OpenVPN

OpenVPN 是一套开源的 SSL/TLS VPN 解决方案,由 James Yonan 于 2001 年创建,现由 OpenVPN Inc. 维护。它使用 OpenSSL 库与自定义安全协议在公网上建立加密隧道,既能让远程用户安全接入内网(远程访问 VPN),也能把两个网络互联(站点到站点 VPN)。OpenVPN 以跨平台、稳定可靠、配置高度灵活著称,长期是企业远程办公与个人自建 VPN 的事实标准之一。

发展背景

在 OpenVPN 出现之前,IPsec 是主流 VPN 技术,但其配置复杂、对 NAT 与防火墙穿透不友好。OpenVPN 采用用户态运行 + 单一 UDP/TCP 端口的设计,使其更容易穿越 NAT 和防火墙(常用 443 端口伪装成 HTTPS)。它逐渐成为开源 VPN 的代表。随着 WireGuard 的兴起,OpenVPN 也推出了基于内核的 Data Channel Offload(DCO)以提升性能,并在新版本中支持纳入更现代的密码学。

核心功能

• SSL/TLS 加密:基于成熟的 OpenSSL,使用证书或预共享密钥进行身份认证与密钥协商。
• 两种工作模式:TUN(路由模式,三层 IP 隧道)与 TAP(桥接模式,二层以太网隧道)。
• 跨平台客户端:覆盖 Windows、macOS、Linux、Android、iOS 及众多路由器系统(OpenWrt/pfSense 等)。
• 灵活认证:支持证书、用户名密码、双因素(配合插件)、PAM、LDAP 等。
• NAT 穿透友好:单端口 UDP/TCP,可走 443 端口规避封锁。
• 推送配置:服务端可向客户端推送路由、DNS、网关等设置。

工作原理

OpenVPN 在客户端与服务端之间建立一条加密隧道:控制通道用 TLS 完成身份认证与密钥协商,数据通道用协商出的对称密钥加密实际流量。它创建一个虚拟网络接口(tun/tap),操作系统把发往 VPN 网络的数据包路由到该接口,OpenVPN 进程将其加密后封装进 UDP/TCP 报文发往对端,对端解密后注入其虚拟接口,从而实现透明的安全互联。传统版本数据加解密在用户态进行,DCO 则把数据通道下沉到内核以减少上下文切换、提升吞吐。

部署与配置

• 服务端:可在 Linux 服务器手动配置(生成 CA 与证书、编写 server.conf),或借助 OpenVPN Access Server、PiVPN、各路由系统的图形界面简化部署。
• 证书体系:常用 easy-rsa 建立 CA,为服务端与每个客户端签发证书,实现强身份认证与按客户端吊销。
• 客户端:导入 .ovpn 配置文件即可连接;移动端有官方 App。
• 硬件要求:对 CPU 加解密能力敏感,高吞吐场景受单核性能限制,DCO 可缓解。

典型使用场景

• 远程办公接入:员工从外网安全访问公司内网资源。
• 站点互联:总部与分支机构、家庭与云服务器组建专网。
• 个人安全出口:在不可信网络下加密上网流量。
• 路由器集成:在 OpenWrt/pfSense/OPNsense 上作为内置 VPN 服务。

与同类对比

相较 WireGuard,OpenVPN 配置更复杂、协议更重,但成熟稳定、功能丰富(细粒度认证、推送、TCP 模式抗封锁),生态与企业支持完善;WireGuard 更轻量、性能更高、配置更简洁,但功能更精简。相较 IPsec,OpenVPN 更易穿透 NAT 与防火墙、跨平台一致性好,但内核级 IPsec 在高吞吐下性能更优。许多场景下三者按需选择,OpenVPN 仍是兼容性与灵活性的稳妥之选。

优缺点与注意事项

• 优点:成熟稳定、跨平台、NAT/防火墙穿透好、认证灵活、社区与文档丰富。
• 缺点:配置相对复杂、传统用户态加解密吞吐受限、协议开销大于 WireGuard。
• 注意:务必使用强密码学与最新版本;TCP 模式仅在 UDP 被封时使用以避免 TCP-over-TCP 性能问题;高带宽需求可启用 DCO 或考虑 WireGuard。