1
1) Add a new user
2
2) Revoke existing user
3
3) Remove OpenVPN
4
4) Exit

1
# 1. 把 easy-rsa 样板目录复制一份到工作目录
2
make-cadir ~/openvpn-ca        # 如果命令不存在，用 cp -r /usr/share/easy-rsa ~/openvpn-ca
3
cd ~/openvpn-ca
4

5
# 2. 初始化 PKI
6
./easyrsa init-pki
7

8
# 3. 创建 CA（会让你输入 CA 密码短语 + CN 名称）
9
./easyrsa build-ca
10

11
# 4. 生成服务端证书（nopass 表示服务端私钥不加密，方便服务自启）
12
./easyrsa build-server-full server nopass
13

14
# 5. 生成 Diffie-Hellman 参数（耗时几分钟）
15
./easyrsa gen-dh
16

17
# 6. 生成 HMAC 签名密钥（防 DoS + 端口扫描的额外一层）
18
openvpn --genkey secret pki/ta.key
19

20
# 7. 生成第 1 个客户端证书
21
./easyrsa build-client-full alice-laptop nopass

1
sudo mkdir -p /etc/openvpn/server
2
sudo cp pki/ca.crt \
3
        pki/issued/server.crt \
4
        pki/private/server.key \
5
        pki/dh.pem \
6
        pki/ta.key \
7
        /etc/openvpn/server/

1
port 1194
2
proto udp
3
dev tun
4

5
ca /etc/openvpn/server/ca.crt
6
cert /etc/openvpn/server/server.crt
7
key /etc/openvpn/server/server.key
8
dh /etc/openvpn/server/dh.pem
9
tls-auth /etc/openvpn/server/ta.key 0
10

11
# VPN 内网段（客户端会分到 10.8.0.x 的 IP）
12
server 10.8.0.0 255.255.255.0
13
ifconfig-pool-persist /var/log/openvpn/ipp.txt
14

15
# 让客户端所有流量都走 VPN（出国/翻墙场景必选；仅访问内网可注释）
16
push "redirect-gateway def1 bypass-dhcp"
17

18
# 推送 DNS 给客户端
19
push "dhcp-option DNS 1.1.1.1"
20
push "dhcp-option DNS 8.8.8.8"
21

22
keepalive 10 120
23
cipher AES-256-GCM
24
auth SHA256
25
user nobody
26
group nogroup         # Alpine / Arch 可能需要改成 nobody
27
persist-key
28
persist-tun
29

30
status /var/log/openvpn/status.log
31
log-append /var/log/openvpn/openvpn.log
32
verb 3
33

34
# 兼容新客户端的 TLS 最小版本
35
tls-version-min 1.2

1
# 开启 IPv4 转发（持久化）
2
echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/99-openvpn.conf
3
sudo sysctl --system
4

5
# 配置 NAT（把 VPN 内网段伪装成服务端公网 IP 出去）
6
# 先查你的公网出口网卡名
7
ip -o -4 route show to default | awk '{print $5}'
8
# 假设输出是 eth0
9

10
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
11
sudo iptables -A FORWARD -i tun0 -j ACCEPT
12
sudo iptables -A FORWARD -o tun0 -j ACCEPT

1
sudo systemctl enable --now openvpn-server@server
2
sudo systemctl status openvpn-server@server

1
# Alpine 的 init script 默认用 /etc/openvpn/openvpn.conf
2
sudo mv /etc/openvpn/server/server.conf /etc/openvpn/openvpn.conf
3
sudo rc-service openvpn start
4
sudo rc-update add openvpn default

1
cat > ~/alice-laptop.ovpn <<EOF
2
client
3
dev tun
4
proto udp
5
remote your-server.example.com 1194
6
resolv-retry infinite
7
nobind
8
persist-key
9
persist-tun
10
remote-cert-tls server
11
cipher AES-256-GCM
12
auth SHA256
13
key-direction 1
14
verb 3
15

16
<ca>
17
$(cat ~/openvpn-ca/pki/ca.crt)
18
</ca>
19
<cert>
20
$(cat ~/openvpn-ca/pki/issued/alice-laptop.crt)
21
</cert>
22
<key>
23
$(cat ~/openvpn-ca/pki/private/alice-laptop.key)
24
</key>
25
<tls-auth>
26
$(cat ~/openvpn-ca/pki/ta.key)
27
</tls-auth>
28
EOF

1
sudo mkdir -p /etc/openvpn/client
2
sudo cp alice-laptop.ovpn /etc/openvpn/client/myvpn.conf
3
# 注意：systemd 模板单元读 /etc/openvpn/client/ 下的 .conf 文件（不是 .ovpn）
4
# 所以这里重命名为 .conf

1
client
2
dev tun
3
proto udp
4
remote your-vpn-server.example.com 1194
5
resolv-retry infinite
6
nobind
7
persist-key
8
persist-tun
9
remote-cert-tls server
10

11
# 证书 & 密钥（路径用绝对路径或相对 /etc/openvpn/client/）
12
ca ca.crt
13
cert client.crt
14
key client.key
15
tls-auth ta.key 1
16

17
# 如果服务端启用了"用户名+密码"额外认证，取消下一行的注释
18
# auth-user-pass auth.txt
19

20
cipher AES-256-GCM
21
auth SHA256
22
verb 3

1
sudo tee /etc/openvpn/client/auth.txt > /dev/null <<EOF
2
your_username
3
your_password
4
EOF
5
sudo chmod 600 /etc/openvpn/client/auth.txt

1
# 配置文件放 /etc/openvpn/client/<名字>.conf
2
ls /etc/openvpn/client/myvpn.conf
3

4
# 启用并立即启动（开机自启 + 现在就跑）
5
sudo systemctl enable --now openvpn-client@myvpn
6

7
# 查看状态
8
sudo systemctl status openvpn-client@myvpn
9

10
# 实时日志
11
sudo journalctl -u openvpn-client@myvpn -f
12

13
# 停止 / 禁用
14
sudo systemctl disable --now openvpn-client@myvpn

1
# Alpine 默认 init 脚本读 /etc/openvpn/openvpn.conf
2
# 如果你只跑一个 VPN，把配置文件改名放到那里
3
sudo mv /etc/openvpn/client/myvpn.conf /etc/openvpn/openvpn.conf
4

5
# 启动 + 开机自启
6
sudo rc-service openvpn start
7
sudo rc-update add openvpn default
8

9
# 状态
10
sudo rc-service openvpn status
11

12
# 日志（OpenRC 下日志通常在 /var/log/messages 或 /var/log/openvpn/）
13
tail -f /var/log/messages