「VPN接続サービス」の版間の差分

2016年5月27日 (金) 17:45時点における版

English

1 概要

VPN接続サービスは外部のネットワークから専攻や研究室のネットワークに安全に接続するためのサービスです。内部のネットワークに設置した各種サーバやプリンタなどを外部から直接アクセスできるようにすることはセキュリティ上好ましくないため、理学系研究科では基本的には外部から内部のネットワークへのアクセスは遮断されています。本サービスを利用することで、利用者は外部のネットワークに接続した端末でも専攻内や研究室内のネットワークに直接接続している場合と同様のネットワーク環境を利用できます。

理学系研究科では「クライアントソフトを利用したVPN接続サービス」とOSに組み込まれている機能を利用した「L2TP VPN接続サービス」を提供しています。クライアントソフトを利用したVPN接続サービスでは専攻や研究室の管理者はVPN接続を特別に管理することなく有線LANや無線LANの延長線上で利用できるのに対し、L2TP VPN接続サービスは多くのOSで標準的に対応しているため利用者が比較的簡単な設定で利用することが可能となっています。詳しい違いについては以下の表を参照してください。

	クライアントソフトを利用したVPN接続サービス	L2TP VPN接続サービス
専攻・研究室ネットワーク管理者の準備	不要	事前にL2TP VPN接続サービスで使用するIPアドレスの割り当てが必要
端末の管理方法	VPN用MACアドレスで管理（有線LAN・無線LANと同様）	端末ごとの管理はなし（専攻・研究室などで利用ルールがある場合はそれに従う）
対応環境	簡単: Windows 難しい: Mac, Linux	簡単: Mac, Android, iOS(iPad, iPhone) やや難しい: Windows 難しい: Linux
認証方法	クライアント証明書認証	パスワード認証

2 利用例

専攻や研究室で設置しているサーバ・パソコンに外部のネットワークからsshやリモートデスクトップなどで接続したいとき
アクセス元が制限されているサーバに外部のネットワークからアクセスしたいとき

3 対象となるユーザ

理学系研究科アカウントを持っている教職員・学生
- ただし、事前に所属の理学系研究科内の専攻や研究室のネットワークに接続することのできるように管理者により設定がされていること
- L2TP VPN接続サービスの場合は事前に所属の専攻や研究室のネットワークの管理者によりIPアドレスの割り当てがされていること

VPN接続サービスは外部のネットワークから専攻や研究室など内部のネットワークに接続されるサービスですので接続先の内部のネットワークが必要となります。理学系研究科では各ユーザは所属の専攻や研究室のネットワークに接続する運用となっており無線 LAN 接続時にも同様に所属のネットワークに接続されます。

4 対象となる環境

クライアントソフトを利用したVPN接続サービス
- Windows版はGUIによる操作が可能
- Mac OS X版およびLinux版はコマンドライからの操作（ネットワークの振る舞いも合わせて変更したい場合にはOSのネットワークの設定を自分で変更する必要があります。）

L2TP VPN接続サービス
- Windows, Mac OS X, Android, iOS (iPad, iPhone) などの OS の設定で接続が可能
- Windows についてはメニューがやや煩雑
- Linux はディストリビューションによっては簡単な設定が可能

5 利用手順

接続の際の認証には理学系研究科アカウントを使用します。理学系研究科アカウントについては以下のページを参照してください。

理学系研究科アカウント

無線LANのゲスト証明書はVPN接続サービスには使用できませんので注意してください。（ゲスト証明書は無線LANの場合でも専攻や研究室の内部ネットワークに接続できるものではありません。）

6 L2TP VPN接続サービスの設定方法

機器ごとの具体的な設定方法は以下のページを参照いただけます。

http://ja.softether.org/4-docs/2-howto/L2TP_IPsec_Setup_Guide

6.1 設定項目

サーバ: vpn.adm.s.u-tokyo.ac.jp
事前共有キー: 管理者に確認してください
アカウント: 理学系研究科アカウント（10桁の共通ID）
パスワード: 理学系研究科アカウントのパスワード

