OpenVPNサーバーを構築する　その１

RTX1210導入をきっかけに自宅通信回線をIPoE化したりLANケーブルを自作したりしておりますが、今日はIPoE化によりL2TP/IPSecが利用できなくなったのでOpenVPNサーバーの構築手順を改めて確認しておきたいと思います。構築...

sandambara.com

2020.09.26

OpenVPNサーバーを構築する　その２

前回に続きOpenVPNのセットアップを行います。ファイアウォールのインストールと設定未導入の場合、ufwをインストールします。sudo apt install ufwインストールが終わったら「全ての通信を拒否する」→「通す通信を登録する」...

sandambara.com

2020.09.29

OpenVPNサーバーを構築する　その３

今日はクライアントの設定を行います！クライアント用秘密鍵を作るでは、早速参りましょう。sandambara@srv001:~$ cd easy-rsa/easyrsa3sandambara@srv001:~/easy-rsa/easyrsa...

sandambara.com

2020.10.05

クライアントはいくつか試しましたが、今はOpenVPN Connectで落ち着いています。

OpenVPN Connect - VPN For Your Operating System | OpenVPN

Download the official OpenVPN Connect client VPN software for your operating system, developed and maintained by our exp...

openvpn.net

OpenVPN Connectの良いところはプラットフォームに依存しないところで、WindowsにMac、iOS、AndroidだけでなくLinuxもクライアントが用意されています。

このアプリはプロファイルを取り込むと後から触れないのが唯一残念なポイントです。削除→再取込でも良いのですが、コンフィグに微調整をしたいときは面倒ですよね。

そこでコンフィグが保存されているパスを調べました。こちらです。

C:\Users\ユーザー名\AppData\Roaming\OpenVPN Connect\profiles

注意というほどのことではありませんが、このディレクトリに直接コンフィグファイル（.ovpn）を保存してもOpenVPN Connectは検知してくれません。アプリケーションのImport Profileから読み込ませる必要があります。

構築環境

• プロバイダ　　OCN　IPoE（動的IP契約）
• HGW　　 　 　RT-500KI
• ひかり電話　　あり
• VPNサーバー　宅内に構築したOpenVPNサーバー

IPoE環境でIPv4通信を行う技術（IPv4 over IPv6）はいくつかあって、今回の記事ではMAP-E（バーチャルコネクト）という技術が前提となります。

また、VPNサーバーはルーターではなく宅内に用意したVPNサーバーが前提です。VPNサーバー構築については過去記事をご参照ください。

OpenVPNサーバーを構築する　その１

RTX1210導入をきっかけに自宅通信回線をIPoE化したりLANケーブルを自作したりしておりますが、今日はIPoE化によりL2TP/IPSecが利用できなくなったのでOpenVPNサーバーの構築手順を改めて確認しておきたいと思います。構築...

sandambara.com

2020.09.26

OpenVPNサーバーを構築する　その２

前回に続きOpenVPNのセットアップを行います。ファイアウォールのインストールと設定未導入の場合、ufwをインストールします。sudo apt install ufwインストールが終わったら「全ての通信を拒否する」→「通す通信を登録する」...

sandambara.com

2020.09.29

OpenVPNサーバーを構築する　その３

今日はクライアントの設定を行います！クライアント用秘密鍵を作るでは、早速参りましょう。sandambara@srv001:~$ cd easy-rsa/easyrsa3sandambara@srv001:~/easy-rsa/easyrsa...

sandambara.com

2020.10.05

なお、以前ご紹介したとおりLAN側の構成はこんな感じです。

フレッツ光＋IPoE化でハマった記録

先日自宅用に購入したRTX1210、早速活躍しております。何年も前に仕事でRTX1200を少し触っていたのですが、GUIの充実度や操作レスポンスなど、随分進化したんだなあ・・・と感動してしまいました。我が家のネット環境はフレッツ光隼＋OCN...

