質問: フリーのvpnソフトについて、仕組みが知りたい softetherでのvpn接続(リモートアクセス) について質問です。 *正式にはpacketix vpn リモートアクセスを検討しているのですが、 softetherでfirewallの設定を変えずに 実現できると聞いているのですが、 どのような要件が必要なのでしょうか? 公式サイトや書籍を読め!といわれたら それまでなのですが・・・ 簡単にレビューしていただけると助かります。 softetherではvpn機能のないルータでも vpnを実現できると聞いていますが、 その場合、いろんな疑問があります。 通常、vpnアプライアンスなどにクライアントから 接続すると、接続先のlanネットワークアドレスの ipを取得でき、lanに接続しているのと 同じように利用できると思います。 どうやらその仕組みではないようなのですが どのようにしてvpn機能を提供しているのでしょうか? ・vpnクライアントの接続先はどこか? 接続先のルータのグローバルipアドレス?? lan内のvpnサーバ? ・グローバルipが必要なのか? ddnsを使えば大丈夫なのか? それすらいらない? ・クライアントはlan内と同じネットワークアドレス のipを取得することになる? よろしくお願いします。
回答: 社内lanの構成を考えた時、外部との接続に172.16.1.254をプライベートipを持つルータが頂点に存在すると仮定して、そこから枝分かれして、二つのルータに繋がっています。rt1が172.16.1.1を持ち、rt2が172.16.1.2を持ちます。 rt1配下のネットワークが192.168.1ネットワーク、rt2配下のネットワークが10.0.1ネットワークとします。 今、この状態で、クライアント192.168.1.2がクライアント10.0.1.2にpingを飛ばしても、反応はありません。ipパケットは上へ上へと向かって行きますので、外部に向かって飛んで行くことになります。 そこで、vpnサーバの登場となります。サーバをインストールするのはどちらのpcでも構いません。仮に、サーバを192.168.0.2にインストールするとします。そして、10.0.1.2にはクライアントかブリッジをインストールします。クライアントをインストールした場合は、そのマシンだけが192.168.1ネットワークと繋がります。ブリッジをインストールした場合は、10.0.1ネットワーク毎192.168.1ネットワークと繋がります。個々のパソコンにクライアントをインストールする必要はありません。 具体的な手順を見て行きましょう。10.0.1.2にブリッジをインストールしたと仮定します。まず、「仮想ハブ」のブリッジを設定します。この仮想ハブはサーバ上の仮想ハブとカスケード接続する為だけに利用されます。「ブリッジ仮想ハブ」と「物理的なlanカード」を「ローカルブリッジ」させます。 次にサーバ側を見て行きます。まず、「デフォルト仮想ハブ」と「物理的なlanカード」を「ローカルブリッジ」させます。 続いて、ブリッジから接続出来るようにする為の「仮想ハブ」を作ります。これを「カスケード仮想ハブ」と呼びます。この「カスケード仮想ハブ」にユーザアカウントを作り、ブリッジから接続させることになります。 ここまでで、サーバ上には二つの「仮想ハブ」が作成されました。次に「仮想レイヤ3スイッチ」の作成に入ります。仮想レイヤ3スイッチに「仮想インタフェース」を追加します。まず、サーバである192.168.1側です。「デフォルト仮想ハブ」のインタフェース「192.168.1.254/24」に接続するよう設定します。 次に、ブリッジである10.0.1側です。「カスケード仮想ハブ」のインタフェース「10.0.1.254/24」に接続するよう設定します。以上で、「仮想レイヤ3スイッチ」の設定は完了なので、動作開始させます。これで、サーバ側の設定は全て完了です。 いよいよ、ブリッジからサーバにカスケード接続します。が、その前に、rt1(172.16.1.1)のtcp8888ポートを開けてやって、サーバ192.168.1.2にパケットが通る様にしてやって下さい。ブリッジの「ブリッジ仮想ハブ」とサーバの「カスケード仮想ハブ」を接続し、「vpnセション」を張ります。カスケード接続をするには、ブリッジ側で設定します。 具体的には、接続先のホスト名としてサーバ側のipアドレス(rt1のipである172.16.1.1)、ポート番号が8888、仮想ハブ名は「カスケード仮想ハブ」を入力します。さらに、先程「カスケード仮想ハブ」で設定しておいた「ユーザ名とパスワード」も入力します。状態が「オンライン」となれば、無事vpnセションが張られたことになります。 ここまでで、それぞれのpcは「仮想レイヤ3スイッチ」までpingを飛ばすことが可能になります。192.168.1.2からping 192.168.1.254は通りますし、10.0.1.2からping 10.0.1.254も通ります。しかし、まだ「仮想レイヤ3スイッチ」の先を越えることはできません。そこで、コマンドプロンプトを使ってルーティングを設定します。 サーバ側では、 route -p add 10.0.1.0 mask 255.255.255.0 192.168.1.254 ブリッジ側では、 route -p add 192.168.1.0 mask 255.255.255.0 10.0.1.254 以上で、全て完了です。でも、pingだけでは物足りないですね。ファイル共有ができなければ・・・ ファイル名を指定して実行→¥¥相手のipアドレス これで、windowsの共有フォルダにアクセスできます。