如何安全高效地与朋友建立点对点VPN连接—网络工程师的实操指南

半仙VPN 2026-04-08 22:39:57 2 0

微信

微信扫描二维码
微博
空间
好友

在当今远程协作和家庭办公日益普及的背景下，许多用户希望通过虚拟私人网络（VPN）实现跨地域的安全通信，尤其是与朋友之间共享文件、联机游戏或远程访问彼此设备时，建立一个稳定、安全的点对点（P2P）VPN连接显得尤为重要，作为一位经验丰富的网络工程师，我将为你详细介绍如何在不依赖第三方服务的情况下，与朋友搭建一个私密、可靠的个人VPN。

明确需求：你与朋友都拥有公网IP地址，或者至少有一方能通过动态DNS（DDNS）暴露其内网地址，若双方均处于NAT之后（如家庭宽带），建议使用UDP端口转发或内网穿透工具（如frp、ngrok）辅助配置，我们以Linux系统为例,推荐使用OpenVPN或WireGuard两种主流方案。

OpenVPN（传统稳定，适合新手）

在其中一方（服务器端）安装OpenVPN并生成证书：

sudo apt install openvpn easy-rsa
make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
./easyrsa init-pki
./easyrsa build-ca
./easyrsa gen-req server nopass
./easyrsa sign-req server server

生成客户端证书（给朋友）：

./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

配置服务器端server.conf，启用TAP模式或TUN模式（TUN更轻量，推荐用于点对点）：

dev tun
proto udp
port 1194
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

将生成的证书文件（ca.crt、client1.crt、client1.key）传输给朋友，并在朋友电脑上创建client1.ovpn配置文件。
启动服务：sudo systemctl start openvpn@server，确保防火墙放行UDP 1194端口。

WireGuard（现代高效，性能优越）

WireGuard是近年来备受推崇的轻量级协议,配置简单且加密强度高：

安装WireGuard：
```
sudo apt install wireguard
```

生成密钥对：

wg genkey | tee privatekey | wg pubkey > publickey

配置服务器端wg0.conf：

[Interface]
PrivateKey = <服务器私钥>
Address = 10.0.0.1/24
ListenPort = 51820
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
[Peer]
PublicKey = <朋友公钥>
AllowedIPs = 10.0.0.2/32