OpenVPN 与 1194 端口
1194 是 OpenVPN 的默认端口，默认使用 UDP，也可以改配为 TCP。它本身不定义加密算法，安全性来自 TLS 握手与数据通道的加密套件配置：服务端与客户端各自持有由同一 CA 签发的证书，客户端证书被吊销时通过吊销列表生效。因为基于标准 TLS 与通用网络栈实现，它能穿透多数网络环境，常被用作远程接入与站点互联的通道。
基本信息
| 服务 | OpenVPN 服务端与客户端 |
|---|---|
| 协议 | 默认 UDP 1194，可按需改 TCP |
| 配置目录 | /etc/openvpn/ 下的 conf 与证书文件 |
| 认证方式 | 服务端与客户端双向证书，可叠加用户名口令 |
| 权限要求 | 创建 tun 设备与改路由需 root 或相应能力 |
| 常见替代 | WireGuard 的默认端口为 51820 |
典型使用场景
- 远程办公接入：员工连上隧道后按网段访问内网资源
- 站点互联：分支机构与总部之间建立固定隧道
- 替代直接暴露内网端口：把管理入口放在隧道内，公网只留一个端口
- 跨境或跨云的稳定通道，按证书体系分层授权
- 临时排障通道：为特定供应商开通限时客户端证书，到期吊销
服务状态与日志检查
服务状态与日志检查
systemctl status openvpn@server # 服务是否在运行
ss -lunp | grep 1194 # 确认 UDP 监听地址与端口
tail -n 50 /var/log/openvpn.log # 看握手、分配地址与断连原因
ip addr show tun0 # 隧道接口是否建立并拿到地址
openvpn --config client.ovpn --verb 3 # 客户端前台运行便于观察过程常见故障与定位
| 现象 | 可能原因 | 处置方向 |
|---|---|---|
| 握手超时 | UDP 1194 被上游拦截 | 换端口或改走 TCP 443 再验证 |
| 证书错误 | 客户端证书过期或不在服务端 CA 链内 | 核对签发者与有效期 |
| 连上但访问不了内网 | 未下发路由或未开启转发 | 检查路由推送与内核转发开关 |
| 部分用户被拒 | 客户端证书已被吊销 | 核对吊销列表与生效时间 |
| 速度异常慢 | MTU 与分片设置不当 | 调整 MTU 或分片参数后复测 |
加固要点（server.conf 片段）
加固要点（server.conf 片段）
port 1194
proto udp # UDP 性能更好，也可按网络环境改 tcp
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-auth ta.key 0 # 控制通道额外校验，降低被主动扫描探测的概率
crl-verify crl.pem # 启用吊销列表，离职或设备丢失时立即失效
user nobody # 降权运行，减少被利用后的影响客户端私钥泄露等于身份被冒用，因此必须启用吊销列表并保留签发记录；设备丢失或人员离职时，先吊销对应证书再谈其他处置。
UDP 与 TCP 的取舍：UDP 不受队头阻塞影响，长距离与弱网下表现通常更好；只有在 UDP 被上游完全封禁时再改 TCP，改完要重新验证带宽与稳定性。
排障顺序：先看服务端日志里有没有收到客户端的握手请求，再看证书链与吊销状态，最后查路由与转发；日志里没有请求说明流量根本没到，问题在网络或端口而非配置。