Windows Server 2012 搭建 OpenVPN 服务完整指南，从证书生成到客户端配置

在企业网络或远程办公场景中，OpenVPN 是一种广泛使用的开源虚拟私人网络（VPN）解决方案，它基于 OpenSSL 和 SSL/TLS 协议，提供高安全性、灵活性和跨平台兼容性，本文将详细介绍如何在 Windows Server 2012 环境下部署并配置 OpenVPN 服务，涵盖环境准备、证书颁发机构（CA）搭建、服务器端安装与配置、防火墙设置以及客户端连接测试。

确保你拥有以下前提条件：

• 一台运行 Windows Server 2012 的物理机或虚拟机；
• 公网静态 IP 地址（用于外部访问）；
• 管理员权限；
• 已安装 OpenVPN Community Edition（建议使用最新稳定版本如 2.5.x 或 2.6.x）；
• 可选：域名解析服务（如 DNS 记录指向公网 IP）。

第一步：安装 OpenVPN 服务端
下载 OpenVPN for Windows 安装包（推荐从官网 https://openvpn.net/community-downloads/ 获取），运行安装程序，在安装过程中选择“Server”模式，并勾选“Install OpenVPN Service”选项，默认会安装到 C:\Program Files\OpenVPN。

第二步：创建证书和密钥（使用 Easy-RSA）
OpenVPN 使用 TLS 证书进行身份验证，我们使用 OpenVPN 自带的 Easy-RSA 工具来生成 CA 根证书、服务器证书和客户端证书。

1. 打开命令提示符（以管理员身份运行），进入 OpenVPN 安装目录下的 easy-rsa 文件夹（通常为 C:\Program Files\OpenVPN\easy-rsa）。
2. 运行 init.bat 初始化证书结构。
3. 编辑 vars.bat 文件，根据需要修改国家、组织等字段（set KEY_COUNTRY=CN）。
4. 执行 clean-all.bat 清除旧证书，然后依次运行：
   • build-ca.bat 创建 CA 根证书；
   • build-key-server.bat 创建服务器证书（输入服务器名称，如 “server”）；
   • build-key.bat <client_name> 创建客户端证书（如 “client1”）。
5. 生成 Diffie-Hellman 参数：build-dh.bat。

第三步：配置 OpenVPN 服务器
编辑 C:\Program Files\OpenVPN\config\server.conf 文件，关键配置如下：

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3

第四步：配置防火墙和路由
在 Windows 防火墙中开放 UDP 端口 1194，确保服务器能接收外部请求，若需启用路由转发（如允许客户端访问内网资源），还需在 Windows Server 上启用“Internet连接共享”或配置静态路由。

第五步：启动服务与客户端测试
运行 net start openvpnservice 启动 OpenVPN 服务，将生成的客户端证书文件（.crt）、私钥（.key）和 CA 证书打包成 .ovpn 配置文件，分发给用户,示例客户端配置：

client
dev tun
proto udp
remote your-public-ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
comp-lzo
verb 3

在客户端电脑上导入该 .ovpn 文件即可连接，连接成功后，客户端将获得一个虚拟 IP（如 10.8.0.x）,并可通过隧道安全访问内部资源。

通过以上步骤，你已在 Windows Server 2012 上成功部署了一个安全、稳定的 OpenVPN 服务，此方案适用于小型企业或个人远程办公需求,具备良好的可扩展性和维护性。