EC2 实例性能价格对比

一、生成服务器配置与证书

1. 创建基本目录结构

sudo mkdir -p /etc/openvpn/server
sudo mkdir -p /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa

2. 下载 Easy-RSA 工具

sudo apt install easy-rsa
sudo cp -r /usr/share/easy-rsa/* /etc/openvpn/easy-rsa/

3. 初始化 PKI 并配置变量

cd /etc/openvpn/easy-rsa
sudo ./easyrsa init-pki

set_var EASYRSA_REQ_COUNTRY    "CN"
set_var EASYRSA_REQ_PROVINCE   "Shanghai"
set_var EASYRSA_REQ_CITY       "Shanghai"
set_var EASYRSA_REQ_ORG        "MyVPN"
set_var EASYRSA_REQ_EMAIL      "admin@example.com"
set_var EASYRSA_REQ_OU         "Community"
set_var EASYRSA_ALGO           "ec"
set_var EASYRSA_DIGEST         "sha512"

4. 生成 CA 证书和服务器证书

sudo ./easyrsa build-ca nopass
sudo ./easyrsa gen-req server nopass
sudo ./easyrsa sign-req server server

5. 生成 Diffie-Hellman 参数和 TLS 密钥

sudo ./easyrsa gen-dh
sudo openvpn --genkey --secret /etc/openvpn/server/ta.key

二、配置 OpenVPN 服务器

1. 创建服务器配置文件

sudo nano /etc/openvpn/server/server.conf

port 1194
proto udp
dev tun

ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
tls-auth /etc/openvpn/server/ta.key 0

server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt

push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"

keepalive 10 120
cipher AES-256-CBC
auth SHA256
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3

2. 启用 IP 转发

sudo nano /etc/sysctl.conf
# 取消注释并设置：
net.ipv4.ip_forward=1

# 应用更改
sudo sysctl -p

三、配置防火墙规则

# 允许OpenVPN流量
sudo ufw allow 1194/udp

# 允许转发流量
sudo ufw route allow in on tun0 out on eth0

# 设置NAT（替换eth0为你的外网网卡名）
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# 保存规则
sudo netfilter-persistent save

四、创建客户端配置文件

1. 生成客户端证书

cd /etc/openvpn/easy-rsa
sudo ./easyrsa gen-req client1 nopass
sudo ./easyrsa sign-req client client1

2. 创建 client.ovpn 模板

sudo mkdir -p /etc/openvpn/client-configs/files
sudo nano /etc/openvpn/client-configs/base.conf

client
dev tun
proto udp
remote SERVER_IP 1194
resolv-retry infinite
nobind
persist-key
persist-tun
comp-lzo
verb 3
cipher AES-256-CBC
auth SHA256

<ca>
# CA证书内容将在此处插入
</ca>

<cert>
# 客户端证书内容将在此处插入
</cert>

<key>
# 客户端私钥内容将在此处插入
</key>

key-direction 1
<tls-auth>
# TA密钥内容将在此处插入
</tls-auth>

3. 自动生成完整的 client.ovpn

# 创建生成脚本
sudo nano /etc/openvpn/client-configs/make_config.sh

#!/bin/bash

# 客户端配置目录
KEY_DIR=/etc/openvpn/easy-rsa/pki
OUTPUT_DIR=/etc/openvpn/client-configs/files
BASE_CONFIG=/etc/openvpn/client-configs/base.conf

# 替换为你的服务器公网IP
SERVER_IP=your_server_ip

cat ${BASE_CONFIG} \
    <(echo -e '<ca>') \
    ${KEY_DIR}/ca.crt \
    <(echo -e '</ca>\n<cert>') \
    ${KEY_DIR}/issued/${1}.crt \
    <(echo -e '</cert>\n<key>') \
    ${KEY_DIR}/private/${1}.key \
    <(echo -e '</key>\n<tls-auth>') \
    /etc/openvpn/server/ta.key \
    <(echo -e '</tls-auth>') \
    | sed "s/SERVER_IP/${SERVER_IP}/" \
    > ${OUTPUT_DIR}/${1}.ovpn

