云服务器Linux

                                            

云服务器Linux配置VPN全攻略：从零开始搭建专属加密通道


    
随着网络安全日益受到重视，越来越多用户选择在云服务器上搭建VPN实现安全访问。本文将详细介绍在Linux云服务器上配置VPN的全过程，包含OpenVPN和WireGuard两种主流方案，助您轻松构建企业级加密通道。



    
目录
    

        
准备工作
        
方案一：OpenVPN配置
        
方案二：WireGuard配置
        
常见问题排查
        
性能优化建议
    



    
一、基础环境准备
    
在开始配置前，请确保您的云服务器满足以下条件：
    

        
操作系统：Ubuntu 20.04+/CentOS 7+等主流Linux发行版
        
网络配置：已开放UDP 1194(OpenVPN)或UDP 51820(WireGuard)端口
        
权限要求：root或sudo权限账户
        
硬件要求：至少1核CPU/1GB内存（实测AWS t3.micro可流畅运行）
    

    

        
⚠️ 重要提示：部分云服务商（如阿里云）需要额外在安全组规则中放行相应端口
    



    
二、OpenVPN服务端配置详解
    
    
2.1 安装必要组件
    
# Ubuntu/Debian
sudo apt update && sudo apt install -y openvpn easy-rsa

# CentOS/RHEL
sudo yum install -y epel-release
sudo yum install -y openvpn easy-rsa

    
2.2 证书体系构建
    
使用easy-rsa工具创建PKI基础设施：
    
make-cadir ~/openvpn-ca
cd ~/openvpn-ca
./easyrsa init-pki
./easyrsa build-ca nopass  # 无密码CA证书
./easyrsa gen-req server nopass
./easyrsa sign-req server server
./easyrsa gen-dh  # 生成Diffie-Hellman参数

    
2.3 服务端配置文件
    
创建/etc/openvpn/server.conf典型配置：
    
port 1194
proto udp
dev tun
ca /root/openvpn-ca/pki/ca.crt
cert /root/openvpn-ca/pki/issued/server.crt
key /root/openvpn-ca/pki/private/server.key
dh /root/openvpn-ca/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
cipher AES-256-CBC
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3



    
三、WireGuard极简配置方案
    
    
3.1 内核模块检查
    
sudo modprobe wireguard
lsmod | grep wireguard  # 验证模块加载

    
3.2 快速安装部署
    
# Ubuntu
sudo apt install -y wireguard

# CentOS
sudo yum install -y elrepo-release epel-release
sudo yum install -y kmod-wireguard wireguard-tools

    
3.3 密钥对生成
    
umask 077
wg genkey | tee privatekey | wg pubkey > publickey

    
3.4 服务端配置示例
    
/etc/wireguard/wg0.conf典型配置：
    
[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = [服务器私钥]

[Peer]
PublicKey = [客户端公钥]
AllowedIPs = 10.0.0.2/32



    
四、常见问题排查指南
    
    

        

            
问题现象
            
可能原因
            
解决方案
        
        

            
连接超时
            
防火墙未放行端口
            
检查iptables/ufw及云平台安全组规则
        
        

            
TLS握手失败
            
证书时间不同步
            
执行ntpdate同步服务器时间
        
        

            
路由不可达
            
未启用IP转发
            
设置net.ipv4.ip_forward=1
        
    



    
五、高阶性能优化
    
    

        
5.1 OpenVPN优化参数
        

            
启用多线程：tls-server + tls-crypt
            
更换加密算法：cipher AES-256-GCM
            
开启压缩：compress lz4-v2
        

        
5.2 WireGuard内核调优
        

            
启用多队列：wg set wg0 peer [KEY] endpoint [IP]:[PORT] persistent-keepalive 25
            
MTU优化：PostUp = ip link set mtu 1420 dev wg0
            
启用BBR拥塞控制
        
    



    
总结与建议
    
通过本文的详细指导，您应该已经成功在Linux云服务器上部署了VPN服务。对于企业用户，建议：
    

        
定期轮换证书密钥（推荐每90天）
        
启用双因素认证增强安全性
        
配置日志监控和告警机制
    
    
根据实测数据，WireGuard在吞吐量上比OpenVPN提升约30%，而OpenVPN在兼容性方面表现更优。用户可根据实际需求选择合适的方案。



    
常见Q&A
    
Q：如何测试VPN实际速度？

    A：推荐使用iperf3进行吞吐量测试：iperf3 -c [服务器IP] -p 5201 -t 30
    
    
Q：能否实现国内外流量分流？

    A：可通过路由策略实现，推荐使用ipset配合国内IP列表