在 CentOS 6.5 上搭建安全可靠的 OpenVPN 服务器指南

在企业网络和远程办公日益普及的今天，虚拟私人网络（VPN）已成为保障数据传输安全的重要手段，CentOS 6.5 虽然已停止官方支持（EOL 于 2024 年），但在一些遗留系统中仍被广泛使用，本文将详细介绍如何在 CentOS 6.5 系统上搭建一个基于 OpenVPN 的安全 VPN 服务器，适用于远程访问内部资源、分支机构互联等场景。

确保你的 CentOS 6.5 系统已更新至最新补丁版本，并配置了静态 IP 地址和域名解析（例如通过 /etc/hosts 或 DNS），建议在搭建前创建一个备份快照或完整镜像,以防操作失误导致系统不可用。

第一步是安装必要的软件包，OpenVPN 和 Easy-RSA 是构建证书认证体系的核心组件,执行以下命令：

yum update -y
yum install -y openvpn easy-rsa

安装完成后，复制默认配置文件到 /etc/openvpn/ 目录：

cp /usr/share/doc/openvpn-*/sample/sample-config-files/server.conf /etc/openvpn/

配置 OpenVPN 服务器主文件 /etc/openvpn/server.conf,关键参数包括：

• port 1194：指定监听端口（可自定义,但需与防火墙规则一致）
• proto udp：推荐使用 UDP 协议以提升性能
• dev tun：使用 TUN 模式实现点对点隧道
• ca /etc/openvpn/easy-rsa/keys/ca.crt
• cert /etc/openvpn/easy-rsa/keys/server.crt
• key /etc/openvpn/easy-rsa/keys/server.key
• dh /etc/openvpn/easy-rsa/keys/dh1024.pem

这些路径指向由 Easy-RSA 工具生成的证书和密钥，进入 /etc/openvpn/easy-rsa 目录，初始化 PKI 环境并生成 CA 证书：

cd /etc/openvpn/easy-rsa
source vars
./clean-all
./build-ca

随后生成服务器证书和 Diffie-Hellman 参数：

./build-key-server server
./build-dh

为客户端生成证书，每台设备都需要独立证书（如 client1）：

./build-key client1

启用 IP 转发并配置 NAT 规则,使客户端能访问外网：

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -i tun0 -j ACCEPT
iptables -A FORWARD -s 10.8.0.0/24 -d 10.8.0.0/24 -j ACCEPT

重启 OpenVPN 服务并设置开机自启：

service openvpn start
chkconfig openvpn on

客户端配置方面，下载 ca.crt、client1.crt、client1.key 文件，并创建 client.ovpn 配置文件，内容包含服务器地址、协议、证书路径等信息，用户可通过 OpenVPN GUI 客户端或命令行连接。

需要注意的是，CentOS 6.5 已不安全，建议尽快迁移至较新版本（如 CentOS Stream 或 AlmaLinux），若必须使用，请定期手动更新软件包，禁用不必要的服务，并部署入侵检测系统（IDS）加强防护。

通过以上步骤，你可以在 CentOS 6.5 上成功部署一个功能完整的 OpenVPN 服务器，满足基本的远程安全接入需求，网络安全是一个持续的过程，定期审查日志、轮换密钥、限制权限,才能真正保障系统稳定运行。

VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN