在当今高度互联的数字环境中,网络安全成为每个家庭和小型企业用户必须重视的问题，对于拥有华硕（ASUS）、TP-Link、Netgear等支持固件刷写功能的WRT系列路由器（如WRT1900AC、WRT3200ACM等）的用户而言，通过在设备上部署OpenVPN服务，可以构建一个稳定、加密且可自定义的虚拟私人网络（VPN）服务器，从而实现远程安全访问内网资源，比如NAS、摄像头、文件共享或打印机。
本文将详细介绍如何在WRT类路由器上安装与配置OpenVPN服务器,帮助你打造一个私密、可靠的远程访问解决方案。
第一步：准备阶段
确保你的路由器已刷入第三方固件，例如DD-WRT、Tomato或OpenWrt，这些固件提供了完整的Linux环境，支持OpenVPN服务，以OpenWrt为例，推荐使用最新稳定版（如OpenWrt 22.03或更高版本），因为其内置了图形化界面（LuCI）和命令行工具，便于管理。
第二步：生成证书和密钥
OpenVPN依赖于SSL/TLS协议进行身份认证，因此需要创建CA证书、服务器证书和客户端证书，你可以使用Easy-RSA工具（OpenWrt默认已集成），打开SSH终端，执行以下命令：
cd /etc/openvpn/ ./easyrsa init-pki ./easyrsa build-ca nopass ./easyrsa gen-req server nopass ./easyrsa sign-req server server
上述命令会生成CA根证书（ca.crt）、服务器证书（server.crt）和私钥（server.key），同时建议生成DH参数用于密钥交换：
./easyrsa gen-dh
第三步：配置OpenVPN服务
编辑主配置文件 /etc/openvpn/server.conf，设置监听端口（默认UDP 1194）、TLS协议、证书路径、子网分配（如10.8.0.0/24）、日志级别等，关键配置项如下：
port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3第四步：启用防火墙规则
在OpenWrt中，需允许UDP 1194端口，并启用IP转发，进入LuCI界面：网络 → 防火墙 → 自定义规则，添加：
iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o tun0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE第五步：启动服务并测试
运行 systemctl enable openvpn@server 和 systemctl start openvpn@server 启动服务，生成客户端配置文件（client.ovpn），包含CA证书、客户端证书、私钥和服务器地址，使用OpenVPN Connect或官方客户端连接即可。
通过以上步骤，你可以在WRT路由器上成功部署OpenVPN服务器，实现跨地域的安全访问，相比云服务或商业VPN方案，本地部署更可控、成本低，适合技术爱好者和小团队使用，建议定期更新证书和固件，增强安全性，一个健壮的VPN不仅保护数据，也让你真正掌控自己的网络边界。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