# 设置正确的权限
chmod 600 ${OUTPUT_DIR}/${1}.ovpn

sudo chmod +x /etc/openvpn/client-configs/make_config.sh

4. 生成客户端配置文件

sudo /etc/openvpn/client-configs/make_config.sh client1

五、启动 OpenVPN 服务

# 启动服务并设置开机自启
sudo systemctl start openvpn@server
sudo systemctl enable openvpn@server

# 检查状态
sudo systemctl status openvpn@server

六、获取 client.ovpn 文件

# 从服务器下载（使用scp或SFTP）
scp username@server_ip:/etc/openvpn/client-configs/files/client1.ovpn ~/Downloads/

七、常见问题解决

1. 防火墙阻止连接：确保服务器安全组 / 防火墙允许 UDP 1194 端口。
2. 证书验证失败：确保证书路径正确，使用openssl verify命令检查证书有效性。
3. 无法访问外网：检查 IP 转发和 NAT 规则是否正确配置。

安装的版本情况

验证安装版本的方法

openvpn --version

OpenVPN 2.5.1 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD]
library versions: OpenSSL 3.0.2 15 Mar 2022, LZO 2.10

与其他版本的差异

• OpenVPN Community Edition：这是完全开源免费的版本，具备基础的 VPN 功能，比如支持 SSL/TLS 加密、多客户端连接等，一般通过系统的软件包管理器就可以进行安装。
• OpenVPN Access Server：它属于商业版本，需要付费获取许可证，提供了图形化管理界面、自动客户端配置生成等高级功能。若要安装这个版本，需要从 OpenVPN 官方网站下载专用的安装包。

可能存在的依赖问题

• 图形化配置工具：可以安装network-manager-openvpn。
• LDAP/Radius 认证支持：则需要安装openvpn-auth-ldap等相关软件包。

安全建议

• 安装完成后，建议及时更新系统，确保 OpenVPN 处于最新版本，以获取最新的安全补丁：
  bash

  运行

  sudo apt update && sudo apt upgrade
  

• 如果要在生产环境中使用，建议参考 OpenVPN 官方文档来进行配置优化，比如调整加密参数、设置访问控制等。

总结

一、生成客户端证书与私钥（在服务器端操作）

cd /etc/openvpn/easy-rsa
sudo ./easyrsa gen-req client1 nopass  # 生成客户端证书请求（client1是客户端名称，可自定义）
sudo ./easyrsa sign-req client client1  # 用CA签署客户端证书

• 私钥：/etc/openvpn/easy-rsa/pki/private/client1.key（即client.key）
• 证书：/etc/openvpn/easy-rsa/pki/issued/client1.crt

二、将证书文件传输到客户端

1. 客户端私钥：client1.key
2. 客户端证书：client1.crt
3. CA 证书：/etc/openvpn/easy-rsa/pki/ca.crt
4. TLS 密钥（可选，若服务器配置中使用）：/etc/openvpn/server/ta.key

# 在客户端执行，从服务器下载文件
scp username@server_ip:/etc/openvpn/easy-rsa/pki/private/client1.key ~/Downloads/
scp username@server_ip:/etc/openvpn/easy-rsa/pki/issued/client1.crt ~/Downloads/
scp username@server_ip:/etc/openvpn/easy-rsa/pki/ca.crt ~/Downloads/
scp username@server_ip:/etc/openvpn/server/ta.key ~/Downloads/

三、客户端配置文件整合

方法 1：嵌入式配置（推荐）

cat > ~/.openvpn/client.ovpn <<EOF
client
dev tun
proto udp
remote YOUR_SERVER_IP 1194
resolv-retry infinite
nobind
persist-key
persist-tun
comp-lzo
verb 3

