OCIに安全に接続してみよう（その２）

2022年9月8日 Infrastructure(IaaS)

1 ソフトウェアVPN試してみます
2 今回の目標です（前回と同じです）
- 2.1 目標
- 2.2 前提
3 WireGuard サーバーの作成と設定をします
- 3.1 インスタンスを作成し、WireGuardをインストールします
- 3.2 サーバーに必要な設定をします
4 クライアント用ソフトをインストールして接続してみます。
- 4.1 クライアント用WireGuardのインストールと設定ファイルの作成
- 4.2 WireGuardクライアントアプリの起動とサーバー接続
5 最後に

ソフトウェアVPN試してみます

こんにちは。皆様Oracle Cloud使っていますか？

前回は、OCIのマーケットプレイスから「OpenVPN」を使ってのVPN接続を紹介しました。

2回目である今回は「WireGuard」を使ってVPN接続を試してみます。

OpenVPN　 ←　前回
WireGuard　←　今回

WireGuardもソフトウェアVPNのうちの1つで、とても簡単にVPN環境を構築することが可能です。また、OpenVPN同様にWindowsやLinux、iOSやAndroidでも利用することができます。

参考：https://www.wireguard.com/
https://www.wireguard.com/quickstart/
https://docs.oracle.com/cd/F22978_01/vpn/vpn-wguard.html

前回の記事も是非ごらんくださいね

今回の目標です（前回と同じです）

目標

クライアントマシン（Windows10）からVPN経由でOCI上のプライベートサブネット内インスタンスへSSH接続できること

前提

構成は以下の通りとします。
OCI上のVCN、パブリックサブネット、プライベートサブネット及びプライベートサブネット内のインスタンスは作成済みとします。
OCI上のプライベートサブネット内インスタンスは、セキュリティリストもしくはネットワーク・セキュリティ・グループを設定し、パブリックサブネット内のIPアドレスからping、SSHが可能の状態となっています。

WireGuard サーバーの作成と設定をします

インスタンスを作成し、WireGuardをインストールします

OCI管理コンソールにログインして、あらかじめ作成済みのパブリックサブネット内にインスタンスを作成します。シェイプとOSは任意で選択します。

今回OSはOracleLinux8を使用します。
インスタンスには、パブリックIPを付けてください。

インスタンスが作成できたら、SSHでログインします。

WireGuardをインストールします。

# dnf install –y wireguard-tools

これだけでインストールできちゃうの！

サーバーに必要な設定をします

/etc/sysctl.confファイルを編集し、以下を追記します。

net.ipv4.ip_forward = 1

編集内容を反映させます。

# sysctl –p

サーバーとクライアントが接続するための公開鍵、秘密鍵を作成します。
まず、サーバー用とクライアント用のキーを格納するためのディレクトリを作成します。

# mkdir –p ~/.wireguard/server
# mkdir ~/.wireguard/client
# cd ~/.wireguard/
# umask 077

次に作成したディレクトリ内でキーを生成します。
serverとclient両方で実行します。

# wg genkey | tee privatekey | wg pubkey > publickey

キーの内容をserver、clientそれぞれで確認します。

(例)
# cat ~/.wireguard/server/publickey

/etc/wireguard/wg0.confファイルを作成し、次を例に内容を編集します。

[Interface]
Address = 10.0.1.96/24　→サーバーのプライベートIPアドレス
ListenPort = 51820
PrivateKey = 生成したサーバーの秘密鍵
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADE

 [Peer]
PublicKey = 生成したクライアントの秘密鍵
AllowedIPs = 192.168.0.0/24　→接続を許可するIPアドレス

PostUp、PostDownはそれぞれ起動時、停止時に実行するコマンドを指定することができます。
Firewalldの設定をここに記述することによって、WireGuard使用時にポートの開け閉めを行うことができます。

wg0.confでポートの開放を行わない場合は、firewalldでUDP51820ポートを開放します。

PostUP、PostDownはfirewall-cmdを使うのもいいね！

OCI管理画面で、セキュリティリストもしくはネットワーク・セキュリティ・グループから、クライアントのパブリックIPからの接続に対しポートを開放します。

WireGuardトンネルを起動します。

# wg-quick up wg0

ステータスを確認します。

# wg

停止する場合は以下のコマンドです。

# wg-quick down wg0

これでサーバー側の設定はおしまい。
ポートはUDPだよ、注意してね！

クライアント用ソフトをインストールして接続してみます。

クライアント用WireGuardのインストールと設定ファイルの作成

WireGuardのサイトからWindows用のインストーラをダウンロードし、インストールします。
https://www.wireguard.com/install/

次を例にクライアント側の設定ファイルを作成し、保存します。
ここではVPN.confという名前で保存します。

[Interface]
Address = 192.168.0.101/24 →クライアントに割り当てるIPアドレス
PrivateKey = 生成したクライアントの秘密鍵

[Peer]
PublicKey = 生成したサーバーの公開鍵
AllowedIPs = 0.0.0.0/0
Endpoint = サーバーのパブリックIP:51820