openvpn

OpenVPN 服务端与客户端配置

补充说明

OpenVPN 基于 TLS 的 VPN，支持 UDP/TCP、证书认证和路由推送。服务端和客户端都用配置文件启动，证书通常由 easy-rsa 管理。

常用示例

openvpn --config /etc/openvpn/client.conf
openvpn --config /etc/openvpn/server.conf
openvpn --genkey secret ta.key
systemctl enable --now openvpn@server
systemctl status openvpn@server

服务端配置要点：

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-crypt ta.key
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 1.1.1.1"
keepalive 10 120

客户端：

client
remote vpn.example.com 1194
proto udp
dev tun
ca ca.crt
cert client.crt
key client.key
tls-crypt ta.key
remote-cert-tls server

易错点与排错

• 证书过期、CRL 未更新或 CN 不匹配会导致握手失败。
• redirect-gateway 会改默认路由；排查断网先看客户端路由表。
• UDP 被防火墙/运营商限制时改用 TCP，但性能会下降。
• 服务端要开启转发和 NAT，并放行 1194。
• tun 与 tap 的适用场景不同；二层需求才用 tap。
• 客户端配置里的证书路径要和实际文件一致；Windows 路径尤其容易错。
• 版本和加密套件要匹配；老客户端可能不支持新默认值。
• 用 --verb 4 看握手细节，不要只看“连接失败”。

相关命令

• openvpn — VPN 客户端/服务端
• ip route — 路由检查
• iptables / nft — 防火墙与 NAT