<ca>
$(cat ~/Downloads/ca.crt)
</ca>

<cert>
$(cat ~/Downloads/client1.crt)
</cert>

<key>
$(cat ~/Downloads/client1.key)
</key>

key-direction 1
<tls-auth>
$(cat ~/Downloads/ta.key)
</tls-auth>
EOF

方法 2：外部引用（需确保文件路径正确）

client
dev tun
proto udp
remote YOUR_SERVER_IP 1194
resolv-retry infinite
nobind
persist-key
persist-tun
comp-lzo
verb 3

ca /path/to/ca.crt
cert /path/to/client1.crt
key /path/to/client1.key
tls-auth /path/to/ta.key 1

四、关键注意事项

1. 私钥安全：client.key是敏感文件，生成后需确保只有授权用户可访问（chmod 600 client.key）。
2. 证书一致性：客户端使用的 CA 证书必须与服务器端 CA 完全一致，否则会验证失败。
3. 多客户端支持：每个客户端需使用独立的证书和私钥（如client2.key、client3.key），避免密钥共享。

五、验证配置

openvpn --config ~/.openvpn/client.ovpn

Initialization Sequence Completed

一、错误原因分析

2025-06-17 23:01:28 read UDPv4 [ECONNREFUSED]: Connection refused (fd=3,code=111)

1. 服务器未运行 OpenVPN 服务：服务器上的 OpenVPN 进程可能没有启动。
2. 端口被防火墙屏蔽：服务器的 1194/UDP 端口被防火墙或者安全组阻止了。
3. 服务器地址或端口有误：客户端配置里填写的服务器 IP 地址或者端口号不正确。
4. 服务器故障：OpenVPN 服务崩溃或者服务器资源不足。

二、解决步骤

1. 确认服务器端 OpenVPN 服务的运行状态

sudo systemctl status openvpn@server

• 若服务未启动，使用以下命令启动：
  bash

  运行

  sudo systemctl start openvpn@server
  

• 若服务启动失败，查看日志以找出原因：
  bash

  运行

  sudo journalctl -u openvpn@server
  

2. 检查服务器防火墙设置

# 查看防火墙状态（Ubuntu默认使用ufw）
sudo ufw status

# 若未开放1194/UDP，执行以下命令
sudo ufw allow 1194/udp
sudo ufw reload

3. 检查云服务器安全组规则（如果服务器在 AWS、阿里云等云平台上）

• 登录 AWS 控制台，找到 EC2 实例对应的安全组。
• 添加入站规则，允许 UDP 协议的 1194 端口，来源可以设置为0.0.0.0/0（表示允许所有 IP）。

4. 验证客户端配置文件

grep 'remote ' ~/.openvpn/client1.ovpn
# 输出应类似：remote 34.199.45.31 1194

curl ifconfig.me

5. 测试网络连通性

• 在客户端使用 ping 命令测试与服务器的连通性：
  bash

  运行

  ping 34.199.45.31
  

• 使用 nc 命令测试 UDP 端口：
  bash

  运行

  nc -vzu 34.199.45.31 1194
  

  若端口开放，会显示Connection to 34.199.45.31 1194 port [udp/openvpn] succeeded!；若超时，则表示存在网络阻塞。

三、其他潜在问题

1. 客户端警告处理

• 压缩警告：在client1.ovpn中添加comp-lzo no以禁用压缩。
• 密码套件警告：将服务器和客户端配置中的cipher AES-256-CBC修改为data-ciphers AES-256-GCM。
• 证书验证警告：在client1.ovpn中添加verify-x509-name "server" name（假设服务器证书的通用名称为 "server"）。

2. SELinux/AppArmor 限制

# 临时禁用AppArmor（仅用于测试）
sudo aa-disable openvpn

# 永久禁用SELinux（编辑/etc/selinux/config）
SELINUX=disabled

四、验证修复效果

# 在服务器上重启OpenVPN
sudo systemctl restart openvpn@server

# 在客户端重新连接
openvpn --config ~/.openvpn/client1.ovpn

Initialization Sequence Completed

五、总结

1. 打开火狐浏览器，点击右上角的 “三横线” 菜单按钮，选择 “选项”。
2. 在选项页面，找到左侧的 “搜索” 选项并点击。
3. 在右侧窗格中，找到 “默认搜索引擎” 下拉菜单，选择 “无” 或手动输入一个不存在的地址。
4. 保存更改，此时地址栏将只用于输入具体的 URL，而不会进行搜索操作。