sandambara.com

2020.09.18

IPoEでVPN構築（またはポート開放）が難しい理由

PPPoEではルーターに割り当てられたWAN側IPv4アドレスだけで通信先を特定することが可能でした。しかし、IPoEは複数のユーザーで1つのIPv4アドレスを共有するため、IPアドレスだけで通信先を特定することができません（IPv4アドレスの枯渇問題を思えばこの仕組みは合理的ではあります）。

IPアドレスを共有するということはポートも共有することになるため、自由にポートを開放することができなくなってしまったのでした。

ではどうする？使えるポートもあります

しかし、一切ダメかというとそうではありません（注：DS-Liteは不可です）。利用できるポートはRTX1210で調べることができます。「管理」→「保守」→「コマンドの実行」で下記コマンドを入力します。

show nat descriptor address

「実行」をクリックすると結果が表示されます。

# show nat descriptor address
NAT/IPマスカレード 動作タイプ : 2
参照NATディスクリプタ : 20000, 適用インタフェース : TUNNEL[1](1)
Masqueradeテーブル
    外側アドレス: map-e/aaa.bbb.ccc.ddd
    ポート範囲: ここに利用できるポートが列挙されます
　　　　　　　　例）10000-12000, 13500-14000

ここの「外側アドレス」が現在WAN側に割り当てられているIPv4アドレスで、その下「ポート範囲」が利用できるポートです。つまり、この例ではポート 10000は開放可能ということになりますので、OpenVPNのプロトコルにUDPを指定している場合は

• RTX1210のNAT設定で内側アドレスにOpenVPNサーバーを指定（UDP 10000）
• OpenVPNのserver.confでUDP 10000を指定
• OpenVPNのクライアント設定（.ovpn）でaaa.bbb.ccc.ddd UDP 10000を指定

こうすることでVPN構築が可能です！

OpenVPNのよいところ

OpenVPNの場合は自宅LAN内に1台PC・サーバーが必要になりますが（安価に済ませるならラズパイでも可能ですし、予算を気にしなければAWSなどクラウド上に仮想サーバーをたててもOKです）、メーカー・企業が提供するVPNサービスと異なり外部の中継サーバーを必要としません。昨今「VPNサービスを利用し情報漏洩が生じて本末転倒」というニュースもありますが、OpenVPNの場合自宅のサーバーを経由するだけですので「接続先のサーバーが本当に安全なのか信用できない」という悩みは無用です。

OpenVPNのつらいところ

これは前回の記事にもあたりますが、全てにおいて完全に自己責任であることです。自宅のゲートウェイへ外部に対する穴を開けることになりますので、適切な設定を行うことが必要なのは勿論のこと、定期的にログのチェックなども実施した方が良いでしょう。

VPN接続・切断の通知をLINEで受け取る

以上を踏まえ「最低限VPNのセッションが張られた、落ちたくらいは知りたい」と思い色々調べてみました。主に参考にさせて頂いたサイトはこちらです。有益な情報を公開頂き有難うございます！

RaspberryPi VPNのログ監視：VPN接続毎にLINEへ通知して不審なアクセスを検知する

OpenVPN の接続・切断時に Slack に通知する

前者はLINEを使った手法ですが、利用されているのがSoftEther VPNであり、ローカルでの挙動がOpenVPNとは少し異なりました。後者はOpenVPNを利用されていますが、通知先はLINEではなくSlackです。

両者の情報を組み合わせれば上手くいくかも・・・ということで挑戦してみました。全体的な流れはこんな感じです。

VPN接続・切断⇒IFTTTへパラメータを送信⇒IFTTTと連携したLINEが通知を送信

IFTTTに登録

LINEへ通知を飛ばすために「IFTTT（イフト）」というサービスを利用します。恥ずかしながら私はこのIFTTTを知らなくて、今回初めて使ってその便利さに感激しました。「if this then that」を略してIFTTT、読んだ通り「もし〇〇なら☆☆を実行する」という仕組みを提供するものです。アカウントを持っていない方はまずこちらで登録を済ませましょう。

IFTTT - Automate business & home

Get started with IFTTT, the easiest way to automate your favorite apps and devices for free. Make your home more relaxin...

