OpenVPN是什麼？設定教學

重點摘要

• OpenVPN 是開源 VPN 協議，2001 年首度發佈，用 TLS 建立連線、OpenSSL 提供加密，傳輸可選 UDP 或 TCP。
• 它的最大優勢是彈性和穿透力：TCP 443 可以混入一般網頁流量，路由器和公司系統的兼容性也最廣。
• 它的代價是較重、設定較複雜，而且特徵明顯，可以被深度封包檢測辨認。
• 一般 App 用戶不用理會它，App 會自動選協議；連唔到、或要在路由器上設定時，才輪到 OpenVPN。
• 用官方 OpenVPN Connect 匯入 .ovpn 設定檔，就能在電腦和手機連線。

OpenVPN 是什麼？

OpenVPN 是一套開源軟件，也是一個 VPN 協議。創作者是 James Yonan，首個版本在 2001 年 5 月發佈，以 GNU GPLv2 授權，另有商業授權（（Wikipedia，2026））。它的手冊形容自己是「一個穩健而高度彈性的 VPN 守護程式」，支援 SSL/TLS 安全、乙太網橋接、穿越代理和 NAT 的 TCP 或 UDP 隧道（（OpenVPN 2.4 手冊，2026））。

用白話講，OpenVPN 做的事和 WireGuard 一樣：在你的裝置和 VPN 伺服器之間建一條加密通道。分別在於它的做法。OpenVPN 借用 TLS（就是網頁 HTTPS 用的同一類技術）來驗證身分和交換密鑰，再用 OpenSSL 函式庫加密資料，所以手冊說它「與 OpenSSL 緊密整合」。它運作在使用者空間，不是作業系統核心內。

如果你想先比較各個協議，請看 VPN協議比較：WireGuard、OpenVPN、IKEv2；VPN 本身的原理見 VPN是什麼？點樣運作、有咩用。

我需要理會 OpenVPN 嗎？

多數人不需要。主流 VPN App 都會自動選協議，而且大多偏向 WireGuard。你會遇上 OpenVPN 主要是三種情況：

1. 在路由器上設定 VPN：OpenVPN 的兼容性最廣，Surfshark 便說明它與最多型號的路由器預設相容（（Surfshark，2026））。
2. WireGuard 被網絡擋住：OpenVPN 可以選 TCP 443，較難被簡單規則阻擋。
3. 公司或學校給你一個 .ovpn 檔案：這是 OpenVPN 最傳統的用法。

值得留意，供應商正在逐步減少 OpenVPN：Proton VPN 的支援頁現時把 OpenVPN 列為只限 Linux 版本（（Proton VPN 支援，2026））。所以如果你打算在某個平台用 OpenVPN，先確認該供應商的 App 是否仍然提供。

OpenVPN 點樣運作？

兩條通道：控制通道和資料通道

OpenVPN 分成兩部分。控制通道用 TLS 處理認證和密鑰交換；資料通道負責加密真正的網絡流量。手冊說明，--tls-crypt 選項用來加密控制通道（（OpenVPN 2.6 手冊，2026）），這令控制通道的封包不易被第三方辨認。

預設用咩加密？

OpenVPN 2.6 版手冊指，--data-ciphers 預設為 AES-256-GCM、AES-128-GCM 和 CHACHA20-POLY1305，在 ChaCha20-Poly1305 可用時包括它，否則只用前兩個（（OpenVPN 2.6 手冊，2026））。NordVPN 的支援頁則說明，它的 OpenVPN 使用 AES-256-GCM 加密和 4096 位元 DH 密鑰（（NordVPN 支援，2026））。與 WireGuard 只有一組固定加密不同，OpenVPN 可以按需要配置。背景知識見 VPN加密是什麼？AES-256點保護你。

連接埠與 tun/tap

官方分配給 OpenVPN 的連接埠是 1194；沒有指定 --proto 時，預設協議是 UDP（（OpenVPN 2.4 手冊，2026））。NordVPN 的 OpenVPN 使用 TCP 443 和 UDP 1194 兩個連接埠（（NordVPN 支援，2026））。

UDP 定 TCP？

ExpressVPN 的說明是：UDP 重視速度，TCP 重視可靠性（（ExpressVPN，2026））。Proton VPN 的速度指南亦指出，WireGuard 和 OpenVPN 都是 UDP 比 TCP 快（（Proton VPN 支援，2026））。

OpenVPN 的 TCP 模式有一個已知問題：當頻寬不足時會出現所謂「TCP meltdown」，因為隧道內外的兩層 TCP 各自重傳（（Wikipedia，2026））。這也是 WireGuard 明確不支援 TCP 的原因。所以 TCP 只當後備，不建議作預設。想改善速度，見 VPN好慢點算？提速方法及測速。