7 クライアントソフトを利用したVPN接続サービスの設定方法

7.1 クライアントソフトの入手

本VPN接続サービスではSoftEther VPNを使用しています。（以前使用していたPacketiX VPNと同じものです。）以下のページから接続用のクライアントソフトをダウンロードしてインストールしてください。コンポーネントを選択のメニューで「SoftEther VPN Client」を選択し、プラットフォームを選択のメニューからOSを選択してください。

http://www.softether-download.com/

OSはWindows以外にLinux, Mac OS Xが選択可能です。Linux, Mac OS Xを選択した時には利用しているCPUを選択してください。Linux, Mac OS Xの場合には、Windowsと異なりコマンドラインのツールでの利用となり、OSのネットワークの設定は利用者が適切に行う必要があります。また、Mac OS Xについてはマニュアルには説明がありません。

設定方法も含めマニュアルは以下の場所で参照できます。

http://ja.softether.org/4-docs/1-manual

7.2 設定項目

ホスト名： vpn.adm.s.u-tokyo.ac.jp
ポート番号： 443 (デフォルト)
仮想HUB名： sos (リストから選択（他に選択肢はありません）)
認証の種類：クライアント証明書認証（リストから選択）
ユーザ名：共通 ID （10桁の数字です）
クライアント証明書の指定：理学系の認証システムよりダウンロードしたクライアント証明書を選択してください

7.3 Windowsでの設定のポイント

ダウンロードしたファイルを実行するとインストーラが起動します。指示にしたがってインストールを行ってください。ライセンスには同意する必要がありますが、それ以外の部分は特に変更の必要はありません。

初めてインストールした場合は仮想LANカードの作成が必要です。「SoftEther VPN クライアント接続マネージャ」を起動して、メニューの「仮想LAN」から「新規仮想LANカードの作成」を選択してください。仮想LANカードの名前は任意のもので問題ありません。作成中にドライバのインストールに関する警告が出た場合は許可してください。（インストール後にも正しくインストールできたかの確認が出る場合があります。）

作成した仮想LANカードは既存の有線LANや無線LANとは別のMACアドレスとなります。所属する専攻施設内での接続にMACアドレスの登録が必要な場合は、仮想LANカードのMACアドレスを管理者に通知してください。

その後に接続設定を作成してください。新しい接続設定をクリックするとプロパティの画面が表示されます。接続設定名は任意のもので問題ありません。必要な項目を入力してOKを押すと設定が作成できます。

下の画像で○のついている「クライアント証明書の削除」のボタンがクライアント証明書の設定に使うボタンです。（設定後の画像のため表示が削除に変更されています。）

設定の作成後は設定をダブルクリックすることで接続が可能です。

7.4 Mac OS Xでの設定のポイント

SoftEther VPN Client のインストールにはXcodeおよびTun Tapが必要になります。

Mac OS X版のTun Tapは http://tuntaposx.sourceforge.net/ から入手できます。

インストールおよび設定方法については以下の Linux 版と同じです。

7.5 Linuxでの設定のポイント

Linux版のクライアントソフトはコマンドラインで動作する接続ツールのみでGUIはありません。また、証明書の読み込みやネットワークの設定も自身で行う必要があります。

インストールには make や gcc、binutils などのユーティリティと、libc (glibc)、zlib、openssl、readline および ncurses の各開発用ライブラリバージョン (devel と呼ばれる場合もあります) が必要です。ダウンロードしたファイルを目的の場所に解凍した後に make を行うことでインストールを行うことができます。そこで作成された vpnclient コマンドを起動した後に、vpncmd コマンドを使用して制御が可能です。（起動後に 2 を選ぶと vpnclient の制御です。）

初回インストール時には Windows の時と同様仮想LANカードの作成が必要になります。vpncmd から以下のコマンドを実行します。（名前は任意のもので問題ありません。）

NicCreate vpn

クライアント証明書はあらかじめ必要な内容を取り出しておく必要があります。以下の例で XXXX.p12 の部分は実際には利用者の証明書のファイル名となります。出力ファイル名の部分は任意のもので問題ありません。

openssl pkcs12 -in XXXX.p12 -nocerts -nodes -out XXXX.key
openssl pkcs12 -in XXXX.p12 -clcerts -nokeys -out XXXX.crt