ifttt.com

アカウントを作成したら先ほどのリンク先を参考にIFTTT側の作業を進めましょう。キャプチャを豊富に使いながら大変丁寧に解説されていますので（私も見習わなくては・・・）、特に迷うことは無いと思います。

シェル作成

まずは必要なシェルの置き場を作成しましょう。

sudo mkdir /usr/local/vpn

ここに３つのシェル（LINE.sh、connect.sh、disconnect.sh）を作成します。

connect.sh

#! /bin/bash
sh /usr/local/vpn/LINE.sh connect:$common_name $untrusted_ip $ifconfig_pool_remote_ip

disconnect.sh

#! /bin/bash
sh /usr/local/vpn/LINE.sh disconnect:$common_name $untrusted_ip $ifconfig_pool_remote_ip

LINE.sh

#!/bin/sh
URL="https://maker.ifttt.com/trigger"
EVENTNAME="IFTTTで設定したEventName"
YOUR_KEY="WebhooksのAPIキー（https://maker.ifttt.com/use/***この部分***）"

WEBHOOKSURL="${URL}/${EVENTNAME}/with/key/${YOUR_KEY}"

curl -X POST -H "Content-Type: application/json" -d \
     '{"value1":"'$1'","value2":"'$2'","value3":"'$3'"}' \
         ${WEBHOOKSURL}

echo
exit 0

LINE.shはこちらのサイトのコードをそのまま利用させて頂きました。

それでは、シェルを書き終えたら実行権限を付与しましょう。

sudo chmod +x /usr/local/vpn/*

こんな風になっていればOKです！

sandambara@sandambara:~$ ls -l /usr/local/vpn
合計 12
-rwxr-xr-x 1 root root 340  8月 22 16:24 LINE.sh
-rwxr-xr-x 1 root root  99  8月 22 13:18 connect.sh
-rwxr-xr-x 1 root root 102  8月 22 13:19 disconnect.sh

IFTTT・LINE連携テスト

先ほど作成したLINE.shはconnect.sh、disconnect.shから呼び出して利用しますが、単体でも実行できます。動作テストしてみましょう。

sudo sh /usr/local/vpn/LINE.sh hoge fuga piyo

このように表示されたらシェルの内容はOKです。

sandambara@sandambara:~$ sudo sh /usr/local/vpn/LINE.sh hoge fuga piyo
Congratulations! You've fired the vpn_notification event

無事LINEの通知を受信できたでしょうか？？

server.confに加筆する

VPN接続・切断をどうやって検知するかですが、これは先ほどご紹介した２つ目のリンク先にもあるように、OpenVPNのコンフィグで制御が可能でマニュアルにも記載があります。

Just a moment...

community.openvpn.net

早速コンフィグを編集します。

sudo nano /etc/openvpn/server.conf

コンフィグに下記３行を加筆します。

script-security 2
client-connect /usr/local/vpn/connect.sh
client-disconnect /usr/local/vpn/disconnect.sh

script-security 2はシェル実行を可能にするための設定で、VPN接続・切断時にそれぞれclient-connect、client-disconnectに続くシェルが実行される仕組みになっています。ですのでcronを使ったりディレクトリ監視する必要はありません。

sudo systemctl restart openvpn@server

ここでVPN接続・切断を行いLINEの通知を受け取れれば成功です。ちなみにこれらのシェルを実行できないとき（パスを誤って記述したときなど）は通知が来ないだけではなくOpenVPN自体がコケてしまいますので注意しましょう。

これで「自分がVPNを利用していないのに通知がきた」などというシチュエーションにいち早く気付くことができるようになりました（想像しただけでゾッとしますね/笑）。LINEの通知は他にも色々使い道があると思うので、皆さんも是非挑戦してみてください。

愛用のキーボードと残念な点

日頃iPadを使うときはlogicoolのSmart Connectorキーボード付ケースか、このサイトの記念すべき1つ目の記事で書いたThinkPad Tablet 2 Bluetooth Keyboardを使うことが殆どです。タイプは異なりますがどちらのキーボードも秀逸なデバイスです。

