或者

半仙加速器 01 April 2026

命令行配置VPN的完整指南与实战技巧

在现代企业网络架构中,虚拟专用网络（VPN）已成为保障远程访问安全、实现跨地域数据传输的关键技术，作为网络工程师，熟练掌握通过命令行配置VPN的能力，不仅能提升运维效率，还能在无法使用图形界面或紧急场景下快速响应问题，本文将深入讲解如何使用命令行工具（以Linux为例，兼容OpenVPN和IPsec等常见协议）完成基础到进阶的VPN配置，助你构建稳定、安全的远程连接。

明确目标：我们将在Ubuntu 20.04或CentOS 7系统上，通过命令行部署一个基于OpenVPN的服务端，并配置客户端连接，这不仅适用于小型办公环境，也适合云服务器上的私有网络扩展。

第一步：安装OpenVPN服务端软件包。
在终端执行以下命令：

sudo apt update && sudo apt install openvpn easy-rsa -y   # Ubuntu/Debian  sudo yum install openvpn easy-rsa -y                 # CentOS/RHEL

安装完成后,初始化PKI证书颁发机构（CA），这是所有加密通信的基础：

make-cadir /etc/openvpn/easy-rsa  
cd /etc/openvpn/easy-rsa  
sudo ./easyrsa init-pki  
sudo ./easyrsa build-ca nopass

这里“nopass”表示不设置密码保护CA私钥，实际生产环境中建议启用密码增强安全性。

第二步：生成服务器证书与密钥对。

sudo ./easyrsa gen-req server nopass  
sudo ./easyrsa sign-req server server

接着生成Diffie-Hellman参数（用于密钥交换）：

sudo ./easyrsa gen-dh

第三步：配置OpenVPN主文件。
复制示例配置文件并编辑：

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/  
sudo nano /etc/openvpn/server.conf

关键配置项包括：

port 1194：指定监听端口（可修改为UDP或TCP）
proto udp：推荐使用UDP提高性能
dev tun：创建TUN虚拟网卡
ca /etc/openvpn/easy-rsa/pki/ca.crt：指定CA证书路径
cert /etc/openvpn/easy-rsa/pki/issued/server.crt：服务器证书
key /etc/openvpn/easy-rsa/pki/private/server.key：服务器私钥
dh /etc/openvpn/easy-rsa/pki/dh.pem：Diffie-Hellman参数
server 10.8.0.0 255.255.255.0：分配给客户端的IP段
push "redirect-gateway def1 bypass-dhcp"：强制客户端流量走VPN

第四步：启动并启用服务：

sudo systemctl enable openvpn@server  
sudo systemctl start openvpn@server  
sudo ufw allow 1194/udp

第五步：客户端配置。
生成客户端证书：

sudo ./easyrsa gen-req client1 nopass  
sudo ./easyrsa sign-req client client1

然后将ca.crt、client1.crt、client1.key打包成.ovpn文件供客户端使用，内容如下：

client  
dev tun  
proto udp  
remote your-server-ip 1194  
resolv-retry infinite  
nobind  
persist-key  
persist-tun  
ca ca.crt  
cert client1.crt  
key client1.key  
tls-auth ta.key 1  
cipher AES-256-CBC  
auth SHA256  
verb 3

测试连接：在Windows或Linux客户端运行OpenVPN GUI或命令行工具加载此配置即可成功接入。

通过命令行配置VPN,你不仅能获得更高的灵活性和自动化能力（如结合脚本批量部署），还能在日志排查、权限控制、防火墙策略优化等方面展现专业优势，安全永远是第一位的——定期更新证书、限制访问IP、启用日志审计，才是真正的网络守护之道。