在当今远程办公和分布式团队日益普及的背景下，如何安全、高效地让员工或合作伙伴访问企业内部局域网资源，成为许多网络管理员的核心任务，虚拟私人网络（VPN）正是解决这一问题的关键技术之一，作为一位经验丰富的网络工程师，我将为你详细介绍如何通过搭建基于OpenVPN的站点到站点（Site-to-Site）或远程访问（Remote Access）型VPN,实现对局域网的安全远程访问。
明确你的需求至关重要，如果你的目标是让一个远程办公室或家庭用户能够像在公司内网一样访问服务器、打印机、共享文件夹等资源，那么站点到站点VPN是最合适的方案；如果目标是让员工在家使用笔记本电脑连接到公司内网，远程访问型VPN更合适，本文将以远程访问型VPN为例,详细说明部署步骤。
第一步：硬件与软件准备
你需要一台运行Linux（如Ubuntu Server 22.04 LTS）的服务器，具备公网IP地址，并确保防火墙允许UDP端口1194（OpenVPN默认端口），建议使用证书认证机制（TLS-Auth）来增强安全性，避免中间人攻击，推荐使用EasyRSA工具生成PKI（公钥基础设施）证书。
第二步：安装OpenVPN服务
使用命令行安装OpenVPN和EasyRSA：
sudo apt update && sudo apt install openvpn easy-rsa -y
接着初始化PKI环境：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa sudo ./easyrsa init-pki sudo ./easyrsa build-ca nopass # 创建根证书颁发机构 sudo ./easyrsa gen-req server nopass # 为服务器生成密钥对 sudo ./easyrsa sign-req server server # 签署服务器证书 sudo ./easyrsa gen-dh # 生成Diffie-Hellman参数 sudo ./easyrsa gen-req client1 nopass # 为客户端生成密钥对 sudo ./easyrsa sign-req client client1 # 签署客户端证书
第三步：配置OpenVPN服务端
编辑 /etc/openvpn/server.conf 文件,关键配置包括：
dev tun：使用隧道模式proto udp：使用UDP协议提升性能port 1194：监听端口ca ca.crt,cert server.crt,key server.key：引用证书文件dh dh.pem：引入Diffie-Hellman参数server 10.8.0.0 255.255.255.0：分配虚拟IP段push "route 192.168.1.0 255.255.255.0"：推送本地局域网路由（如公司内网192.168.1.0/24）push "dhcp-option DNS 8.8.8.8"：设置DNS服务器
第四步：启用IP转发与NAT规则
确保服务器能转发流量：
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf sysctl -p
配置iptables NAT规则：
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT iptables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
第五步：分发客户端配置文件
创建客户端配置文件（client.ovpn），包含证书路径、服务器地址、加密参数等，使用openvpn --config client.ovpn即可连接。
务必进行测试：从客户端ping内网设备（如192.168.1.1），验证是否成功建立隧道并访问局域网资源，建议部署后持续监控日志（journalctl -u openvpn@server.service）以排查异常。
通过上述步骤，你可以构建一个安全、稳定的远程访问型VPN，使远程用户如同身处局域网中一般无缝访问内部资源，此方案不仅适用于中小企业，也适合大型企业分支机构互联，作为网络工程师,掌握此类技能是保障业务连续性和数据安全的基础能力。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