ただ、使い辛い点がゼロではありません。 困り事をまとめるとこんな感じです。

【ThinkPad Tablet2】

• JISキーボードがUSキーボードとして認識される
• キーアサインが合わない結果「¥」を入力出来ず詰む

キーアサインが合わないのはiOSでJISキーボードを使う以上仕方ないですね。ちなみにApple純正のJISキーボードだとキーアサインはずれません。

【logi】

• RDPの接続先が十中八九日本語環境なので結果的にThinkPad Keyboardと同じ理由で詰む

RDPを使わない、あるいは言語を切り替えれば済む・・・のですが、なかなかそうもいかないものです。

また、logiのキーボードはescキーとファンクションキーが無いことも結構なストレスでした（escキーのカスタマイズは試しましたが個人的にイマイチ）。

新しい生活様式（？）への葛藤

私が使っているiPad pro 9.7インチモデルは購入から間もなく5年。ストレージ容量もキツくなってきて動作も緩慢なため買い替えのタイミングをずっとはかっていたのですが、買い替えに踏み切れない理由がキーボードでした。

従来からあるSmart Keyboard FolioはiPad本体を寝かせられるけれど長文を打つには不向きで、新しいMagic Keyboadは打鍵感やトラックパッドが素晴らしいけれど重くて高くてiPadを寝かせられない。どちらもJISを選択出来るのですが、どちらを選んでも不満が残るのは間違いありませんでした。

「欲しいものが無いのなら、使い方を変えればいいじゃない」

マリーアントワネットっぽく言ってみましたが、そんなこんなで迷った末に新しくお迎えした相棒がこちらです。

ちなみに、背面にはしっかりリンゴマークが入っています。

良かったところ

BluetoothでもLightningでも繋がる優れもので、何より小型軽量という点を評価したいと思います。私はiPhone XS Maxを使っているのですが重さは208g。それに対しMagic Keyboardの重量231g。スマホのように軽く3枚目の写真のように端っこを指でつまんで持ち上げてもほぼ重さを感じません。

ThinkPad Keyboardつかいとして拘りたい打鍵感は非常に良好。とても気持ちよくスコスコスコと入力可能で「タイピングが気持ち良い」という言葉に尽きます。

慣れが必要なところ

「ブルータスよお前もか」ではありませんが、キーのレイアウトが個性的に感じられるところがいくつかあります。

まず、JISキーボード固有の事情かと思われますが、ホームポジションが若干左寄りになっているためEnterキーが遠いです。Enterキーだと思って「ターンッ」とやると左かっこ（「）や右かっこ（」）を押してしまう事が多いです。

あと、backspaceが小さすぎ（書き間違い）遠過ぎでこれも押し辛い・・・Enterキーの遠さにも影響があると思うのですが、他のキーボードと比較して1つ1つのキーの表面積が広いんですよね。まあ、慣れでカバーできる範囲ではありますが、慣れるまでは辛いです（笑）

余談ですが同じ段の1番左にある「１」は他のキーの1.5個分くらい幅がありまして、実用的には影響無いのですが視覚的に違和感が残る部分です。

最後にいちばん左側の列のキー配置は個人的には意味不明です。上から順番にesc→1→tab→control→shift→caps lock。

なんでやねん（白目）

では、結果的にどうなのか

もちろん大満足！！iPadを買い替えたら、重く嵩張るキーボード付のカバーではなくSmart Folioを付け、このキーボードをお供させることになるでしょう。

あと、iPhoneしか使わないけど文章はたくさん打つよ！という方にもお勧めです。非常に薄く軽いキーボードですが「一枚板」ですから、折りたたみ式キーボードのように剛性不足で打ちにくい・・・ということはありません。

もう一度言います。お勧めです！

きっかけはコロナでした

緊急事態宣言を受け、私の勤務先にも「自宅待機」なるシフトが誕生しました。元々深夜メンテナンスや長期休暇中の障害対応のために持ち出し用PCを貸与されているのですが（それを「休暇」と呼んで良いのか・・・）、急遽長期間出勤できなくなるかもしれないと思うと「念のために」とそのPCを持ち帰ることが増えたのもこの頃からでした。

