OpenVPN 是 Linux 平台上使用最广泛的 VPN 方案之一，它基于 TLS/SSL 协议建立加密隧道，支持证书认证和用户名密码认证。Fedora 默认没有安装 OpenVPN 客户端组件，但通过官方软件仓库可以快速部署。本文将完整介绍在 Fedora 上安装、配置、连接以及排查 OpenVPN 客户端的过程，涵盖图形界面和命令行两种方式。
一、安装 OpenVPN 核心组件与 NetworkManager 集成
Fedora 的桌面环境通常使用 NetworkManager 管理网络连接，因此除了 OpenVPN 本体之外，还需要安装对应的 NetworkManager 插件。插件负责将 OpenVPN 的连接参数转化为 NetworkManager 可识别的配置项，并让图形界面的网络设置面板能够直接创建和编辑 VPN 连接。
在终端中执行下面的命令，安装 OpenVPN 以及 NetworkManager 的 OpenVPN 支持。命令中的 networkmanager-openvpn-gnome 适用于 GNOME 桌面环境，它会提供图形化的配置对话框依赖。如果你使用的是 KDE Plasma，可以把包名替换为 plasma-nm-openvpn，其功能一致。
sudo dnf install openvpn networkmanager-openvpn networkmanager-openvpn-gnome
安装完成后不需要单独启动 OpenVPN 服务，因为 OpenVPN 客户端进程会由 NetworkManager 根据连接请求按需拉起。你可以用以下命令确认插件是否已经被 NetworkManager 正确识别：
nmcli connection help openvpn
如果命令输出中列出了可用的 OpenVPN 参数选项，比如 remote、ca、cert、key 等，就说明插件已经就绪。接下来需要准备 VPN 服务商提供的配置文件，通常是 .ovpn 后缀，里面包含了服务器地址、端口、协议以及证书或认证信息。
二、通过 NetworkManager 图形界面导入配置
对于桌面用户来说，最直观的方式是使用系统设置中的网络面板。打开 GNOME 的设置应用，进入“网络”一栏，点击 VPN 区域旁边的加号按钮，选择“从文件导入”。在文件选择器中定位到你的 .ovpn 文件，系统会自动解析其中的配置内容并填充到对话框中。
导入后需要确认几项关键参数：网关地址是否与配置文件中的 remote 一致，端口是否为 1194 或服务商指定的其他端口，传输协议是 UDP 还是 TCP。如果配置文件里同时包含 CA 证书、客户端证书和私钥，通常这些内容会以 <ca>、<cert>、<key> 等标签内嵌在 .ovpn 文件中。NetworkManager 会尝试提取它们，如果提取失败，则需要手动把证书内容复制到对应的文本框里。
<ca> -----BEGIN CERTIFICATE----- MII... -----END CERTIFICATE----- </ca> <cert> -----BEGIN CERTIFICATE----- MII... -----END CERTIFICATE----- </cert> <key> -----BEGIN PRIVATE KEY----- MII... -----END PRIVATE KEY----- </key>
保存连接后，点击开关即可尝试建立 VPN 隧道。第一次连接时系统可能会弹出证书信任提示，确认服务器证书的指纹是否与预期一致。如果连接失败，可以回到配置界面检查认证方式是否选择正确：使用证书时选择“TLS”，使用用户名密码时选择“密码”，有些服务商同时要求证书和密码，这时需要选择“TLS/密码”组合。
三、使用 nmcli 命令行配置 OpenVPN
在没有图形界面的 Fedora 服务器上，或者需要通过脚本批量部署的场景中，nmcli 是更高效的选择。首先使用 import 参数导入 .ovpn 文件，NetworkManager 会自动创建一个以文件名命名的连接配置：
nmcli connection import type openvpn file /etc/openvpn/client/client.ovpn
导入完成后，可以通过命令查看连接名称以及所有可修改的 VPN 属性：
nmcli connection show "client" nmcli connection show "client" | grep vpn
如果服务商要求用户名密码认证，需要单独写入认证信息。注意 vpn.secrets 中的密码属于敏感数据，NetworkManager 会将其存储在系统密钥环中，普通用户无法直接读取明文。执行下面的命令完成用户名密码设置并启动连接：
nmcli connection modify "client" vpn.user-name "your_username" nmcli connection modify "client" vpn.secrets password "your_password" nmcli connection up "client"
