVPN身份认证和加密通信的基础。
第三步：配置OpenVPN服务器
复制示例配置文件并修改关键项：
cp /usr/share/doc/openvpn-*/sample/sample-config-files/server.conf /etc/openvpn/ vim /etc/openvpn/server.conf
主要配置如下：
port 1194：指定监听端口（建议改为非标准端口如5321以规避扫描）proto udp：选择UDP协议提升性能dev tun：使用TUN模式建立点对点隧道ca ca.crt、cert server.crt、key server.key：指定证书路径dh dh.pem：引入Diffie-Hellman参数server 10.8.0.0 255.255.255.0：分配客户端IP地址池（10.8.0.x）push "redirect-gateway def1 bypass-dhcp"：强制客户端流量经由VPN出口（可选）push "dhcp-option DNS 8.8.8.8"：推送DNS服务器
第四步：启用IP转发与防火墙规则
由于服务器只有一张网卡，需启用内核IP转发功能：
echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf sysctl -p
配置iptables规则,允许来自OpenVPN子网的流量转发，并开放UDP端口：
iptables -A FORWARD -s 10.8.0.0/24 -d 192.168.1.0/24 -j ACCEPT iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT iptables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
若启用了firewalld,则需添加相应规则：
firewall-cmd --permanent --add-port=1194/udp firewall-cmd --reload
第五步：启动服务并测试
启动OpenVPN服务：
systemctl enable openvpn@server systemctl start openvpn@server
客户端可通过.ovpn配置文件连接，内容包含服务器IP、端口、CA证书、客户端证书及私钥，测试时注意检查日志：
journalctl -u openvpn@server -f
在单网卡环境下搭建OpenVPN服务器虽有挑战，但通过合理的iptables策略和路由配置，完全可以实现安全、稳定的远程接入，该方案适用于中小企业、家庭办公或临时项目部署，具备低成本、高灵活性的优势，建议定期更新证书、强化密码策略，并结合fail2ban等工具进一步提升安全性。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
