从服务器到客户端，按步骤搭建个人VPN并配置访问权限

如何搭建vpn，可以按“准备服务器—建立加密隧道—限制可访问资源—逐台添加客户端”的顺序完成。以下以 Ubuntu 云主机和 WireGuard 为例；菜单名称会因云服务商及系统版本而异，配置前应确认所在地法律、服务商条款和网络管理规定。

• 服务器需要公网可达地址，并开放 VPN 使用的 UDP 端口。
• 每台客户端使用独立密钥和虚拟地址，便于单独授权与撤销。
• 仅需访问家中或自有网络资源时，优先采用分流，不必把全部流量送进服务器。

一、准备服务器与网络

选择一台自己有权管理的云主机或家用服务器，确认其公网 IP、操作系统版本以及防火墙设置。家用宽带若处于运营商级 NAT 之后，外部设备可能无法直接连入，需要先确认是否有可用的公网入口；不能仅靠安装 VPN 软件解决这一限制。

搭建前记录服务器公网地址、网卡名称和计划使用的端口。WireGuard 常用 UDP 51820 端口，但可按环境调整；云平台的安全组和操作系统防火墙都要允许相同端口。管理用 SSH 端口不要向所有来源开放，条件允许时只允许自己的固定地址访问。

二、安装并配置服务器端

1. 安装软件包。通过 Ubuntu 的软件包管理器安装 WireGuard。安装前更新系统软件包，完成后确认服务端组件可用。
2. 生成密钥。在服务器生成一组密钥，私钥只保存在服务器并限制文件读取权限；公钥可提供给客户端配置。每台客户端也应各自生成密钥，不要复制同一份私钥给多台设备。
3. 设置接口。在服务器的 WireGuard 配置中，将接口地址设为例如 10.66.0.1/24，监听端口设为前面选定的 UDP 端口，并填入服务器私钥。这里的 10.66.0.0/24 是隧道内部地址段，不是公网地址。
4. 添加首台设备。把该设备的公钥登记为一个客户端条目，并分配独立地址，例如 10.66.0.2/32。服务端按此地址识别该设备；不要把同一个 /32 地址分配给不同客户端。
5. 启用转发并配置防火墙。若要让客户端经服务器访问其他网络，需要开启 IP 转发，并按实际网卡名称设置转发和必要的 NAT 规则。只允许 VPN 端口并不等于已完成转发；云安全组与系统防火墙均须检查。

三、配置客户端与访问范围

在客户端安装 WireGuard 应用，创建配置并填写客户端私钥、隧道地址、服务器公钥和“公网 IP:端口”形式的 Endpoint。DNS 可填写自己信任且可访问的解析服务。若设备位于常见的家庭路由器或移动网络 NAT 后，可按需要设置 PersistentKeepalive，例如 25 秒；这并非所有网络都必须开启。

全流量与分流怎么选

客户端的 AllowedIPs 决定哪些目标地址经过隧道。设为 0.0.0.0/0，表示 IPv4 流量都尝试走 VPN，适合希望统一经服务器出网的情况，但会增加服务器带宽和流量负担。若只需访问自有局域网，可填写对应网段，例如 192.168.10.0/24，其他上网流量仍走本地网络。使用 IPv6 的设备还要检查 IPv6 路由是否一并配置，避免出现流量未按预期经过隧道的情况。

“如何搭建vpn”不只是让客户端显示已连接：还要在服务器防火墙中限定 VPN 地址段可以访问的目标和端口。例如，只允许 VPN 客户端访问家中某台设备的文件服务，不要默认放行整个内网的所有端口。需要访问不同资源的人员，应使用不同的客户端配置和授权范围。

四、测试、授权与日常维护

1. 先只连接一台设备，检查隧道状态、服务器日志和目标资源是否可达。
2. 分别测试分流范围内外的地址，并确认 DNS 和 IPv6 流量符合预期；若无法连接，检查公网地址、UDP 端口、安全组、客户端公钥及服务器时间。
3. 每新增一台设备，就单独生成密钥、分配地址并添加服务端条目。设备丢失或不再使用时，删除对应条目并更新配置，撤销其访问权限。
4. 定期安装系统安全更新，备份配置但不要公开保存私钥；日志仅保留排障所需内容，避免收集无关信息。

如果不想维护云主机、路由和密钥，而需求只是使用客户端式网络服务，可以把闪连加速器列入比较候选；选择前应核对其当前支持平台、隐私说明及适用规则，不应仅凭名称推断线路、速度或匿名效果。自建服务的控制权更直接，但维护和安全责任也由自己承担。

常见问题

个人 VPN 是否一定要购买云主机？

不一定。可使用自己管理且外部可达的服务器；若家用网络没有可用公网入口，云主机通常更容易从外部连接，但会产生服务器费用和维护工作。

客户端已连接，为什么访问不了内网？

常见原因包括没有开启 IP 转发、缺少 NAT 或路由、防火墙未放行目标端口，以及客户端 AllowedIPs 未包含目标网段。按这几项逐一检查。

可以让多人共用一份客户端配置吗？

不建议。每台设备独立密钥和地址，才能在设备更换或遗失时单独撤销授权，也更容易定位连接问题。

如何搭建vpn后就能保证匿名吗？

不能。VPN主要保护设备与服务器之间的连接，并不自动隐藏账号身份、浏览器指纹或服务端日志；服务器提供方和访问的网站仍可能获得各自可见的信息。