しかし、いくらモバイル用途のパソコンとはいえアダプタをはじめあれこれ連日持ち歩くとそれなりに重たいんですよね。それに、リモートワイプや追加認証を仕込んだPCとはいえ、それで盗難・紛失のリスクが無くなる訳ではありません。自宅にもパソコンはありますが社用機材以外から社内へのアクセスは禁止・・・仕方ないなあと思っていました。

WorkSpaces？

そんな時、たまたま見かけたのがAWS WorkSpacesの記事でした。いわゆる「VDI」ですね。恥ずかしながら全く知見ありませんでした。AWSは業務で使っているのですが、日頃運用しているサービス以外は気付かないことが多いのです・・・（完全に不勉強の言い訳）

WorkSpacesは手元PCのRDPは利用せず、専用のクライアントアプリケーションをダウンロードしてAWS上のPCを操作します。そこからVPN経由で社内へアクセスする形になりますので、PCを持ち歩く不便さやリスクが無くなるメリットはかなり大きいですね。

AWSにログイン　→　WorkSpacesを使ってみる

まずはAWSのコンソールにログインし、WorkSpacesの画面に遷移します。間も無く終了ですが、2020年6月末日まではいくつか無料で利用できるプランがあります。なぜもっと早く気付かなかったのでしょう！

「今すぐ始める」をクリックします。

「高速セットアップ」と「詳細設定」の2つから今回は高速セットアップ側の「起動」を選択します。

前述の通り2020年6月末日まで無料で利用できるプランがあります。私は「Performance with Windows 10」を選びました。バンドルを選択したら画面下部にユーザー情報を入力できる個所がありますので、ログイン時に利用するユーザー名とその利用者姓名、認証情報送信先メールアドレスを入力して言語を選択。画面さらに下の「WorkSpacesの起動」をクリックします。ページ中に記載がありますがリージョンは東京になります。

この画面に切り替わってから約20分でWorkSpacesが利用できるようになり、登録したメールアドレスに認証情報が送られる仕組みになっています。「WorkSpacesコンソールを表示します」をクリックしてみましょう。

まだ作成中のようです。お茶でも飲みながら待っていましょう。

ほどなく作成されたWorkSpacesが見えるようになりますが、ステータスがAVAILABLEになるまで待ちましょう。AVAILABLEになると登録したメールアドレスにクライアントアプリケーションのダウンロードリンクと認証情報が届きます。リンクを踏むとパスワードの登録を求められます。

パスワードの入力が終わったら「ユーザーの更新」をクリックします。

クライアントアプリケーションのダウンロード画面に遷移します。希望するプラットフォーム・バージョンを選択して「Download」をクリックするとインストーラーがダウンロードされますので、そのままインストールを行いましょう。インストールが終わったらデスクトップの「Amazon WorkSpaces」というショートカットからアプリケーションを起動させます。

「Enter your registration code」にはメールで送られてきた登録コードを入力します。入力出来たら「Register」をクリックしましょう。

あとはユーザー名とパスワードを入力してサインインするだけです！

いかがでしょうか？実に簡単にVDI環境を作成することができました。料金はこちらのページに詳細がありますが、大別すると（１）完全月額料金制（２）固定料金＋利用時間に対する従量課金の2ついずれかから選択します。

あと、WorkSpacesは「通信」に対しても課金されるのですが、課金対象はWorkSpaces→インターネット宛の通信のみであり、インターネット→WorkSpaces宛の通信には課金されません。この点はS3の「アップロードは無料・ダウンロードに課金」と同じ考えと言えますね。また、手元デバイス→WorkSpaces宛（その戻りを含む）は無料となっています。

私の場合は毎日がっつり使うのではなく「必要な時だけ社内ネットワークへVPN接続するための踏み台として使う」というスタイルですので、会社が容認できる費用に十分収まりました。クリップボードのリダイレクトなど適切な対応が必要な部分もありますが、大変便利な仕組みですので是非一度お試しください！