【自宅VPN構築】(その１) VPN導入に必要な条件を確認する

【自宅VPN構築】(初めに) TL-R600VPNで無線LAN環境にVPN(PPTP、L2TP/IPSec)を構築する

こんにちは！しらかば堂(@shirakabado)です。

VPN導入前の無線LANルータ周辺情報の確認方法、外出先から自宅内無線LANルータへの疎通確認方法について紹介しています。

1 VPN導入に必要な条件を確認する
- 1.1 解決できること
- 1.2 読んでほしい方
2 VPN導入に必要な無線LANルータ周辺情報を確認する
3 外出先から無線LANルータへの疎通確認方法
4 この疎通確認でわかること

VPN導入に必要な条件を確認する

解決できること

Androidスマホを使って自宅無線LAN環境で利用中の機器のIPアドレスが簡単に確認できます。また外出先のAndroidスマホからネットワークプロバイダを経由した自宅の無線LANルータ WSR-2533DHPL への導通確認ができるようになります。

読んでほしい方

自宅にVPNを導入したい気持ちはあるものの、自分の使っているインターネットプロバイダでVPN導入ができるのかよくわからない方、また自宅無線LANルータにVPN導入に必要な機能があるのかよくわからない方。

VPN導入に必要な無線LANルータ周辺情報を確認する

自宅無線LAN環境にVPNを導入するためには、まず無線LANルータ WSR-2533DHPL^(注1)の

LAN側ポートのIPアドレス
WAN側ポートのIPアドレス

を知る必要があります。そこでスマホ^(注2)の「Fing」というアプリと無線LANルータ WSR-2533DHPLの「管理ソフト」を使ってこれらを確認します。

(注1) Buffalo 無線LAN親機 WSR-2533DHPL (Version:1.06)

(注2) スマホ: SAMSUN Galaxy Note9 (Android Version:10)、記事中の「スマホ」は「Androidスマホ」、「アプリ」は「Androidアプリ」です。

LAN側IPアドレス確認

スマホで「Fing」を起動し、さらに

で、画面中央の「デバイスをスキャン」ボタンを押すと

のような画面となり、この無線LANルータ接続された図の破線部分の機器のIPアドレスを簡単に確認できます。

表示された情報からこの無線LANルータ WSR-2533DHPL のベンダ名「Buffalo」、製品名「AirStation」をキーに、LAN側のIPアドレス「192.168.yyy.1」の実アドレス①を確認します。

WAN側IPアドレス確認

次に今確認したこのLAN側のIPアドレス「192.168.yyy.1」の実アドレス①を使い Windows 10 搭載 PC のWEBブラウザから

http://192.168.yyy.1/

へアクセスすると以下のような WSR-2533DHPL のログイン画面が現れるので

パスワードを入力すると

のような画面になり、さらにこの「詳細設定」を押すと

のような画面となります。

「無線LANルータのWAN側のIPアドレス」はこの「Internet」セクションの「IPアドレス」の②の部分で確認します。確認できたIPアドレスは以下のようなものです。

アドレス表記	実アドレス	説明
192.168.yyy.1	①の値	無線LANルータ WSR-2533DHPL の管理画面を開くとき使用するLAN側IPアドレス
163.58.xxx.133	②の値	WAN側から見える自宅内無線LANルータ WSR-2533DHPL のWAN側IPアドレス

実装機能確認

無線LANルータ WSR-2533DHPL の管理画面で次の機能が使えるか確認します。

機能名	説明
ファイヤーウォール	セキュリティ上の理由によりWAN側からの通過させてはいけないIPパケットを阻止するための機能です。この記事内では ping パケットの許可/拒否を制御するために使用します。
ポート変換	WAN側からの特定のIPパケットをLAN側の指定装置に転送する機能です。この記事内ではWAN側からのVPNパケットをVPNルータに転送するために使用しています。この「ポート変換」は製品により、「ポートフォワーディング」「IPマスカレード」等さまざまな呼ばれ方をされています。
DHCP^(注3)	無線LANルータに一般的に搭載されているIPアドレス払い出しのための機能です。VPNルータに固定IPアドレスを割り当てるために払い出しIPアドレス範囲を明確に指定できる機能が必要です。
DDNS^(注4)	自宅の無線LANルータのWAN側ポートのIPアドレスをネットワークプロバイダのIPアドレス払い出し条件によって変動するグローバルIPアドレスではなく固定のホスト名で指定するためのしくみです。

(注3) DHCP(Dynamic Host Configuration Protocol)

(注4) DDNS(Dynamic Domain Name System)

自宅無線LANルータにこれらの機能がない場合、

自宅へのVPN導入をあきらめる
無線LANルータを買い替える
VPN対応の無線LANルータを買う

などを考える必要もありますが、この無線LANルータ WSR-2533DHPL では上で紹介した機能が以下のように実装されています。

ファイアーウォール機能

代表的な３種類の通信プロトコルに対しパケットの通過許容/拒否を設定します。

ポート変換機能

WAN側ポートから入ってきた特定のポート番号のパケットをLAN側の指定装置のIPアドレスの指定ポート番号に変換配送します。

DHCP機能

VPNルータに割り当てるIPアドレス「192.168.yyy.3」が他機器のIPアドレスと重複しないよう、割り当てIPアドレスの範囲を指定します。この記事内では将来的な固定IPアドレスの利用機器の拡張性を考慮して「192.168.yyy.1～192.168.yyy.15」を固定IPアドレスの範囲として設定しています。

