LinuxにDockerでOpenVPNを簡単にインストールする方法

外部からインターネットを経由して自宅サーバにアクセスしたいと思ったことはないですか？
例えば、職場や出張、外出時に

とか

あるいは、

などと思ったことは、この記事を読んでいるあなたなら一度や二度あるはずです。

そんな時、ルータのファイヤウォール（FW）に20番ポートと21番ポートと22番ポート、ついでに8888番ポートに対してインターネットからのアクセスを許可する設定をしておけばOKだと思っていませんか？

そんなことは絶対やってはダメです。そんな危険なことをしてしまうと、あなたのサーバは一晩で悪い人にハッキングされてしまうことでしょう。はい、今すぐポートを閉じましょう。

ではこんなときどうするか？VPN（Virtual Private Network）を使うのです。

DockerでSSLH！貴重な443番ポートでHTTPS、OpenVPN、SSHを同時に待ち受ける方法

★10/11 sslhコマンドのパラメタ形式の変更に伴い記事を修正しました外出先から自宅サーバにアクセスしたいことってありますよね？そんな時は、443番ポートでOpenVPNを利用すれば安全＆便利という記事を以前紹介しまし...

komone-life.com

2020.03.24

本記事では、インターネットを経由して自宅サーバに安全にアクセスするために、Dockerを使ってVPNをインストール方法を紹介します。

「Dockerを使って」というところがこの記事のミソなので、サーバ環境を汚さずに構築したい場合にぜひ参考にしてください。

★443/TCPにこだわらずこれからVPNを構築する場合は、高速＆堅牢なWireGuardがおすすめです。

DockerでWireGuardを簡単にインストールする方法

これまでOpenVPNを使って外出先からVPN（トンネル）を張って自宅のNASに接続したり、録画予約をしたり、便利に使ってきました。これはこれで便利に使えていたのですが、VPNの有効な選択肢としてOpenVPNに比べて高速&amp...

komone-life.com

2020.10.11

VPNとは？

VPN（Virtual Private Network）とは、直訳すると「仮想専用網」です。簡単に言うと、疑似的な自分専用の通信経路を確保し安全な通信を可能にします。例えば、駅やカフェにある公衆無線LAN（フリーWi-Fi）では、インターネットに接続するまでの経路で悪意のある第三者が介在し、個人情報の盗聴や通信を改ざんされるリスクがあります。仮に、信頼のおけるネットワークを使ったとしても、サーバ側で外部（インターネット）に向けてポートを解放している場合、そこからセキュリティ攻撃を受けるリスクがあります。

VPNは端末とサーバの間で 通信を暗号化することにより疑似的に自分専用の通信経路を構築し、第三者の盗聴や改ざんを防ぐことができます。これにより、サーバ側で直接的にサービスにアクセスするためのポートを解放せずとも安全に通信を実現することができます。

VPNの種類

一言でVPNと言っても、いくつかの種類があります。ここでは、詳細な説明を割愛しますが、通信レイヤ（L2、L3、L4等）や通信方式（トラスポート、トンネル）、暗号化方式（L2TP、PPTP、IPsec、OpenVPN等 ）による違いがあります。

実現方式についても、ハードウェアで実現できるものもあれば、ソフトウェアで実現する場合もあります（最近はVPN機能が付いたルータも売られています）。私がこれまで使ってきたVPNソフトウェアは

です。
どちらも導入にあたっての難しさは無いですが、SoftEtherVPNはやや設定が複雑（管理マネージャを使って設定要）だったので馴染めませんでした。設定といっても基本的には最初の1回設定すればあまり弄ることはないので、それほど気にすることはありません。

一方、OpenVPNはCLIで証明書を作成する通常のパッケージと、プラウザの管理画面で証明書の発行できるOpenVPN access server（OpenVPN-AS）というパッケージがあります。 OpenVPN-ASは同時接続数に制限があります（上限2）が、有料ライセンスを購入すれば上限を増やせます。私の使い方だと、2台以上の端末から同時にVPNセッションを張ることはないので無料のままで十分でした。これまで、OpenVPNとOpenVPN-AS両方を使ってみたことがありますが、導入と証明書の作成が圧倒的に楽なOpenVPN-ASを使っています。
加えて、OpenVPNは暗号強度が比較的高い（≒安全性が高い）と言われているので、これから導入するならOpenVPNがオススメです。

ということで、本記事ではLinuxサーバにDockerでOpenVPNをインストールする手順を解説します。ちなみに、私のサーバの環境はubuntu 18.04 LTSとなっていますが、Dockerとdocker-composeがインストールされた環境であれば、CentosでもRaspbian（Raspberry pi）でも手順は同じです。

では、さっそくやってみましょう。

インストール手順

私と同じ環境で構築される場合、構築で躓いた際にサポートできると思います。メモリ8GB以上を選択すればエンコード等しても性能的に問題はないと思います。Windows10マシンですが、私はUbuntuを上書きインストールして自宅サーバを構築しています。

GitHubリポジトリからファイルのクローンを作成

GitHubリポジトリから以下のコマンドでOpenVPN-AS関連の資材をダウンロードします。

その後、 docker-openvpn-asというディレクトリができますので、その中に

• docker-compose.yml
• data/

を作成します。
data/は空ディレクトリなのでmkdirで作成しておきます。

docker-compose.yml

docker-compose.ymlを作成します。

以下の内容をdocker-compose.ymlファイルにコピー＆ペーストします。

environment

10行目と11行目の環境変数は、コンテナ内での実行ユーザIDとグループIDを指定します。これを設定しないとコンテナ内のrootユーザでのファイルが出来上がるので、ファイルを消す際にてこずります。Dockerを操作するユーザIDとグループIDを確認して指定しておきます。

