首页/半仙VPN/如何在VPS上配置VPN服务，从基础搭建到安全优化全攻略

如何在VPS上配置VPN服务，从基础搭建到安全优化全攻略

半仙VPN 31 March 2026

作为一名网络工程师，我经常被客户或朋友问及：“如何在自己的VPS（虚拟私有服务器）上搭建一个安全、稳定的VPN？”这不仅是提升隐私保护的手段，也是远程办公、访问内网资源或绕过地域限制的有效方式，本文将详细介绍如何在Linux VPS上配置OpenVPN或WireGuard两种主流VPN协议，涵盖环境准备、安装配置、防火墙设置以及安全性优化,助你快速部署属于自己的私有网络隧道。

准备工作必不可少，你需要一台运行Linux（推荐Ubuntu 20.04/22.04或CentOS Stream）的VPS，具备公网IP地址，并通过SSH登录，建议使用root账户或具有sudo权限的用户进行操作,第一步是更新系统并安装必要工具：

sudo apt update && sudo apt upgrade -y
sudo apt install -y git curl wget

接下来选择协议，OpenVPN历史悠久、兼容性强，适合初学者；而WireGuard则以高性能、低延迟著称，是现代推荐方案，这里我们以WireGuard为例,因为它更轻量且配置简洁。

安装WireGuard
Ubuntu下直接使用官方仓库：
```
sudo apt install -y wireguard
```

生成密钥对
在服务器端生成私钥和公钥：

wg genkey | tee /etc/wireguard/private.key | wg pubkey > /etc/wireguard/public.key

创建配置文件
编辑 /etc/wireguard/wg0.conf：
```
[Interface]
Address = 10.0.0.1/24
SaveConfig = true
ListenPort = 51820
PrivateKey = <你的私钥>
[Peer]
PublicKey = <客户端公钥>
AllowedIPs = 10.0.0.2/32
```
注意：这里的 AllowedIPs 是允许客户端访问的子网，若仅用于个人设备，可设为 0.0.2/32。

启用并启动服务

sudo systemctl enable wg-quick@wg0
sudo systemctl start wg-quick@wg0

配置防火墙（UFW或iptables）
若使用UFW,添加规则：
```
sudo ufw allow 51820/udp
sudo ufw enable
```

客户端配置
客户端需安装对应平台的WireGuard客户端（如Windows、Android、iOS）,配置文件类似如下结构：

[Interface]
PrivateKey = <客户端私钥>
Address = 10.0.0.2/24
[Peer]
PublicKey = <服务器公钥>
Endpoint = your.vps.ip:51820
AllowedIPs = 0.0.0.0/0

安全性优化
- 启用IP转发：echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf
- 设置NAT转发规则（如使用iptables）：
```
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
```
- 使用fail2ban防止暴力破解尝试
- 定期更新系统和软件包，避免已知漏洞