以下のコマンドで設定を作成します。以下の例で設定の名前を svpn としていますが任意のもので問題ありません。XXXX の部分は実際には共通 ID、NICNAME は上で作成した仮想 LAN カードの名前となります。

AccountCreate sos /SERVER:vpn.adm.s.u-tokyo.ac.jp:443 /HUB:sos /USERNAME:XXXX /NICNAME:vpn
AccountCertSet sos /LOADCERT:XXXX.crt /LOADKEY:XXXX.key

以下のコマンドで接続できます。

AccountConnect

接続後は上で作成した vpn_vpn というインターフェイスが VPN で接続されています。アドレスやルーティングの設定は他の eth0 などと同様に行えます。

切断は以下のコマンドです。

AccountDisconnect

8 運用について

以下の旧サーバは老朽化のため2016年9月30日で運用を終了します。

クライアントソフトを利用したVPN接続サービス: svpn.s.u-tokyo.ac.jp
L2TP VPN接続サービス: l2tp.adm.s.u-tokyo.ac.jp

@@ 9行目: / 9行目: @@
 == 概要 ==
-外部のネットワークから専攻や研究室のネットワークに安全に接続するためのVPN接続のサービスです。（個別のサーバに対して外部からアクセスを許可することはセキュリティ上好ましくありません。）
+VPN接続サービスは外部のネットワークから専攻や研究室のネットワークに安全に接続するためのサービスです。内部のネットワークに設置した各種サーバやプリンタなどを外部から直接アクセスできるようにすることはセキュリティ上好ましくないため、理学系研究科では基本的には外部から内部のネットワークへのアクセスは遮断されています。本サービスを利用することで、利用者は外部のネットワークに接続した端末でも専攻内や研究室内のネットワークに直接接続している場合と同様のネットワーク環境を利用できます。
-本サービスでは、パソコンに専用のクライアントソフトをインストールし設定を行うことで利用可能となり、接続中は専攻内や研究室内のネットワークに直接接続している場合と同様のネットワーク環境となります。
+理学系研究科では「クライアントソフトを利用したVPN接続サービス」とOSに組み込まれている機能を利用した「L2TP VPN接続サービス」を提供しています。クライアントソフトを利用したVPN接続サービスでは専攻や研究室の管理者はVPN接続を特別に管理することなく有線LANや無線LANの延長線上で利用できるのに対し、L2TP VPN接続サービスは多くのOSで標準的に対応しているため利用者が比較的簡単な設定で利用することが可能となっています。詳しい違いについては以下の表を参照してください。
-理学系研究科として提供するのは接続の部分のみです。本サービスでVPN接続を行うとユーザはそれぞれ自身の所属する専攻や研究室のネットワークに接続されますが、各組織でのネットワークの利用について（端末の管理方法やIPアドレスの設定など）はそれぞれの組織の方針に従ってください。これは有線LANや無線LANを利用する場合と同様です。
-<!--
+{| class="wikitable"
-[[SSL-VPN接続サービス]]との違いについては、VPN接続サービスでは各専攻や研究室内に直接接続したのと同じ環境を実現できますが、一方でPacketiXのソフトウェアのインストールが必要であるのとそのためにWindowsおよびLinuxでしか利用できないのに対して、SSL-VPN接続サービスでは内部向けウェブサイトを見るなどの用途に限定されますがブラウザのみで利用可能です。
+! !! クライアントソフトを利用したVPN接続サービス !! L2TP VPN接続サービス
-両サービスの比較については[[VPN接続サービスとSSL-VPN接続サービスの比較]]のページも参照してください。
+|-
--->
+| 専攻・研究室ネットワーク管理者の準備 || 不要 || 事前にL2TP VPN接続サービスで使用するIPアドレスの割り当てが必要
+|-
+| 端末の管理方法 || VPN用MACアドレスで管理（有線LAN・無線LANと同様） || 端末ごとの管理はなし（専攻・研究室などで利用ルールがある場合はそれに従う）
+|-
+| 対応環境 || 簡単: Windows <br /> 難しい: Mac, Linux || 簡単: Mac, Android, iOS(iPad, iPhone) <br /> やや難しい: Windows <br /> 難しい: Linux
+|-
+| 認証方法 || クライアント証明書認証 || パスワード認証
