タグ: vpn

Windows11タスクバーからのVPN接続

Windows11にアップデートしたら、タスクバーのWiFiマークをクリックしてもVPN接続が出てこない。以前はWiFiアクセスポイントのリストの上にVPN接続先が表示されていたのだが、これは不便。

Windows11_taskbar_wifi
Windows11のタスクバーWiFiクリック

もしかしてと、右クリックしてみたら、オプションで追加できるよう。

右クリックで、[クイック設定の編集]をクリックして、下の[＋追加]をクリックして[VPN]を追加する。

Windows11_add_vpn_to_taskbar
クイックメニューVPNを追加

これで、タスクバーからVPN接続ができるようになる。

Windows11_taskbar_menu_vpn
Windows11のタスクバーWiFi（VPN追加状態)

これでマシになったといえ、以前は１）タスクバーのWiFiマークをクリックで、２）VPNの接続ができたのが、１）タスクバーのWiFiマークをクリック、２）VPNをクリック、３）VPNの接続となっている。MicroSoftは、なんでアップデートで前より使いにくくするのかな・・・

Windowsサーバー設定

VPSでWindowsサーバー追加時に設定ことのメモ

１．リモートデスクトップのポート変更

以下レジストリの値を変更したいポートにする。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber

ファイアウォールに上記ポートについて、指定IP（VPN）からのみ許可する設定を追加して、再起動

２．ファイアウォールの設定

リモートデスクトップ用ポートの許可を追加する。不要な設定は、無効にする。

３． リモートログイン時 のメール通知

３．１ SMTP

１）サーバーマネージャーの「役割と機能の追加」から「SMTPサーバー」を追加

２）サービス「簡易メール転送プロトコル」のスタートアップの種類を「自動」に

３）迷惑メール対策として、追加サーバーのSFPレコードを設定

３．２タスクスケジュラー設定

タスクスケジューラで、[トリガー： ユーザーセッションへの接続時]にメール通知するように設定。以前はタスクスケジューラからメール送信設定できたが、現在は使えないようなので、PowerShellで以下のようなコマンドを組む。

# 使用するSMTPサーバを指定します
$smtp = "127.0.0.1"
# 差出人アドレスを指定します
$from = "admin@XXXXX.com"
# 宛先アドレスを指定します
$to = "yourmail@XXXX.com"
# 件名を指定します
$subject = "Login(xxxxserver)"

# メール送信のためのSmtpClientクラスをインスタンス化
$cli = New-Object Net.Mail.SmtpClient($smtp)

# メール送信のためのMailMessageクラスをインスタンス化
$mail = New-Object Net.Mail.MailMessage($from, $to)
$mail.Subject = $subject
$mail.Body = "Did you login?"
$mail.SubjectEncoding = [System.Text.Encoding]::GetEncoding("ISO-2022-JP")
$mail.BodyEncoding = [System.Text.Encoding]::GetEncoding("ISO-2022-JP")

# メールを送信します
$cli.Send($mail)

タスクスケジューラの[操作]で、以下のように設定する。

  • 操作：プログラムの開始
  • プログラム/スクリプト：powershell.exe
  • 引数の追加：-Command “コマンドファイルのフルパス”

４．WindowsUpdateの手動化

勝手にUpdateされると困るので、sconfigコマンドから、手動更新に変設して、サーバー再起動する。

５．自動ログオン

サービス化されていない古いアプリサーバーのために、起動時に自動ログインするように設定する。

https://docs.microsoft.com/ja-jp/troubleshoot/windows-server/user-profiles-and-logon/turn-on-automatic-logon

