在公网IP上搭建VPN可以实现远程安全访问内网资源,以下是分步指南及注意事项：

选择VPN协议

• OpenVPN：开源、跨平台，支持TCP/UDP，安全性高（推荐）。
• IPSec/L2TP：兼容性好，但配置复杂,某些网络可能屏蔽。
• WireGuard：轻量级、高性能，适合移动设备（需内核支持）。
• SoftEther：多协议支持,适合复杂需求。

准备工作

• 公网IP：确保路由器有真实公网IP（非运营商内网IP，如10./172./100.开头）。
  • 检查方法：访问 IP查询网站,对比路由器WAN口IP。
• 动态DNS（可选）：若IP动态变化，使用DDNS服务（如花生壳、No-IP）。
• 端口转发：在路由器转发VPN端口到内网服务器（如OpenVPN默认1194）。

部署示例（以OpenVPN为例）

Linux服务器安装

wget https://git.io/vpn -O openvpn-install.sh
sudo chmod +x openvpn-install.sh
sudo ./openvpn-install.sh  # 交互式配置，按提示输入公网IP/域名

• 脚本会自动生成客户端配置文件（.ovpn文件）,需下载到本地。

防火墙放行

sudo ufw allow 1194/udp  # OpenVPN默认UDP端口

路由器设置

• 进入管理界面（通常192.168.1.1），找到端口转发（Port Forwarding）：
  • 外部端口：1194（或自定义）
  • 内部IP：VPN服务器的内网IP（如192.168.1.100）
  • 协议：UDP（OpenVPN默认）

客户端连接

• 电脑/手机：安装OpenVPN客户端，导入.ovpn文件。
• 验证连接：访问IP查询网站,确认显示服务器公网IP即成功。

安全加固

• 证书认证：禁用密码登录,仅允许证书连接。
• 防火墙规则：限制VPN端口访问IP（如仅允许办公网络IP）。
• 日志监控：定期检查/var/log/openvpn.log异常登录。

常见问题

• 无法连接：
  • 检查路由器端口转发是否正确。
  • 服务器防火墙是否放行：sudo ufw status。
  • 测试端口是否开放：telnet 你的公网IP 1194（或使用nmap）。
• 动态IP变化：使用DDNS服务绑定域名。
• 运营商封锁：更换VPN端口（如443/TCP伪装HTTPS流量）。

替代方案（快速搭建）

• WireGuard：更简单高效，适合个人使用：

  # 一键脚本（如Algo VPN）
  wget https://raw.githubusercontent.com/trailofbits/algo/master/install.sh
  sudo bash install.sh

通过以上步骤，即可在公网IP上建立安全的VPN通道，如需更高隐私性，建议使用云服务器（如AWS/Aliyun）避免暴露家庭网络。