随着远程办公和云计算的普及，越来越多的企业和个人用户需要通过安全的方式访问云端资源，阿里云作为国内领先的云服务商，提供了强大的基础设施支持，而Ubuntu作为广泛使用的Linux发行版，是部署各类网络服务的理想选择，本文将详细介绍如何在阿里云Ubuntu服务器上搭建一个稳定、安全的OpenVPN服务,帮助你实现远程安全接入。
确保你已准备好以下条件：
- 一台运行Ubuntu 20.04或22.04的阿里云ECS实例；
- 已为该实例分配公网IP地址，并开放了必要的端口（如UDP 1194）；
- 本地电脑具备SSH连接能力,且拥有root权限或sudo权限。
第一步：更新系统并安装OpenVPN组件
登录到你的Ubuntu服务器,执行以下命令：
sudo apt update && sudo apt upgrade -y sudo apt install openvpn easy-rsa -y
第二步：生成证书和密钥（使用Easy-RSA）
Easy-RSA是一个用于管理PKI（公钥基础设施）的工具，可简化SSL/TLS证书的创建过程。
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa
编辑vars文件，设置国家、组织等基本信息，
export KEY_COUNTRY="CN" export KEY_PROVINCE="Beijing" export KEY_CITY="Beijing" export KEY_ORG="MyCompany" export KEY_EMAIL="admin@mycompany.com" export KEY_OU="IT"
然后执行初始化和证书签发流程：
./clean-all ./build-ca ./build-key-server server ./build-key client1 ./build-dh
这些命令会生成服务器证书、客户端证书、Diffie-Hellman参数等必要文件。
第三步：配置OpenVPN服务
复制模板配置文件：
cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/
编辑/etc/openvpn/server.conf,关键配置如下：
port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
cipher AES-256-CBC
auth SHA256
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3第四步：启用IP转发和防火墙规则
修改/etc/sysctl.conf,取消注释以下行：
net.ipv4.ip_forward=1应用更改：sudo sysctl -p
配置iptables规则,允许流量转发：
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE sudo iptables -A INPUT -p udp --dport 1194 -j ACCEPT
第五步：启动服务并设置开机自启
sudo systemctl start openvpn@server sudo systemctl enable openvpn@server
将客户端证书（client1.crt、client1.key、ca.crt）打包成.ovpn文件，即可在Windows、Mac、Android或iOS设备上导入使用。
在阿里云Ubuntu服务器上部署OpenVPN不仅成本低、灵活性高，还能提供企业级的安全保障，合理配置TLS加密、访问控制和日志审计，可以进一步提升安全性，建议定期更新证书、监控日志，并结合阿里云安全组策略限制访问源IP,打造更健壮的远程访问体系。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