DDNS機能

この無線LANルータのWAN側IPアドレスをホスト名で指定可能とするために、必要に応じDDNSプロバイダと契約し、このホスト名を維持するために定期的にWAN側IPアドレスをDDNSプロバイダにWAN側IPアドレスを通知します。この記事中では「NO-IP」をDDNSプロバイダとして選択しています。

外出先から無線LANルータへの疎通確認方法

確認できた「無線LANルータのWAN側のIPアドレス」②に向け

外出先のスマホから自宅内のONU経由で無線LANルータまで接続できるか

を ping^(注5) を使って疎通確認する方法を紹介します。

(注5) ping(Packet Internet Groper)は、インターネットなどのTCP/IP^(注6)ネットワークで、ネットワーク上の特定のIPアドレスを持つ機器から応答があるかを調べるためのプログラムで、調べたい相手のIPアドレスを指定することで、ICMP^(注7)というプロトコル^(注8)を用いて応答要請（ICMPエコーリクエスト）を送信し、相手方から応答（ICMPエコーリプライ）があるかどうか、送信開始から受信完了までの所要時間RTT^(注9)などを調査できます。

(注6) TCP/IP(Transmission Control Protocol/Internet Protocol)

(注7) ICMP(Internet Control Message Protocol）

(注8) プロトコル: 通信規約のこと

(注9) RTT(Round Trip Time）

Androidスマホでの ping 利用方法

スマホで「Ping Tools Network Utilities」を起動すると以下のような画面

となるのでこの画面の左上のメニューアイコンをクリックすると、左側がこのようなメニューバーになるので

この中から「ping」を選ぶと

という画面となるので、赤枠部分に導通確認したい相手先のIPアドレスを入れて疎通確認をします。自宅の無線LANルータへの疎通確認はこの画面で行います。

無線LANルータ管理画面の ping応答有効/無効設定

無線LANルータの「ファイヤーウォール」画面で表示されている項目を確認すると

「Internet側からのPINGに応答しない」というトグルボタンがありますが、それぞれのトグル状態に対するファイアーウォール動作は以下のとおりです。

チェック状態	無線LANルータの動作
✅	無線LANルータのWAN側IPアドレスは「Internet側からのPINGに応答しない
□	無線LANルータのWAN側IPアドレスは「Internet側からのPINGに応答する

外部のスマホから無線LANルータにむけた疎通確認をする際は、このトグルボタンを✅と□で相互に入れ替ながら ping を複数回実行します^(注10)。

(注10) pingによる導通確認が終わったら、必ずこのボタンは✅「Internet側からのPINGに応答しない」に戻しておくことが非常に重要です。さもないと、この無線LANルータのWAN側IPアドレスに向かって悪意のあるサイトから攻撃され、この無線LANルータがダウンしたり、次の攻撃の温床となるリスクが高まります。

外出先から無線LANルータへの疎通確認方法

疎通確認のやりかたが確認できたので、実際に自宅でスマホをLTE接続^(注11)し、無線LANルータへ向かって疎通確認を実施します。

(注11) Wifi接続で接続すると、ICMPエコーリクエストが

スマホ→無線LANルータLAN側IPアドレス→WAN側IPアドレス

経由で流れてしまい、WAN側経由の導通確認にならないのでスマホ上部のインジケータを確認し、Wifi接続がないことを確認しながら実施します。

項番	操作機器	操作	期待する結果
1	無線LANルータ	管理画面を起動し、ファイヤーウォール画面を表示する
2	スマホ	LTE接続でインターネット接続する
3	スマホ	「Ping Tools Network Utilities」を起動し、無線LANルータのWAN側のIPアドレス「163.58.xxx.133」の実アドレスに向け ping を実行する	pingが到達しないことを確認する^(注12)
4	無線LANルータ	ファイヤーウォール画面で「Internet側からのPINGに応答しない」のチェックを外す
5	スマホ	「Ping Tools Network Utilities」を起動し、無線LANルータのWAN側のIPアドレス「163.58.xxx.133」の実アドレスに向け ping を実行する	pingが到達することを確認する^(注13)
6	無線LANルータ	ファイヤーウォール画面で「Internet側からのPINGに応答しない」のチェックを外す
7	スマホ	「Ping Tools Network Utilities」を起動し、無線LANルータのWAN側のIPアドレス「163.58.xxx.133」の実アドレスに向け ping を実行する	pingが到達しないことを確認する

(注12) ping が到達しないときのスマホの画面は以下のようになります。

結果は「Connection Timeout」「no answer yet 」です。

この結果をでは ping は3回「ICMPエコーリクエスト」を無線LANルータのWAN側のIPアドレス「163.58.xxx.133」の実アドレス「②の値」に向け送信しましたが、決められた応答時間内にその応答がない、つまり以下の図のような状態(つまり結果はNGです)であることがわかります。

(注13) pingが到達するときの、スマホの画面は以下のようになります。

結果は「3 transmitted, 3 received, 0% packet packet loss」つまり ping が　3回「ICMPエコーリクエスト」を無線LANルータのWAN側のIPアドレス「163.58.xxx.133」の実アドレス「②の値」に向け送信し、全ての応答が戻ってきている(つまり結果はOKです)ことを示しています。