上記では、レジストリにパスワードを平文で保存することになるので、以下のAutoLogonツールを入れるほうがいい。

https://docs.microsoft.com/ja-jp/sysinternals/downloads/autologon

６．アプリケーションエラーの通知

タスクスケジューラで、[トリガー：イベント]で、以下の場合にメール通知するように設定。 メールの送信方法は３と同様。

  • ログ：Application
  • ソース：Application Error
  • イベント ID：1000

NATトラバーサル機能の無効化

クラウドにSoftEtherVPNサーバーを設置して、ファイアウオールでListnerポートを開ける前にクライアントから接続できないことを確認しようとしたら、あっさり接続できてしまった。デフォルトでは、NATトラバーサル機能が有効になっているため、管理ポートへの接続できない場合には、NATトラバーサル機能で接続してしまう。

adminip.txtのIP制限だけでいいという考えもあるが、ファイアウオールによる接続制限も有効にしたいので、サーバー側のNATトラバーサル機能を無効にする。

（繋がった時の状況）

状態としては、以下。ファイアウォールはL2Tp/IPSec用の設定となっている。

  • サーバーはデフォルトで NATトラバーサル機能が有効
  • ファイアウオールで、Listner ポートは開放していない
  • サーバーのFirewallDでは、ssh,dhcpv6-client,ipsecが許可
  • ニフクラのファイアウォールではssh,udp500,4500を許可※
  • OUT側の制限は共になし

※ニフクラでは、自分で設定したもの以外にデフォルトルールが設定されている

https://cloud.nifty.com/spec/fw/default.htm

SoftEther VPNサーバー管理マネージャー で、接続先ホスト名「サーバーのホスト名」、ポート「Listnerのポート」を指定して接続すると繋がってしまう。NATトラバーサル機能で繋がっている。TCPコネクションを見ると、Listnerポートでは接続しておらず、プロセス内での接続が発生してるだけ。

# ss -np | grep vpnserver
 tcp    ESTAB      0      0      127.0.0.1:40000              127.0.0.1:45962               users:(("vpnserver",pid=3282,fd=81))
 tcp    ESTAB      0      0      127.0.0.1:45962              127.0.0.1:40000               users:(("vpnserver",pid=3282,fd=80))

接続先ホスト名「サーバーのホスト名/tcp」としてtcp接続に限定すると、期待通り接続に失敗する。

SoftEther VPN サーバー管理マネージャ

（NATトラバーサル機能について）

https://ja.softether.org/4-docs/2-howto/6.VPN_Server_Behind_NAT_or_Firewall/1.Dynamic_DNS_and_NAT_Traversal#NAT_.E3.83.88.E3.83.A9.E3.83.90.E3.83.BC.E3.82.B5.E3.83.AB.E6.A9.9F.E8.83.BD

ファイアウオールがあっても穴を作って通しちゃうという素晴らしい（というか恐ろしい）機能なので、扱いが要注意。開発者さんの以下ブログを参照。

http://d.hatena.ne.jp/softether/20121128#p2

http://d.hatena.ne.jp/softether/20121128#p7

「日本国内の 約 95.7% のファイアウォール・NAT を「外から内に」通過することができます。」とあるのが非常に興味深い。この数値はどう測ったのだろうか。

クライアントではTCP接続できないと、「/tcp」の指定が無ければNATトラバーサルで接続する仕様になっているらしい。

https://ja.softether.org/4-docs/3-kb/VPNFAQ011

（NATトラバーサルの無効化方法）

管理ポートの接続は確実に制限したいのでサーバーのNATトラバーサル機能を無効にする。サーバー停止した状態で、コンフィグファイルを編集することで、サーバー側のNATトラバーサル機能を無効にできる。

cd /usr/local/vpnserver
cp -p vpn_server.config vpn_server.config.org 
vi vpn_server.config  
------------------------------- 
:
 declare ServerConfiguration
 {
  : 
  bool DisableNatTraversal true
  :
-------------------------------

再起動すると、管理ListnerのTCPポートを閉じた状態では、クライアントから接続できないことが確認できた。

SoftEther VPNでL2TP/IPSec

ConoHaのVPSサーバー(CentOS 7.6)にインストールしたSoftEther VPNでL2TP用のサーバー設定した時の作業メモ。

利用目的としては、 外で公共Wifiを使う時のセキュリティ対策と、サイト管理作業時のIPアクセス制限をVPSサーバーに限定するため。後、東京リージョンのサーバーなので、地方や海外でもradikoでJ-Waveが聴けるというメリットもある。

