原版OpenWRT配置OpenVPN

证书密钥文件生成

环境准备

安装OpenVPN以及所需工具

opkg update
opkg install luci-app-openvpn
opkg install openvpn-openssl
opkg install openvpn-easy-rsa

服务端证书生成

1. 初始化PKI目录

cd /etc/openvpn

easyrsa init-pki

2. 生成根证书（CA）

easyrsa build-ca nopass

3. 生成服务端证书及私钥

easyrsa build-server-full server nopass

4. 生成客户端证书及私钥

easyrsa build-client-full client1 nopass

后续新增用户只需修改client1为不同名称（如client2、client3）

5.生成Diffie-Hellman参数

此过程耗时较长（约10-30分钟）

easyrsa gen-dh

6. 证书文件位置说明

├── pki/
│   ├── ca.crt          # CA根证书
│   ├── dh.pem          # DH参数文件
│   ├── issued/
│   │   ├── server.crt  # 服务端证书
│   │   └── client1.crt # 客户端证书
│   └── private/
│       ├── server.key  # 服务端私钥
│       └── client1.key # 客户端私钥

客户端配置文件生成

在shell执行

cat > client1.ovpn <<EOF
client
dev tun
proto udp
remote <服务器地址> 1194
resolv-retry infinite
nobind
persist-tun
remote-cert-tls server
verb 3
comp-lzo yes

# 嵌入证书内容
<ca>
$(cat /etc/openvpn/pki/ca.crt)
</ca>
<cert>
$(cat /etc/openvpn/pki/issued/client1.crt)
</cert>
<key>
$(cat /etc/openvpn/pki/private/client1.key)
</key>
EOF