+|}
 == 利用例 ==
-外部のネットワークから学内や専攻内などアクセス元が制限されているサーバにアクセスしたいときに、本VPN接続サービスを利用することでアクセスが可能になります。
+* 専攻や研究室で設置しているサーバ・パソコンに外部のネットワークからsshやリモートデスクトップなどで接続したいとき
+* アクセス元が制限されているサーバに外部のネットワークからアクセスしたいとき
-外部のネットワークから専攻や研究室で設置しているサーバ・パソコンにsshやリモートデスクトップなどで接続したいときに、本VPN接続サービスを利用することで安全に接続することが可能になります。
+== 対象となるユーザ ==
-== 対象となるユーザ ==
+* 理学系研究科アカウントを持っている教職員・学生
+** ただし、事前に所属の理学系研究科内の専攻や研究室のネットワークに接続することのできるように管理者により設定がされていること
+** L2TP VPN接続サービスの場合は事前に所属の専攻や研究室のネットワークの管理者によりIPアドレスの割り当てがされていること
-理学系研究科アカウントを持っている教職員・学生で、理学系研究科内の専攻や研究室のネットワークに接続することのできるユーザが対象となります。
+VPN接続サービスは外部のネットワークから専攻や研究室など内部のネットワークに接続されるサービスですので接続先の内部のネットワークが必要となります。理学系研究科では各ユーザは所属の専攻や研究室のネットワークに接続する運用となっており無線 LAN 接続時にも同様に所属のネットワークに接続されます。
-（VPN接続サービスで接続されるネットワークは普段利用されている所属のネットワークです。）
 == 対象となる環境 ==
-WindowsおよびMac OS X, Linuxを搭載したパソコンとなります。Windows版はGUIによる操作が可能ですが、Mac OS X版およびLinux版はコマンドラインからの操作となり設定にネットワークに関する知識が必要です。
+* クライアントソフトを利用したVPN接続サービス
+** Windows版はGUIによる操作が可能
+** Mac OS X版およびLinux版はコマンドライからの操作（ネットワークの振る舞いも合わせて変更したい場合にはOSのネットワークの設定を自分で変更する必要があります。）
+* L2TP VPN接続サービス
+** Windows, Mac OS X, Android, iOS (iPad, iPhone) などの OS の設定で接続が可能
+** Windows についてはメニューがやや煩雑
+** Linux はディストリビューションによっては簡単な設定が可能
 == 利用手順 ==
-接続の際の認証には理学系研究科アカウントで発行されるクライアント証明書（ユーザ証明書）を使用します。VPN接続サービスに関して特別な手続きは必要ありません。
+接続の際の認証には理学系研究科アカウントを使用します。理学系研究科アカウントについては以下のページを参照してください。
+* [[理学系研究科アカウント]]
+無線LANのゲスト証明書はVPN接続サービスには使用できませんので注意してください。（ゲスト証明書は無線LANの場合でも専攻や研究室の内部ネットワークに接続できるものではありません。）
-理学系研究科アカウントについては以下のページを参照してください。
-* [[理学系研究科アカウント]]
-無線LANのゲスト証明書はVPN接続サービスには使用できませんので注意してください。（ゲスト証明書は無線LANの場合でも理学系内のネットワークに接続できるものではありません。）
+== L2TP VPN接続サービスの設定方法 ==
+機器ごとの具体的な設定方法は以下のページを参照いただけます。
+* http://ja.softether.org/4-docs/2-howto/L2TP_IPsec_Setup_Guide
+=== 設定項目 ===
+* サーバ:        vpn.adm.s.u-tokyo.ac.jp
+* 事前共有キー:    管理者に確認してください
+* アカウント:    理学系研究科アカウント（10桁の共通ID）
+* パスワード:    理学系研究科アカウントのパスワード
-== 設定方法 ==
+== クライアントソフトを利用したVPN接続サービスの設定方法 ==
 === クライアントソフトの入手 ===
-本VPN接続サービスではPacketiXを使用しています。以下のページから接続用のクライアントソフトをダウンロードしてインストールしてください。
