首页 / VPN软件 / 如何自制VPN，构建个人安全网络的步骤指南

如何自制VPN，构建个人安全网络的步骤指南

banxian11 2026-02-03 发布在 VPN软件 2 0

在当今数字化时代,保护个人隐私和数据安全已成为不可忽视的问题，VPN（虚拟私人网络）作为一种有效的解决方案，能够为用户提供加密的安全连接，隐藏其真实IP地址，并提供访问受限制资源的能力，并非所有人都愿意或有能力购买商业VPN服务，本文将指导您如何自行搭建一个基本的VPN服务器，以满足个人使用需求。

选择合适的硬件和软件

硬件要求：
- 至少一台运行Linux操作系统的服务器（推荐使用云服务器如AWS、Google Cloud等）。
- 确保服务器具有稳定的互联网连接。
- 根据需要,可以考虑添加额外的存储空间和带宽。
软件选择：
- OpenVPN：开源且功能强大，支持多种加密协议。
- WireGuard：新兴的快速、现代VPN协议，安全性高且配置简单。
- SoftEther VPN：跨平台的VPN软件，支持Windows、Linux等多种操作系统。

安装和配置VPN服务器

以下是使用OpenVPN搭建VPN服务器的基本步骤：

更新系统：
```
sudo apt update && sudo apt upgrade -y
```
安装OpenVPN：
```
sudo apt install openvpn easy-rsa -y
```

配置Easy-RSA：

mkdir ~/openvpn-ca
cp -r /usr/share/easy-rsa ~/openvpn-ca/
cd ~/openvpn-ca
cp vars.example vars
nano vars

在vars文件中设置以下变量：

export KEY_COUNTRY="CN"
export KEY_PROVINCE="Beijing"
export KEY_CITY="Beijing"
export KEY_ORG="Your Organization"
export KEY_EMAIL="your.email@example.com"
export KEY_OU="Your Unit"
export KEY_NAME="Your Name"
export KEY_ALTNAMES="your.server.ip.address"

初始化PKI并生成证书：

source vars
./clean-all
./build-ca
./build-key-server server
./build-dh
openssl dhparam -out dh.pem 2048

创建OpenVPN配置文件：

mkdir /etc/openvpn/server
cd /etc/openvpn/server
cp ~/openvpn-ca/keys/ca.crt ca.crt
cp ~/openvpn-ca/keys/dh.pem dh.pem
cp ~/openvpn-ca/keys/server.crt server.crt
cp ~/openvpn-ca/keys/server.key server.key
nano server.conf

添加以下配置：

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
tls-auth ta.key 0 # This file should be kept secret
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem

生成TLS密钥：
```
openvpn --genkey --secret ta.key
```

启动OpenVPN服务：

sudo systemctl start openvpn@server
sudo systemctl enable openvpn@server

配置防火墙和端口转发

打开防火墙端口：
```
sudo ufw allow 1194/udp
sudo ufw reload
```

启用IP转发：

sudo sysctl -w net.ipv4.ip_forward=1
echo "net.ipv4.ip_forward = 1" | sudo tee -a /etc/sysctl.conf
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
sudo sh -c "iptables-save > /etc/iptables/rules.v4"

客户端配置

生成客户端证书：
```
cd ~/openvpn-ca
./build-key client1
```
将生成的证书文件（client1.crt, client1.key, ca.crt, ta.key）复制到客户端机器上。

配置客户端：在客户端机器上创建一个名为client.ovpn的配置文件，添加以下内容：

client
remote your.server.ip.address 1194
proto udp
dev tun
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher AES-256-CBC
verify-x509-name server name
key-direction 1
<ca>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN PRIVATE KEY-----
...
-----END PRIVATE KEY-----
</key>
<tls-auth>
-----BEGIN OpenVPN Static Key V1-----
...
-----END OpenVPN Static Key V1-----
</tls-auth>