CentOS 7示例

阿里云主机搭建VPN服务实战指南：安全、高效与低成本的远程访问解决方案

在当前数字化转型加速的时代,企业对远程办公、跨地域协同和数据安全的需求日益增长，阿里云作为国内领先的云计算服务商，提供了稳定可靠的云主机资源，而通过在阿里云ECS实例上部署VPN（虚拟私人网络）服务，可以实现安全、可控、灵活的远程访问控制，尤其适用于中小企业、开发者团队以及需要私有化部署的企业用户。

本文将详细介绍如何基于阿里云ECS主机搭建一个完整的OpenVPN服务,涵盖环境准备、配置步骤、安全性优化及常见问题排查，帮助你快速构建属于自己的企业级VPN通道。

准备工作
你需要拥有一台运行Linux操作系统的阿里云ECS实例（推荐CentOS 7或Ubuntu 20.04），确保该实例已开通公网IP，并在安全组中放行UDP端口1194（OpenVPN默认端口），同时开放SSH端口22用于远程管理，若使用Windows系统，建议安装PuTTY等SSH客户端进行连接。

安装OpenVPN服务
登录到ECS后，执行以下命令更新系统并安装OpenVPN及相关工具：

sudo yum install epel-release -y
sudo yum install openvpn easy-rsa -y

对于Ubuntu用户,使用apt-get命令即可完成安装。

生成证书与密钥
OpenVPN依赖PKI（公钥基础设施）体系来保障通信安全，使用Easy-RSA工具生成CA证书、服务器证书和客户端证书：

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
cp vars.example vars

编辑vars文件，修改如下参数以适应你的环境（如国家、组织名）：

export KEY_COUNTRY="CN"
export KEY_PROVINCE="Beijing"
export KEY_CITY="Beijing"
export KEY_ORG="YourCompany"
export KEY_EMAIL="admin@yourcompany.com"

接着执行初始化和签名流程：

./clean-all
./build-ca    # 生成CA证书
./build-key-server server   # 生成服务器证书
./build-key client1   # 生成第一个客户端证书
./build-dh          # 生成Diffie-Hellman参数

配置OpenVPN服务
复制证书到OpenVPN目录，并创建主配置文件：

cp /etc/openvpn/easy-rsa/keys/{ca.crt,server.crt,server.key,dh2048.pem} /etc/openvpn/
cp /usr/share/doc/openvpn/sample-config-files/server.conf /etc/openvpn/

编辑/etc/openvpn/server.conf，关键配置项包括：

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh2048.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3

启动服务与防火墙设置
启用OpenVPN服务并设置开机自启：

systemctl enable openvpn@server
systemctl start openvpn@server

确认端口监听状态：

netstat -tulnp | grep 1194

客户端配置与连接
将生成的客户端证书（client1.crt、client1.key、ca.crt）打包为.ovpn如下：

client
dev tun
proto udp
remote your-ecs-public-ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
comp-lzo
verb 3

将此文件导入OpenVPN客户端（Windows可使用OpenVPN GUI，Mac可用Tunnelblick），即可连接至阿里云主机建立加密隧道。

安全建议