+本VPN接続サービスではSoftEther VPNを使用しています。（以前使用していたPacketiX VPNと同じものです。）以下のページから接続用のクライアントソフトをダウンロードしてインストールしてください。
-コンポーネントを選択のメニューで「PacketiX VPN Client」を選択し、プラットフォームを選択のメニューからOSを選択してください。
+コンポーネントを選択のメニューで「SoftEther VPN Client」を選択し、プラットフォームを選択のメニューからOSを選択してください。
-* http://www.packetix-download.com/ja.aspx
+* http://www.softether-download.com/
-OSはWindows以外にLinux, Mac OSが選択可能です。Linux, Mac OSを選択した時には利用しているCPUを選択してください。
+OSはWindows以外にLinux, Mac OS Xが選択可能です。Linux, Mac OS Xを選択した時には利用しているCPUを選択してください。Linux, Mac OS Xの場合には、Windowsと異なりコマンドラインのツールでの利用となり、OSのネットワークの設定は利用者が適切に行う必要があります。また、Mac OS Xについてはマニュアルには説明がありません。
-Linux, Mac OSの場合には、Windowsと異なりコマンドラインのツールでの利用となり、OSのネットワークの設定は利用者が適切に行う必要があります。
-また、Mac OSについては最近追加されたためマニュアルには説明がありません。
 設定方法も含めマニュアルは以下の場所で参照できます。
@@ 68行目: / 92行目: @@
 === 設定項目 ===
-* ホスト名： svpn.s.u-tokyo.ac.jp
+* ホスト名： vpn.adm.s.u-tokyo.ac.jp
 * ポート番号： 443 (デフォルト)
 * 仮想HUB名： sos (リストから選択（他に選択肢はありません）)
@@ 80行目: / 104行目: @@
 ダウンロードしたファイルを実行するとインストーラが起動します。指示にしたがってインストールを行ってください。ライセンスには同意する必要がありますが、それ以外の部分は特に変更の必要はありません。
-初めてインストールした場合は仮想LANカードの作成が必要です。「PacketiX VPN クライアント接続マネージャ」を起動して、メニューの「仮想LAN」から「新規仮想LANカードの作成」を選択してください。仮想LANカードの名前は任意のもので問題ありません。作成中にドライバのインストールに関する警告が出た場合は許可してください。（インストール後にも正しくインストールできたかの確認が出る場合があります。）
+初めてインストールした場合は仮想LANカードの作成が必要です。「SoftEther VPN クライアント接続マネージャ」を起動して、メニューの「仮想LAN」から「新規仮想LANカードの作成」を選択してください。仮想LANカードの名前は任意のもので問題ありません。作成中にドライバのインストールに関する警告が出た場合は許可してください。（インストール後にも正しくインストールできたかの確認が出る場合があります。）
 作成した仮想LANカードは既存の有線LANや無線LANとは別のMACアドレスとなります。所属する専攻施設内での接続にMACアドレスの登録が必要な場合は、仮想LANカードのMACアドレスを管理者に通知してください。
@@ 87行目: / 111行目: @@
 * 下の画像で○のついている「クライアント証明書の削除」のボタンがクライアント証明書の設定に使うボタンです。（設定後の画像のため表示が削除に変更されています。）
-[[ファイル:Packetix.png]]
+[[ファイル:Softether.png]]
 設定の作成後は設定をダブルクリックすることで接続が可能です。
@@ 94行目: / 118行目: @@
 === Mac OS Xでの設定のポイント ===
-PacketiX VPN Client のインストールにはXcodeおよびTun Tapが必要になります。
+SoftEther VPN Client のインストールにはXcodeおよびTun Tapが必要になります。
 Mac OS X版のTun Tapは http://tuntaposx.sourceforge.net/ から入手できます。
@@ 103行目: / 127行目: @@
 === Linuxでの設定のポイント ===