对于使用证书认证的连接，导入的 .ovpn 文件如果包含相对路径的证书引用，需要确保这些证书文件存在于导入时指定的目录，或者将证书内容内嵌到连接配置中。可以用 nmcli 修改 ca、cert、key 等 vpn.data 属性，把证书的绝对路径写入：
nmcli connection modify "client" vpn.data "ca = /etc/openvpn/client/ca.crt, cert = /etc/openvpn/client/client.crt, key = /etc/openvpn/client/client.key"
四、配置开机自动连接与 DNS 防泄漏
如果希望 Fedora 系统启动后自动建立 VPN 连接，可以在 NetworkManager 的连接配置中启用自动连接。这个设置对图形界面和命令行都有效，执行如下命令即可：
nmcli connection modify "client" connection.autoconnect yes nmcli connection modify "client" connection.autoconnect-priority 10
自动连接会依赖网络就绪状态，NetworkManager 会等待底层物理网络连接建立后再尝试 VPN 拨号。但如果 VPN 网关需要先通过 DHCP 获取的默认路由才能访问，自动连接可能会在第一次尝试时失败，此时可以增大 connection.autoconnect-retries 的值，让系统多次重试。
DNS 泄漏是很多用户容易忽略的问题。默认情况下，建立 OpenVPN 隧道后，系统仍可能使用本地网络配置的 DNS 服务器进行域名解析，导致访问记录被暴露。推荐的做法是通过 OpenVPN 服务端推送的 DNS 配置，或者在客户端强制指定 DNS。在 .ovpn 文件中添加如下行，把 DNS 指向 VPN 内部解析服务器：
dhcp-option DNS 10.8.0.1 dhcp-option DNS 1.1.1.1 block-outside-dns
其中 block-outside-dns 仅在 Windows 下有效，Linux 需要借助 NetworkManager 的 dns 配置或 systemd-resolved。Fedora 默认使用 systemd-resolved，可以通过修改连接属性实现防泄漏。执行命令：
nmcli connection modify "client" ipv4.dns-search "~." nmcli connection modify "client" ipv4.ignore-auto-dns yes
这样系统在 VPN 连接激活期间会忽略从 DHCP 获取的 DNS 设置，并强制所有解析请求走 VPN 隧道内部指定的 DNS。修改后重新激活连接，然后使用 resolvectl status 查看当前生效的 DNS 服务器，确认是否指向了预期的地址。
五、常见错误排查与性能调优
连接失败时第一时间查看 NetworkManager 日志是最有效的定位手段。OpenVPN 进程的输出会被记录到系统日志中，通过以下命令可以实时过滤与 OpenVPN 相关的信息：
sudo journalctl -u NetworkManager -f | grep openvpn
常见的 TLS 握手失败通常由证书文件权限错误、系统时间不同步或 CA 证书不匹配引起。证书文件应该只允许 root 读取，使用 chmod 600 设置权限。如果日志中出现 certificate is not yet valid 或 certificate has expired，先用 timedatectl 检查系统时间是否正确。还有一种情况是服务端使用了较新的加密算法，而客户端 OpenVPN 版本过旧，此时需要升级 openvpn 包或调整配置文件中的 cipher 和 auth 算法。
路由不生效也是典型问题之一。OpenVPN 默认会修改系统路由表，将发往远端网络的流量指向隧道接口。如果连接成功后无法访问内网资源，可以先检查路由表：
ip route show
查看是否存在 dev tun0 的路由条目，以及默认路由是否被正确替换。如果缺失，说明服务端没有推送路由，可以在客户端 .ovpn 文件中手动添加 route 指令，例如 route 192.168.100.0 255.255.255.0。同时确认防火墙没有阻断 TUN 接口的转发规则。
性能方面，如果带宽明显低于物理链路，可以尝试把传输协议从 TCP 改为 UDP，并启用 mssfix 降低分片概率。在配置文件中添加：
proto udp mssfix 1300 tun-mtu 1500
这些参数通常已经由服务商预设，但用户可以根据实际网络环境微调。完成所有调整后，重新导入或重新激活连接即可生效。掌握了这些配置与排障技巧，你就能在 Fedora 上稳定地使用 OpenVPN 客户端。
