在CentOS系统上安装OpenVPN可以为企业或个人用户提供安全的远程访问解决方案,OpenVPN作为一种强大的VPN技术，通过加密隧道确保数据传输的安全性，广泛应用于跨地域网络连接和隐私保护场景，本文将详细介绍在CentOS 7/8系统上部署OpenVPN服务器的完整流程，包括环境准备、证书生成、服务配置及客户端连接等关键步骤。
环境准备与依赖安装
首先需要确保系统已更新至最新状态,并安装必要的编译工具和依赖包，执行yum update -y更新系统后，安装EPEL仓库及开发工具包：yum install -y epel-release gcc make openssl-devel lzo-devel pam-devel. 安装完成后，下载OpenVPN最新源码包（如2.5版本）并解压，进入源码目录执行./configure和make && make install完成编译安装，建议同时安装easy-rsa工具，用于简化证书管理过程。
证书与密钥生成
OpenVPN的安全基础依赖于PKI证书体系,首先创建/etc/openvpn/easy-rsa目录，将easy-rsa的源码文件复制至此，编辑vars文件，设置变量如KEY_COUNTRY、KEY_PROVINCE等证书信息，执行source vars加载变量后，运行./clean-all清理旧证书，再依次执行./build-ca生成CA证书、./build-key-server server生成服务器证书及密钥，为每个客户端生成独立证书时，使用./build-key client1命令，确保每个客户端拥有唯一的身份标识。
服务端配置文件编辑
在/etc/openvpn/目录下创建server.conf配置文件，核心参数包括：port 1194指定监听端口，proto udp选择传输协议，dev tun使用TAP虚拟网卡，证书路径需设置为前面生成的文件位置，如ca /etc/openvpn/easy-rsa/pki/ca.crt，启用server 10.8.0.0 255.255.255.0定义客户端地址池，push "redirect-gateway def1 bypass-dhcp"强制客户端流量通过VPN，配置keepalive 10 120维持连接活性，并设置user nobody和group nobody提升服务安全性，最后在/etc/sysctl.conf中启用IP转发，执行sysctl -p生效。
防火墙与SELinux配置
CentOS系统默认启用防火墙,需添加1194端口规则并允许NAT转发：firewall-cmd --permanent --add-port=1194/udp和firewall-cmd --permanent --add-masquerade，重载防火墙后，若启用SELinux，需安装openvpn SELinux策略包并执行setsebool -P openvpn_can_network_connect=1，这些步骤确保VPN流量能正常穿越系统安全屏障。
启动服务与客户端连接
执行systemctl enable --now openvpn@server启动服务并设置开机自启，使用systemctl status openvpn@server检查服务状态，客户端配置文件需包含服务器IP、端口、证书路径及密钥信息，通过openvpn --config client.conf命令连接，服务器端可查看/var/log/openvpn/openvpn.log监控连接状态，使用ip a show tun0确认虚拟网卡是否正常工作。
FAQs
Q1: 如何验证OpenVPN客户端是否成功连接到服务器？
A1: 客户端连接后，可执行ipconfig（Windows）或ip a show（Linux）查看是否获得VPN分配的IP地址，服务器端使用tail -f /var/log/openvpn/openvpn.log应显示客户端连接信息，同时通过ping 10.8.0.1测试与VPN网通的连通性。
Q2: 客户端连接后无法访问内网资源，如何排查？
A2: 首先检查服务器防火墙是否允许VPN子网流量，确认iptables或firewalld的NAT规则是否正确，其次检查客户端配置中的redirect-gateway参数是否启用，并验证服务器端push的DNS设置是否正确，最后通过tcpdump抓包分析数据包是否到达VPN接口。