1．管理マネージャーからの設定

https://ja.softether.org/4-docs/2-howto/L2TP_IPsec_Setup_Guide/1

１）不要機能の無効化

管理マネージャーから以下をすべて無効にする。

  • OpenVPN / MS-SSTP
  • ダイナミックDNS　※configファイルの書き換え
  • VPN Azure

２）余分なリスナーを削除

　使わないリスナーは削除する。

３）暗号化と通信関係の設定

「使用する暗号化アルゴリズム」はデフォルトから強いものに変更。

「インターネット接続の維持機能を使用する」のチェックを外す。

４）仮想HUBの設定

「DEFAULT」があれば削除して、新たに適当な名前でデフォルト用Hub（以下、仮にHubDummy）と利用するHub（以下、仮にHubReal）を作成する。

  • 「匿名ユーザーに対してこの仮想HUBを列挙しない」にチェックを入れる。
  • 最大同時セッション数の制限を設定する

５）IPSec / L2TP 設定

「L2TP サーバー機能を有効にする(L2TP Over IPSec)」を有効にする。

「IPSec事前共通鍵」を適当に設定。

「接続時のユーザー名で仮想HUBが省略された場合に接続する仮想HUBの選択」にHubDummyを設定する。

６）仮想NATおよび仮想DHCPサーバー機能

HubRealの 「仮想Hubの管理」から「仮想NATおよび仮想DHCPサーバー機能」を開いて、

「SecureNAT機能を有効」にする。

「SecureNATの設定」で、「仮想NAT機能を使用する」と「仮想DHCPサーバー機能を使用する」にチェックを入れる。

７）ローカルブリッジ設定

新しいローカルブリッジを定義する。

以下にあるようにtapデバイスを使うようにした。

https://ja.softether.org/4-docs/1-manual/3/3.6#3.6.9_tap_.E3.83.87.E3.83.90.E3.82.A4.E3.82.B9.E3.81.AE.E4.BD.BF.E7.94.A8

仮想HUBにHubRealを選択し、「作成する種類」は「新しいtapデバイスとのブリッジ接続」を選択して、「ローカルブリッジ」を追加する。

８）ユーザーの作成

HubRealの「仮想HUBの管理」から、ユーザーを作成する。とりあえずはパスワード認証で。

２．ポート開放

使用するポートは、UDPの500と4500。

https://ja.softether.org/3-spec#SoftEther_VPN_Server_.E3.81.AE.C2.A0L2TP.2FIPsec_.E3.82.B5.E3.83.BC.E3.83.90.E3.83.BC.E6.A9.9F.E8.83.BD.E3.81.AE.E4.BB.95.E6.A7.98

サーバーでIPSecのポートを公開する。

firewall-cmd --permanent --add-service=ipsec
firewall-cmd --reload

３．クライアント接続

SoftEtherのサイトのチュートリアルはここ。

https://ja.softether.org/4-docs/2-howto/L2TP_IPsec_Setup_Guide

３．１　Windows10からの接続

SoftEtherのサイトはWindows7のままなので、以下サイトが参考に。

http://www.seil.jp/doc/index.html#fn/pppac/use/pppac-client/win10_l2tp.html

ユーザー名は、「ユーザー名@HUB名」を入れる。 事前共有キーは、「IPSec事前共通鍵」のこと。

３．２　iPhone/iPadからの接続

iOS12.1.4の場合、「設定」から「VPN」で、「VPN構成を追加」で設定できる。タイプは「L2TP」にし、 アカウントは「ユーザー名@HUB名」、 シークレットに「IPSec事前共通鍵」を設定。

SoftEtherのサイトは 、古いiOSで英語版だけど参考まで。

https://ja.softether.org/4-docs/2-howto/L2TP_IPsec_Setup_Guide/2

SoftEther VPNサーバーのインストール

ConoHaのVPS（CentOS7）に、SoftEther VPNサーバーを入れた時のメモ。

（SoftEther VPN）

https://ja.softether.org/

（インストール手順）

https://ja.softether.org/4-docs/1-manual/7/7.3

１．事前準備

必要なソフトを入れる。

 yum install gcc

２．インストール

（ダウンロードページ）

https://www.softether-download.com/ja.aspx?product=softether

コンポーネント「SoftEther VPN Server」、プラットフォーム「Linux」、CPU「Intel 64 / AMD 64(64 bit)※」を選択する。（※念のため、サーバーの/proc/cpuinfoで確認）

