用途：管理 OpenVPN 服务端与客户端，含 PKI、配置、路由与排障。
主要能力：Easy-RSA 建 PKI 与证书（init-pki、build-ca、build-server-full、build-client-full、revoke、gen-crl、gen-dh）；生成 TLS 认证密钥（openvpn --genkey secret /etc/openvpn/server/ta.key）；服务启停与重载（systemctl start|stop|restart openvpn@server、systemctl reload openvpn@server）；查看客户端与日志（journalctl -fu openvpn@server、openvpn-status.log 中 CLIENT_LIST）。配置位置：服务端 /etc/openvpn/server/server.conf，客户端 /etc/openvpn/client/，PKI 在 /etc/easy-rsa/。
必要用法：端口默认 1194/udp，或用 443/tcp 绕过防火墙；放行 ufw allow 1194/udp。健康检查看 Initialization Sequence Completed、tun0 地址与客户端 ping 10.8.0.1。排障要点：tls-auth 方向服务端 0、客户端 1；CRL 过期会拒绝所有客户端，需 easyrsa gen-crl 并复制到 /etc/openvpn/server/crl.pem；需开启 net.ipv4.ip_forward 并配置 NAT masquerade；TUN 模块需 modprobe tun。
限制与建议：优先 dh none + ecdh-curve prime256v1，dhparam 生成慢；UDP 性能更好，TCP 仅在需绕过防火墙时使用；.ovpn 内嵌私钥须像密码一样安全分发，勿用邮件；推荐使用 tls-crypt 替代 tls-auth。安装命令：apt install openvpn easy-rsa 或 dnf install openvpn easy-rsa。其他细节暂未提供。