Ubuntu/Debian

构建VPN（虚拟专用网络）需要根据需求选择适合的类型（如远程访问、站点到站点等），并考虑安全性、性能和成本，以下是分步指南：

选择VPN协议

1. OpenVPN

   • 开源,支持TCP/UDP，配置灵活，适合大多数场景。
   • 需要安装客户端软件（如OpenVPN Connect）。
   • 示例命令：

     openvpn --config client.ovpn

2. WireGuard

   • 高性能,现代加密（ChaCha20），轻量级。

   • 配置简单,适合移动设备。

   • 示例配置（/etc/wireguard/wg0.conf）：

     [Interface]
     PrivateKey = <客户端私钥>
     Address = 10.8.0.2/24
     [Peer]
     PublicKey = <服务器公钥>
     Endpoint = server_ip:51820
     AllowedIPs = 0.0.0.0/0

3. IPSec/L2TP

   • 兼容性好（内置在多数操作系统中），但配置复杂。
   • 适合企业级站点到站点VPN。

搭建VPN服务器（以OpenVPN为例）

准备服务器

• 选择云服务商（AWS、DigitalOcean等）或本地服务器。
• 确保防火墙开放端口（如UDP 1194 for OpenVPN）。

安装OpenVPN

sudo apt install openvpn easy-rsa

配置证书

make-cadir ~/openvpn-ca
cd ~/openvpn-ca
./build-ca          # 创建CA
./build-key-server server  # 服务器证书
./build-key client1       # 客户端证书
./build-dh                # Diffie-Hellman参数

生成服务器配置文件

• 编辑 /etc/openvpn/server.conf：

  port 1194
  proto udp
  dev tun
  ca /path/to/ca.crt
  cert /path/to/server.crt
  key /path/to/server.key
  dh /path/to/dh.pem
  server 10.8.0.0 255.255.255.0
  push "redirect-gateway def1"  # 重定向客户端流量
  push "dhcp-option DNS 8.8.8.8"
  keepalive 10 120
  tls-auth /path/to/ta.key 0
  cipher AES-256-CBC
  user nobody
  group nogroup
  persist-key
  persist-tun
  status /var/log/openvpn-status.log
  verb 3

启动服务

sudo systemctl start openvpn@server
sudo systemctl enable openvpn@server

配置客户端

1. 生成客户端配置文件（client.ovpn）

   client
   dev tun
   proto udp
   remote your_server_ip 1194
   resolv-retry infinite
   nobind
   persist-key
   persist-tun
   ca ca.crt
   cert client.crt
   key client.key
   remote-cert-tls server
   cipher AES-256-CBC
   verb 3

2. 分发配置文件

   • 将client.ovpn和证书文件安全传输到客户端设备。

高级配置

1. 安全性增强

   • 启用TLS认证（tls-auth）防止DoS攻击。
   • 使用双重认证（如Google Authenticator插件）。

2. 性能优化

   • 选择靠近用户的服务器位置。
   • 启用压缩（如comp-lzo，但注意安全性风险）。

3. 日志与监控

   • 检查日志：tail -f /var/log/openvpn.log
   • 使用工具如vnstat监控流量。

替代方案

• 云服务商托管VPN：

  AWS Client VPN、Tailscale（基于WireGuard）。

• 路由器内置VPN：

  在OpenWRT/DD-WRT路由器上配置VPN服务。

注意事项

• 法律合规：确保VPN使用符合当地法律法规。
• 定期更新：修补漏洞，更新OpenVPN/WireGuard版本。
• 备份配置：避免证书丢失导致服务中断。

如需更简单的方案,可考虑现成工具如SoftEther VPN或Algo VPN（自动化部署工具）。