OpenVPN VPS托管：部署私人VPN服务器

最快捷的OpenVPN部署方式是使用经过广泛验证的自动化脚本：

wget https://raw.githubusercontent.com/angristan/openvpn-install/master/openvpn-install.sh
chmod +x openvpn-install.sh
bash openvpn-install.sh

脚本会自动检测服务器IP、询问端口和协议选择（推荐UDP 1194），生成CA证书和服务器证书，并创建第一个客户端配置文件（.ovpn格式）。整个过程约5分钟。 安装完成后，客户端配置文件默认保存在：

/root/client.ovpn

通过scp下载到本地后即可导入各平台的OpenVPN客户端。

了解核心配置参数有助于针对特定需求进行调优。服务端配置文件「/etc/openvpn/server.conf」关键参数说明：

port 1194
proto udp
dev tun
# 证书路径
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
# 网段
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 1.1.1.1"
# 加密
cipher AES-256-GCM
auth SHA512
tls-version-min 1.2

「push redirect-gateway」指令让客户端将所有流量路由到VPN，「auth SHA512」提供消息认证。AES-256-GCM是目前最安全的对称加密算法组合。

标准OpenVPN在某些地区可能被DPI（深度包检测）识别并封锁。通过TCP 443端口和流量混淆可有效应对：

# 修改server.conf改为TCP模式：
proto tcp
port 443

更进一步可以配合obfsproxy或stunnel将OpenVPN流量伪装成普通HTTPS流量：

apt install -y stunnel4
# stunnel配置（/etc/stunnel/stunnel.conf）：
[openvpn]
accept = 8443
connect = 127.0.0.1:1194

客户端同样安装stunnel，连接到服务器的8443端口，stunnel在本地解包后转发到OpenVPN。这种组合能有效绕过大多数商业防火墙的VPN检测机制。