13行目のINTERFACEは、ifconfig等で確認して、インターネット接続時に使用するホスト側のNICを指定します。

ports

17～19行目はホストとコンテナのポートの紐づけです。

17行目の943番ポートは、ブラウザの管理画面接続用のポートです。必要に応じて修正してください。

18行目の1194番ポートは、 デフォルトのOpenVPN通信ポート番号です。ルータ側でインターネット側から1194番ポートの通信を許可しておく必要があります。

19行目は、ホストの443番ポートとコンテナ内の9443番ポートを紐づけています。 何故かというと、443番ポートは公衆LAN等で規制される可能性が低いポート番号だからです。 駅やカフェ、もしかしたら職場で無線LAN（wifi）が 利用できる場合、セキュリティを高める目的で特定のポート番号以外の通信を規制している場合があります。
しかし、通常、HTTPS（TLS/SSL）は 443番ポートを用いるので、googleやYahoo!等で検索してWebページを見る際はデフォルトで443番ポートが使われます。つまり、インターネットサービスが提供されていれば 1194番ポートが規制されていても443番ポートの通信が規制される可能性は低く、逆に443番ポートを規制している場合はインターネット接続自体を規制していることが考えられます。 そのため、443番ポートは万能なポート番号といえます。
他に443番ポートを使って提供するサービスが無ければ、このようにサブで443番ポートをOpenVPNに割り当てることをオススメします。

コンテナ起動

以下のコマンドでコンテナを起動します。

2~3分待てばOpenVPNコンテナの出来上がりです。

https://<IPaddress>:943/admin/にブラウザでアクセスし、下記の画面がでれば成功です。

初回は下記のような画面が出てくるかもしれませんが、冷静に対処します。

OpenVPN Access Serverの設定

https://<IPaddress>:943/admin/にブラウザでアクセスし、下記のID/PWでログインします。

• （Username）admin
• （Password）password

初回のみ下記の画面になりますが 、 冷静に対処します。

以下の画面に到達できれば成功です！！

ユーザ設定

ログインができたら、ユーザ作成とパーミッションの設定をします。

左側のメニューで、USER MANAGEMENT ＞ User Permissionsを選択し、Usernameを追加します。

右にある、More Settingsのアイコンを選択し、追加したユーザのパスワードを設定します。

パスワードを設定したら、画面一番下のSave Settingsを押します。そして以下の画面になればOKです。Update Running Serverはまだ押さなくて良いです（押しても良い）。
これで、新しいユーザが追加できました。

ネットワーク設定

左側のメニューで、CONFIGRATION ＞ Network Settingsを選択し、VPN ServerのHostname or IP Address:にサーバのグローバルIPアドレスもしくはドメイン名を入力します。

入力したら、画面一番下のSave Settingsを押します。そして以下の画面になればOKです。Update Running Serverはまだ押さなくて良いです（押しても良い）。
これで、ネットワーク設定ができました。

VPN設定

左側のメニューで、CONFIGRATION ＞ VPN Settingsを選択し、Routingにローカルネットワークアドレスを追加します。 私の場合は10.29.3.0/24ですが、192.168.0.0/24等の場合もありますので、環境に合わせて入力してください。ここを忘れると、VPNで接続しても自宅環境にアクセスできません。

追加したら、画面一番下のSave Settingsを押します。そして以下の画面になればOKです。
これで、VPN設定ができました。最後にUpdate Running Serverを押して完了です。

プロファイルのダウンロード

https://<IPaddress>:943/?src=connectにブラウザでアクセスし、先ほど追加したユーザのID/PWでログインします。

画面下部のリンク“Yourself (user-locked profile)”を押して、プロファイル （client.ovpn） をダウンロードします。

ダウンロードしたプロファイル（client.ovpn）は、メール等でスマホに転送する必要があります。
あらかじめスマホ側でOpenVPNアプリ（android／iphone）をダウンロードして、起動しておきます。
あとは、プロファイルを使選択して、ユーザのID/PWを入力したらVPNで自宅サーバに接続できるようになります。
これで自宅サーバのサービスが利用できるようになりました！

まとめ

外部から自宅サーバにアクセスする場合はVPNを使います。
443番ポートを用いることで便利かつ安全に自宅サーバにアクセスることができます。
今回は、DockerコンテナでOpenVPNを導入する手順を紹介しました。この方法なら、途中で失敗しても簡単にやり直しすることができますし、再現性が高いのでサーバ環境が変わっても簡単に導入することができます。
これでまた便利になりましたね！

★443/TCPにこだわらずこれからVPNを構築する場合は、高速＆堅牢なWireGuardがおすすめです。

DockerでWireGuardを簡単にインストールする方法

これまでOpenVPNを使って外出先からVPN（トンネル）を張って自宅のNASに接続したり、録画予約をしたり、便利に使ってきました。これはこれで便利に使えていたのですが、VPNの有効な選択肢としてOpenVPNに比べて高速&amp...

komone-life.com

2020.10.11

他にもいろいろなサービス導入方法をご紹介しています。よかったら参考にしてください。