进一步诊断步骤

1. 确认服务器端 OpenVPN 服务状态

# 在服务器上执行
sudo systemctl status openvpn@server
sudo netstat -ulpn | grep 1194

• 若服务未运行，启动服务：
  bash

  运行

  sudo systemctl start openvpn@server
  

2. 检查服务器防火墙规则

# 查看ufw状态（Ubuntu默认防火墙）
sudo ufw status

# 若未开放1194/UDP，执行：
sudo ufw allow 1194/udp
sudo ufw reload

3. 验证云服务器安全组（以 AWS 为例）

4. 使用替代工具测试 UDP 连通性

# 在客户端安装socat（若未安装）
sudo apt install socat

# 发送测试包并等待响应
echo "test" | socat - UDP-DATAGRAM:34.199.45.31:1194,sourceport=50000 -

常见原因与解决方案

验证修复效果

# 客户端再次测试（应显示连接成功）
nc -vzu 34.199.45.31 1194
# 预期输出：
# Connection to 34.199.45.31 1194 port [udp/openvpn] succeeded!

# 重新启动OpenVPN客户端
openvpn --config ~/.openvpn/client1.ovpn

1. sudo systemctl status openvpn@server 的输出
2. sudo ufw status 的输出
3. AWS 安全组配置截图（如果适用）

一、通过 Web 管理界面下载（推荐）

1. 访问管理界面打开浏览器，输入服务器公网 IP 或域名，端口为943（如https://your-server-ip:943/admin）。使用管理员账号登录（默认用户名：openvpn，密码为安装时设置的密码）。
2. 导航至客户端配置页面左侧菜单选择 Client Management → Client Configurations。
3. 下载配置文件
   • 标准配置：点击 Client Software 区域的 Download Client Configuration，选择 .ovpn 格式。
   • 个性化配置：点击 Generate New Profile，可自定义配置参数（如协议、端口、加密方式），生成后下载。

二、通过用户门户下载（适合终端用户）

1. 访问用户门户打开浏览器，输入https://your-server-ip:943（无需/admin路径）。使用已授权的用户账号登录（如未创建，需管理员在 User Management 中添加）。
2. 下载配置文件
   • 在主页点击 Connect 按钮，选择 Download VPN Profile。
   • 或点击 Client Software 区域的 Download OpenVPN Configuration。

三、手动生成配置文件（高级）

1. 登录服务器使用 SSH 连接到 OpenVPN AS 服务器。
2. 生成配置文件
   bash

   运行

   cd /usr/local/openvpn_as/scripts
   ./sacli --user <username> --key "type_config" --value "generated" UserPropPut
   ./sacli --user <username> --key "prop_filename" --value "<filename>.ovpn" UserPropPut
   ./sacli --user <username> GenConfigFile
   

   • 将 <username> 替换为实际用户名，<filename> 为自定义文件名。
3. 获取配置文件生成的文件位于 /usr/local/openvpn_as/ccd/<username>，可通过 SFTP 或 scp 下载：
   bash

   运行

   scp username@your-server-ip:/usr/local/openvpn_as/ccd/<username> ~/Downloads/
   

四、客户端配置注意事项

1. 证书与密钥OpenVPN AS 生成的 .ovpn 文件已包含所有必要证书和密钥（嵌入式格式），无需额外导入。
2. 协议与端口默认使用 UDP 1194 和 TCP 443 双协议，若网络限制，可在管理界面调整（Network Settings → Server Network Settings）。
3. 客户端软件
   • Windows/macOS：推荐使用官方 OpenVPN Connect 客户端。
   • Linux：可使用 openvpn 命令行或 NetworkManager 插件。
   • 移动设备：从应用商店安装 OpenVPN Connect 应用。

