在企业网络和远程办公日益普及的今天，安全可靠的远程访问解决方案显得尤为重要，OpenVPN 是一个开源、跨平台的虚拟私人网络（VPN）软件，以其高安全性、灵活性和良好的兼容性成为许多 IT 管理员的首选工具，本文将详细介绍如何在 Windows Server 2012 系统上搭建 OpenVPN 服务，包括环境准备、证书生成、服务器配置、防火墙设置以及客户端连接测试,帮助你快速部署一套稳定高效的远程访问系统。
确保你的 Windows Server 2012 已正确安装并具备以下条件：
- 静态 IP 地址分配（推荐使用内网静态 IP）
- 允许通过 TCP/UDP 1194 端口（默认 OpenVPN 端口）
- 启用“远程桌面服务”或“远程管理工具”以便后续维护
- 安装 OpenSSL 和 OpenVPN 的 Windows 版本（可从官网下载）
接下来是核心步骤——证书与密钥的生成，OpenVPN 使用 TLS 加密通信，必须依赖数字证书，建议使用 Easy-RSA 工具包（通常随 OpenVPN 一起提供）来生成 CA 根证书、服务器证书和客户端证书,具体操作如下：
- 解压 OpenVPN 安装包后，在
easy-rsa文件夹中运行vars.bat设置变量（如国家、组织名等）； - 执行
clean-all.bat清理旧证书； - 运行
build-ca.bat创建根证书（CA）； - 运行
build-key-server servername.bat生成服务器证书； - 运行
build-key clientname.bat为每个客户端生成唯一证书； - 生成 Diffie-Hellman 参数：
build-dh.bat,用于密钥交换； - 生成 HMAC 密钥：
openvpn --genkey --secret ta.key,增强防伪造能力。
证书生成完成后，需配置 OpenVPN 服务器主文件（通常位于 C:\Program Files\OpenVPN\config\server.ovpn）,关键参数包括：
dev tun：使用隧道模式；proto udp：选择 UDP 协议（性能更优）；port 1194：监听端口；ca ca.crt、cert server.crt、key server.key：指定证书路径；dh dh2048.pem：指定 Diffie-Hellman 参数；server 10.8.0.0 255.255.255.0：定义内部 IP 池；push "redirect-gateway def1 bypass-dhcp"：强制客户端流量走 VPN；push "dhcp-option DNS 8.8.8.8"：推送 DNS 服务器。
配置完成后，启动 OpenVPN 服务（服务名称为 OpenVPNService），并在 Windows 防火墙中添加入站规则允许 1194 端口（TCP 或 UDP，根据协议选择），如果使用 NAT 路由器，还需做端口映射（Port Forwarding）将外部请求转发至服务器内网 IP。
为客户端配置，下载 OpenVPN GUI 客户端（Windows 版），将上述生成的 clientname.crt、clientname.key、ca.crt 和 ta.key 文件合并为 .ovpn 配置文件,并添加以下内容：
client
dev tun
proto udp
remote your-server-ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert clientname.crt
key clientname.key
tls-auth ta.key 1保存后双击运行，即可成功连接服务器，建议定期更新证书和密钥以增强安全性,同时启用日志记录功能便于排查问题。
通过以上步骤，你可以在 Windows Server 2012 上成功部署 OpenVPN 服务，实现多用户安全远程访问内部资源,为企业数字化转型提供可靠支持。