-Linux版のクライアントソフトはコマンドラインで動作する接続ツールのみでGUIはありません。また、証明書の読み込みやネットワークの設定も自身で行う必要があります。（PacketiX のマニュアル中にも「Linux 版 VPN Client は、Linux オペレーティングシステムやネットワークについて、非常に詳しい知識をお持ちの方のみが使用してください。」という注意があります。）
+Linux版のクライアントソフトはコマンドラインで動作する接続ツールのみでGUIはありません。また、証明書の読み込みやネットワークの設定も自身で行う必要があります。
-インストールには make や gcc、binutils などのユーティリティと、libc (glibc)、zlib、openssl、readline および ncurses の各開発用ライブラリバージョン (devel と呼ばれる場合もあります) が必要です。
-ダウンロードしたファイルを目的の場所に解凍した後に make を行うことでインストールを行うことができます。そこで作成された vpnclient コマンドを起動した後に、vpncmd コマンドを使用して制御が可能です。（起動後に 2 を選ぶと vpnclient の制御です。）
+インストールには make や gcc、binutils などのユーティリティと、libc (glibc)、zlib、openssl、readline および ncurses の各開発用ライブラリバージョン (devel と呼ばれる場合もあります) が必要です。ダウンロードしたファイルを目的の場所に解凍した後に make を行うことでインストールを行うことができます。そこで作成された vpnclient コマンドを起動した後に、vpncmd コマンドを使用して制御が可能です。（起動後に 2 を選ぶと vpnclient の制御です。）
 初回インストール時には Windows の時と同様仮想LANカードの作成が必要になります。vpncmd から以下のコマンドを実行します。（名前は任意のもので問題ありません。）
-  NicCreate packetix
+  NicCreate vpn
 クライアント証明書はあらかじめ必要な内容を取り出しておく必要があります。以下の例で XXXX.p12 の部分は実際には利用者の証明書のファイル名となります。出力ファイル名の部分は任意のもので問題ありません。
@@ 120行目: / 142行目: @@
 以下のコマンドで設定を作成します。以下の例で設定の名前を svpn としていますが任意のもので問題ありません。XXXX の部分は実際には共通 ID、NICNAME は上で作成した仮想 LAN カードの名前となります。
-  AccountCreate svpn /SERVER:svpn.s.u-tokyo.ac.jp:443 /HUB:sos /USERNAME:XXXX /NICNAME:packetix
+  AccountCreate sos /SERVER:vpn.adm.s.u-tokyo.ac.jp:443 /HUB:sos /USERNAME:XXXX /NICNAME:vpn
-  AccountCertSet svpn /LOADCERT:XXXX.crt /LOADKEY:XXXX.key
+  AccountCertSet sos /LOADCERT:XXXX.crt /LOADKEY:XXXX.key
 以下のコマンドで接続できます。
@@ 127行目: / 149行目: @@
   AccountConnect
-接続後は上で作成した vpn_packetix というインターフェイスが VPN で接続されています。アドレスやルーティングの設定は他の eth0 などと同様に行えます。
+接続後は上で作成した vpn_vpn というインターフェイスが VPN で接続されています。アドレスやルーティングの設定は他の eth0 などと同様に行えます。
 切断は以下のコマンドです。
@@ 136行目: / 158行目: @@
 == 運用について ==
-毎日3:00にアカウント情報の更新を行います。新規にクライアント証明書のアカウントが作成された場合には翌日の3:00よりVPN接続サービスを使用可能です。また、更新の際には、接続中のユーザは一旦切断されますのでご了承ください。
+以下の旧サーバは老朽化のため2016年9月30日で運用を終了します。
+* クライアントソフトを利用したVPN接続サービス: svpn.s.u-tokyo.ac.jp
+* L2TP VPN接続サービス: l2tp.adm.s.u-tokyo.ac.jp
-<!--
-本サービスで利用している認証システムは理学系研究科の基幹ネットワーク設備の一部です。基幹ネットワーク設備は2013年3月に更新となりますので、それ以降は本サービスの運用形態も変更となる可能性があります。
--->
 [[Category:情報システムチーム]]