OpenVPN 的優點與缺點

優點

• 成熟：2001 年起發展，Proton VPN 指它經 OSTIF 與 QuarksLab 獨立審核（（Proton VPN，2026））。
• 有 TCP 443：Proton VPN 形容，要封鎖這個連接埠便等於封鎖大部分網頁。
• 兼容性廣：路由器、NAS、舊系統大多支援。
• 支援 PSK、憑證和帳號密碼等多種認證方式（（Wikipedia，2026））。

缺點

• 程式碼量大，審核和維護成本較高；NordVPN 便稱 OpenVPN 約 400,000 行，WireGuard 約 4,000 行。
• 握手步驟較多，連線通常比 WireGuard 慢。
• 特徵明顯：維基百科指出，OpenVPN 連線憑封包標頭特徵，可被深度封包檢測偵測到（（Wikipedia，2026））。所以「用了 TCP 443」不代表一定不會被發現。
• 設定較複雜，手動設定容易出錯。

OpenVPN 官方近年推出 Data Channel Offload（DCO），把資料通道搬入 Linux 核心，以減少上下文切換，並在較新的 Linux 核心版本中加入（（OpenVPN 博客，2025））。這主要受惠伺服器和 Linux 用戶，一般手機和電腦 App 用戶未必察覺。

要和 WireGuard 比較，見 WireGuard是什麼？比OpenVPN好在哪。

點樣用 OpenVPN？官方 App 設定教學

第一步：安裝 OpenVPN Connect

OpenVPN Connect 是官方客戶端，支援 Windows 10 和 11、macOS、Linux、iOS、Android 和 ChromeOS（（OpenVPN 官方客戶端頁，2026））。請只從官方網站或應用程式商店下載，避免來路不明的安裝檔。

第二步：取得 .ovpn 設定檔

連線需要一個副檔名為 .ovpn 的設定檔，內含伺服器位址、連接埠、協議和認證資料。來源可以是你的 VPN 供應商（在帳戶頁的手動設定區下載），或公司 IT 部門。這個檔案等於連線憑證，不要分享，也不要從不明網站下載別人提供的檔案。

第三步：匯入並連線

1. 打開 OpenVPN Connect，按「匯入」，揀選 .ovpn 檔案，或輸入網址。
2. 按照提示輸入 VPN 帳戶的用戶名稱和密碼，部分供應商用專屬的手動設定憑證，不是你登入網站的密碼。
3. 按下設定檔旁邊的開關，狀態顯示已連線即可。官方說明，匯入設定檔後只需切換開關便能連線（（OpenVPN 官方客戶端頁，2026））。

.ovpn 設定檔入面有什麼？

你不需要看懂設定檔，但知道裏面有哪些項目，出問題時更容易判斷。典型的設定檔會寫明：伺服器位址、連接埠（預設 1194）、傳輸協議（udp 或 tcp）、虛擬網卡類型，以及驗證伺服器身分用的憑證。虛擬網卡分 tun 和 tap 兩種，tun 傳送 IP 封包（第三層），tap 傳送乙太網幀（第二層）（（OpenVPN 2.4 手冊，2026））。VPN 供應商提供的設定檔幾乎都是 tun，所以你通常不必理會這一項。

如果連線一直失敗，而你懷疑是連接埠被擋，最直接的檢查就是看設定檔內的連接埠和協議，再向供應商取得 TCP 443 的版本。記住：手動設定檔通常不包含 App 內的額外功能，例如斷線保護。

連唔到時

• 換伺服器，或在設定檔中改用 TCP 443 的版本。
• 檢查系統時間是否正確，時間錯誤會令 TLS 憑證被拒絕。
• 逐步排查見 VPN連唔到？逐步排查。

什麼情況不建議用 OpenVPN

• 手機上只求速度和省電：WireGuard 握手快，也較輕量，見 VPN協議比較。
• 需要斷線保護：OpenVPN 本身不保證斷線時不洩漏流量，要靠 App 內的開關，見 VPN Kill Switch是什麼？點解要開。
• 只想指定某些 App 走 VPN：這是 App 的分流功能，見 分割通道是什麼？VPN分流教學。
• 在學校或公司網絡：管理員有權限制 VPN，請先確認規則，見 學校WiFi用VPN：可唔可以、要注意咩。

其餘問題見 VPN常見問題；各供應商的協議和私隱做法，可以從 NordVPN評價、Surfshark評價、ExpressVPN評價 和 Proton VPN評價 開始。