五、故障排查

1. 无法访问管理界面
   • 检查服务器防火墙是否开放 TCP 943 端口。
   • 确认 OpenVPN AS 服务运行正常：sudo systemctl status openvpnas。
2. 下载的配置文件无法连接
   • 检查服务器公网 IP 是否正确（管理界面 Network Settings → Primary Network Interface）。
   • 确认客户端网络未封锁 OpenVPN 端口（UDP 1194/TCP 443）。
3. 权限问题确保用户已被授权访问 VPN（管理界面 User Management → 勾选 VPN Access）。

六、安全建议

• 禁用匿名访问：在 Client Management → Authentication/Authorization Settings 中关闭匿名访问。
• 启用双因素认证：在 User Management 中为用户启用 OTP（一次性密码）。
• 定期更新证书：在 CA Management 中更新服务器和客户端证书。

一、命令执行结果分析

1. 正常响应（成功场景）

# 服务器执行（新开终端）
sudo tcpdump -i any port 1194 -n
# 客户端执行socat后，服务器应捕获到UDP包：
14:30:22.123456 IP 客户端IP.50000 > 34.199.45.31.1194: UDP, length 4

2. 无响应（问题场景）

• 服务器防火墙/安全组拦截UDP 1194
• 服务器公网IP与实际地址不符
• 网络运营商封锁UDP 1194端口

二、服务器端深度排查

1. 确认防火墙规则（以ufw为例）

# 查看带编号的规则
sudo ufw status numbered

# 若缺少1194/UDP规则，执行（假设规则编号为5）
sudo ufw delete 5  # 先删除可能的错误规则
sudo ufw allow 1194/udp
sudo ufw reload

# 确认规则生效
sudo ufw status | grep 1194

2. 检查AWS安全组（关键！）

1. 登录AWS控制台 → EC2 → 实例 → 安全组
2. 确保入站规则包含：
   plaintext

   类型：自定义UDP规则
   端口范围：1194
   来源：0.0.0.0/0（或指定客户端IP）
   

3. 出站规则保持默认（All traffic allowed）

三、网络层问题诊断

1. 测试服务器UDP回环（本地验证）

# 在服务器上执行（新开终端）
socat UDP-LISTEN:1194 -

# 在服务器另一终端执行
echo "test" | socat - UDP-DATAGRAM:127.0.0.1:1194,sourceport=50000

# 若正常，应在监听终端看到"test"

2. 检查服务器公网IP一致性

# 服务器执行
curl ifconfig.me
# 确保输出与客户端配置的remote IP一致

四、运营商网络限制解决方案

1. 更换端口（如443/UDP）

• 服务器修改（/etc/openvpn/server.conf）：
  conf

  port 443
  proto udp
  

• 客户端修改（client1.ovpn）：
  conf

  remote 34.199.45.31 443
  proto udp
  

• 重启服务：
  bash

  运行

  sudo systemctl restart openvpn@server
  

2. 切换协议为TCP

• 服务器修改：
  conf

  port 443
  proto tcp
  

• 客户端修改：
  conf

  remote 34.199.45.31 443
  proto tcp
  

五、终极测试：临时关闭所有网络限制

# 服务器执行（危险！测试后立即恢复）
sudo ufw disable  # 关闭防火墙
sudo iptables -F  # 清空iptables规则

# 客户端执行socat
echo "test" | socat - UDP-DATAGRAM:34.199.45.31:1194,sourceport=50000

# 若成功，逐步恢复防火墙规则并定位阻塞规则

六、关键排查清单

1. 服务器端ufw status numbered的完整输出
2. AWS安全组配置截图（含入站/出站规则）
3. 客户端执行socat命令的完整终端日志（包括耗时）

一、问题原因分析

1. 网络连接异常：无法访问外部网络（如 VPN 连接问题、防火墙限制）。
2. DNS 服务器配置错误：系统使用的 DNS 服务器无法解析域名。
3. 本地 DNS 缓存问题：缓存的 DNS 记录过期或错误。
4. 网络服务商 DNS 拦截：ISP（网络服务提供商）临时阻断 DNS 请求。

