Linux クックブック、第 2 版

第13章. OpenVPNでセキュアなリモートアクセスを実現する

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

Open Virtual Private Network (OpenVPN) は、 TLS/SSLで暗号化された接続を、物理的に離れた場所にある2つの異なるネットワーク間で作成する。例えば、メインオフィスとリンクしているブランチオフィスや、自宅から会社のネットワークにログインするリモートワーカーなど。この接続は、暗号化トンネルと呼ばれ、接続を悪のインターネットから保護する安全なトランスポートである。OpenVPNはOpenSSLに依存しているので、OpenSSLの知識があると役に立つ。

注

すでにOpenVPNに慣れている人は、レシピ13.5、13.6、13.7まで読み飛ばして、暗号化証明書の作成、クライアント、サーバの設定を復習してもいいだろう。VPNに慣れていない人は、各レシピを順番に試してみよう。VPNは複雑で気難しいものである。本番システムにデプロイする前に、多くのテストを行うこと。

OpenVPNの概要

VPNは、 、リモートワーカーがローカルユーザと同じサービスを利用できるようにする、ネットワークのセキュアな拡張機能である。そのため、リモートユーザの体験は、物理的にその場所にいるユーザと同じである。リモート・ユーザーは、ローカルのウェブ・サーバー、Eメール、ファイル共有、チャット・サーバー、ビデオ会議アプリ、社内Wikiなど、外界から遮断され、ネットワーク内のユーザだけが利用できるあらゆるものにアクセスできる。VPNは、個々のコンピュータを接続するSSHとは異なる。VPNは、ネットワークと個々のホストをつなぐものだ。

この章では、OpenVPN サーバのセットアップ方法、クライアントの設定方法、 認証と暗号化のための適切な公開鍵インフラ(PKI)の作成と管理方法について学ぶ。サーバはあらゆるクライアントを認証し、保護する：Linux、macOS、Windows PC、Android、iOS デバイスである。

OpenVPNはオープンソースプロジェクトで、フリーダウンロードと商用オプションの両方がある。無償のサーバー、クライアントはopenvpnパッケージで、すべてのLinuxディストロで利用可能で、OpenVPN Community Downloadsでダウンロードできる。 商用オプションにはOpenVPN Access Serverがあり、これは管理ツールやクラウドオプションが追加された構内サーバーである。個人向けのホスティングプランでは、クライアントのみをインストールする必要があり、OpenVPNサーバのグローバルネットワークにアクセスできる。

真のVPNが強いのは、誰も信用せず、認証されたエンドポイント（サーバ、クライアントが互いに認証しあう）を必要とするからだ。ほとんどの市販のTLS/SSL VPNはこれを行わず、ショッピングサイトが行うように、すべてのクライアントを信頼する。この方が柔軟性が高く、ユーザはどこからでも、どんなデバイスでもログインできる。クライアント・ソフトウェアをインストールして設定したり、暗号鍵をコピーしたりする必要がないのは便利だ。ユーザがキーロガーやスパイウェアに感染したランダムなPCやスマートフォンからログインし、 。

認証局

認証局（CA） は、OpenVPNサーバを運用する上で最も重要な部分である。CAはデジタル証明書を発行し、公開鍵の所有権を証明する。Webブラウザの小さな南京錠をクリックすると、Webサイトの公開証明書と、それに署名したCAが表示される。CAは信頼できる権威であり、そのため多くのサイトが商用CAを使用している。この章で作成するような自己署名証明書は、組織内で使う分には問題ない。顧客向けサイトは商用CAを使うべきである。CAを使うことで、クライアント証明書のコピーをOpenVPNサーバに保管する手間を省くことができる。 ...