手把手教你用花生壳搭建安全稳定的个人VPN服务
作为一名网络工程师,我经常被朋友或同事问到：“能不能在家里搭个VPN，方便在外办公或者访问内网资源？”尤其是随着远程办公、居家学习的普及，对私有网络访问的需求越来越旺盛，在众多方案中，花生壳（Oray）作为一款成熟的内网穿透工具，因其易用性和稳定性，成为很多个人用户和小团队的首选，我就来详细讲解如何使用花生壳搭建一个稳定、安全的个人VPN服务。
你需要准备以下几样东西：
- 一台可以长期运行的服务器（如树莓派、老旧电脑或云服务器）；
- 一个花生壳账号（官网注册免费）；
- 一个公网IP地址（如果没有，可用花生壳动态域名解析功能）；
- 一套基础的Linux系统环境（推荐Ubuntu Server）；
- 安全意识——切勿将敏感信息暴露在公网！
第一步：配置花生壳客户端 登录花生壳官网，下载并安装对应系统的客户端（Windows/Linux/macOS都有），安装完成后，使用你的账号登录，并绑定一个域名（myhome.oray.com），这样无论你家里的IP怎么变，都能通过这个域名访问到你家的设备。
第二步：部署OpenVPN服务 花生壳本身不直接提供“VPN”功能，但你可以借助它实现内网穿透，再在你的服务器上部署OpenVPN服务，以Ubuntu为例：
-
更新系统并安装OpenVPN：
sudo apt update && sudo apt install openvpn easy-rsa -y
-
生成证书和密钥（这是保证连接安全的关键步骤）：
make-cadir /etc/openvpn/easy-rsa cd /etc/openvpn/easy-rsa sudo ./easyrsa init-pki sudo ./easyrsa build-ca nopass sudo ./easyrsa gen-req server nopass sudo ./easyrsa sign-req server server sudo ./easyrsa gen-req client1 nopass sudo ./easyrsa sign-req client client1
-
配置OpenVPN服务端： 创建
/etc/openvpn/server.conf文件，内容如下（简化版）：port 1194 proto udp dev tun ca /etc/openvpn/easy-rsa/pki/ca.crt cert /etc/openvpn/easy-rsa/pki/issued/server.crt key /etc/openvpn/easy-rsa/pki/private/server.key dh /etc/openvpn/easy-rsa/pki/dh.pem server 10.8.0.0 255.255.255.0 push "redirect-gateway def1 bypass-dhcp" push "dhcp-option DNS 8.8.8.8" keepalive 10 120 comp-lzo user nobody group nogroup persist-key persist-tun status /var/log/openvpn-status.log verb 3 -
启动OpenVPN服务：
sudo systemctl enable openvpn@server sudo systemctl start openvpn@server
第三步：配置防火墙与NAT转发 确保服务器防火墙允许UDP 1194端口通行（ufw或firewalld均可），同时启用IP转发：
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf sysctl -p
最后一步：客户端配置
将之前生成的 client1.crt, client1.key, 和 ca.crt 下载到你的手机或电脑上，用OpenVPN客户端导入配置文件即可连接。
注意事项：
- 花生壳免费版每月流量有限（约10GB），建议用于轻量级应用；
- 若需更高性能,可考虑付费版或使用Cloudflare Tunnel + WireGuard组合；
- 定期更新证书,避免密钥泄露；
- 建议开启双因素认证,增强账户安全。
花生壳+OpenVPN是一个性价比极高的家庭或小型办公室解决方案，尤其适合没有固定公网IP的用户，虽然过程略复杂，但一旦配置成功，就能随时随地安全访问家中网络资源，作为一名网络工程师，我始终强调：技术不是目的，安全才是根本，希望这篇文章能帮你迈出搭建私人VPN的第一步！
相关文章