最新のものをサーバーで取得する。

wget ダウンロードURL

後は、インストール手順通りに進める。

（インストール作業）

tar xzvf ダウンロードファイル
cd vpnserver/
make ※質問にはすべて1を入力

vpnserverディレクトリを、/usr/localに配置してパーミッションを変更する。

cd ..
mv vpnserver /usr/local  
cd /usr/local/vpnserver  
chmod 600 * 
chmod 700 vpncmd 
chmod 700 vpnserver

解凍したvpnserverフォルダがフルアクセスだったので、一応、このパーミッションも変更した。

cd ..
chmod 700 vpnserver

３．動作確認

vpncmd の check コマンドによる動作チェックを行う。

cd vpnserver
./vpncmd

コマンドで、「3」を入力して「VPN Tools」に入り、 「check」を入力して動作確認を行い、「exit」で終了。

４．サービス登録

公式ページのインストール手順では、スタートアップスクリプトとなっているが、CentOS7ではサービス登録にする。サービス登録の内容は、以下ページが参考になる。

https://qiita.com/salt_field/items/5969f7d7a8612e150bda

サービス登録までを行う。

 vi /usr/lib/systemd/system/vpnserver.service 
----------------------------------------------
[Unit]
 Description=SoftEther VPN Server
 After=network.target
 [Service]
 Type=forking
 ExecStart=/usr/local/vpnserver/vpnserver start
 ExecStop=/usr/local/vpnserver/vpnserver stop
 [Install]
 WantedBy=multi-user.target
----------------------------------------------

systemctl daemon-reload
systemctl enable vpnserver

５．NATトラバーサル、ダイナミックDNS機能 、IPv6リスナー の無効化

NATトラバーサルが有効のままでは、ファイアウオールに関係なくSoftEther VPNサーバー管理マネージャから接続できてしまうので、無効化する。

NATトラバーサル機能の無効化

コンフィグファイルを直接編集し、ダイナミックDNS機能 、IPv6リスナーも使わないので同時に無効化する。 。

cd /usr/local/vpnserver
cp -p vpn_server.config vpn_server.config.org 
vi vpn_server.config  
------------------------------- 
:
 declare DDnsClient
 {
  bool Disabled true
 :
 :
 declare ServerConfiguration
 {
  : 
  bool DisableIPv6Listener true
  bool DisableNatTraversal true
:
-------------------------------

６．管理者パスワード設定

管理者ログインのIPアドレス制限の設定を行う。

cd /usr/local/vpnserver
vi adminip.txt
-------------------------------  
127.0.0.1
XXX.XXX.XXX.XXX　　　※6.で接続するクライアントIPアドレス
-------------------------------

vpnserverを起動し、コマンドにて管理者パスワードを設定する。

systemctl start vpnserver 

cd /usr/local/vpnserver
./vpncmd
 :
 Select 1, 2 or 3: ※1を入力
 :
 Specify Virtual Hub Name: ※そのままリターン
：
Specify Virtual Hub Name: ※そのままリターン 
： 
 VPN Server>ServerPasswordSet
 :
 Password:　※パスワード入力 
 Confirm input:  ※パスワード再入力 
 : 
 VPN Server>quit

７． VPN サーバー管理マネージャから設定

Windows端末にて、ダウンロードページから、「SoftEther VPN Server Manager For Windows」をダウンロードして、サーバー管理ツールをインストールする。

サーバー側で必要なポートを開放する。とりあえず443ポートで接続する場合は以下を実行。

firewall-cmd --permanent --add-service=https
firewall-cmd --reload

サーバーアドレスと管理者パスワードを設定して接続して、目的に応じた設定をしする。