二、基础排查步骤

1. 检查网络连接

• ping 公共域名（如 Google）：
  bash

  运行

  ping -c 4 google.com
  

  • 若超时，说明网络连接中断，需检查：
    • 网线 / 无线网络是否连接正常。
    • 路由器或网关是否工作正常。
    • VPN 连接是否导致网络冲突（若正在使用 VPN）。
• 测试 IP 访问（绕过 DNS）：
  bash

  运行

  curl -v http://8.8.8.8
  

  • 若能访问，说明 DNS 解析有问题；若无法访问，说明网络链路故障。

2. 检查 DNS 配置

• 查看当前 DNS 服务器：
  bash

  运行

  cat /etc/resolv.conf
  

  正常输出示例：
  plaintext

  nameserver 8.8.8.8
  nameserver 8.8.4.4
  

  • 若为空或包含无效地址（如127.0.0.1），需重新配置。
• 临时修改 DNS 服务器（以 Google DNS 为例）：
  bash

  运行

  sudo nano /etc/resolv.conf
  

  添加：
  plaintext

  nameserver 8.8.8.8
  nameserver 8.8.4.4
  

  保存后测试：
  bash

  运行

  nslookup us-east-1.ec2.archive.ubuntu.com
  

三、高级解决方案

1. 刷新 DNS 缓存（Linux 系统）

• systemd-resolved 服务（Ubuntu 18.04+）：
  bash

  运行

  sudo systemd-resolve --flush-caches
  

• 传统方法（适用于旧系统）：
  bash

  运行

  sudo /etc/init.d/nscd restart  # 若安装了nscd服务
  

2. 检查 NetworkManager 配置

• 重置 NetworkManager：
  bash

  运行

  sudo systemctl stop NetworkManager
  sudo rm /var/lib/NetworkManager/NetworkManager.state
  sudo systemctl start NetworkManager
  

• 重新生成 DNS 配置：
  bash

  运行

  sudo netplan apply  # 若使用netplan（Ubuntu 18.04+）
  

3. 排查 VPN 影响

• 若正在使用 VPN，断开后测试：
  bash

  运行

  openvpn --config /path/to/client.ovpn --disconnect
  

  • VPN 可能修改了 DNS 设置，导致解析异常。

四、针对 Ubuntu 软件源的特殊处理

1. 更换软件源镜像

• 备份原配置：
  bash

  运行

  sudo cp /etc/apt/sources.list /etc/apt/sources.list.bak
  

• 编辑源列表：
  bash

  运行

  sudo nano /etc/apt/sources.list
  

  • 将us-east-1.ec2.archive.ubuntu.com替换为其他镜像（如阿里云）：
    plaintext

    deb http://mirrors.aliyun.com/ubuntu/ jammy main restricted universe multiverse
    deb http://mirrors.aliyun.com/ubuntu/ jammy-updates main restricted universe multiverse
    # 其他源同理替换
    

• 更新软件源：
  bash

  运行

  sudo apt update
  

2. 手动指定源域名解析

• 添加域名解析到 hosts 文件：
  bash

  运行

  sudo nano /etc/hosts
  

  添加（需替换为实际 IP，可通过ping us-east-1.ec2.archive.ubuntu.com获取）：
  plaintext

  192.0.2.1 us-east-1.ec2.archive.ubuntu.com
  

五、网络故障排除工具

1. 检查 DNS 解析过程

dig us-east-1.ec2.archive.ubuntu.com @8.8.8.8

• 若返回connection timed out，说明无法访问 DNS 服务器。
• 若返回no answer，说明 DNS 服务器无法解析该域名。

2. 测试 DNS 服务器连通性

ping -c 4 8.8.8.8

• 若超时，说明 DNS 服务器地址不可达，需更换其他 DNS（如 114.114.114.114）。

六、总结解决流程

1. 确认网络连通性 → 2. 检查 DNS 配置 → 3. 刷新缓存 / 更换 DNS 服务器 → 4. 排查 VPN 或防火墙 → 5. 更换软件源镜像