VPN で接続を行うと、 IP パケットは トンネル を介して伝送されるようになります。トンネルは TUN または TAP のいずれかを使用します。 TUN/TAP は仮想ネットワークに対応するカーネルドライバで、イーサネットや IP フレーム (パケット) の伝送を行います。

ユーザスペース側のプログラム (OpenVPN) では、 TUN/TAP のデバイスに接続して、オペレーティングシステムとの間でパケットの送受信を行います。

一般的に言うと、 VPN には様々なソリューションが存在し、構成も様々なものが存在しています。本章では OpenVPN パッケージを利用した場合の説明を行っています。 OpenVPN では、他の VPN ソフトウエアとは異なり、下記に示す 2 種類のモードに対応しています:

ブリッジ型とルーティング型の大きな違いは、ルーティング型の場合は IP ブロードキャストを通すことができないのに対して、ブリッジ型の場合はそれができるという点があります。

VPN サーバの構築は下記のようにして行います:

VPN クライアントの構築は下記のようにして行います:

OpenVPN のサービスを正常に動作させることができたら、あとは下記のコマンドを利用して TUN デバイスが正常に動作しているかどうかを確認します:

ip addr show tun0

VPN の接続を確認するには、クライアントとサーバの両方で ping コマンドを使用し、互いに通信ができていることを確認します。サーバからクライアントに ping を行いたい場合は、下記のように実行します:

ping -I tun0 サーバの_IP

逆に、クライアントからサーバに対して ping を行いたい場合は、下記のように実行します:

ping -I tun0 クライアントの_IP

VPN の接続を確立する前に、クライアントはサーバが提示する証明書を認証し、サーバはクライアントが提示する証明書を認証しなければなりません。これを 相互認証 と呼びます。

証明書の作成を行うための直接的な機能は、 openSUSE Leap には用意されていません。下記の手順では CA の証明書とサーバの証明書、そしてクライアントの証明書を他のシステムで作成したものとして説明しています。

サーバの証明書は PEM 形式で保存し、それに対応する機密鍵も暗号化することなく PEM 形式で保存しておきます。証明書は VPN サーバ内の /etc/openvpn/server_crt.pem に、 (暗号化していない) 機密鍵は /etc/openvpn/server_key.pem にそれぞれ置いておきます。

クライアント証明書は PKCS12 (推奨) 形式、もしくは PEM 形式で保存しておきます。 PKCS12 形式の場合は、その中に CA の証明書を含めておく必要があるほか、ファイルは /etc/openvpn/クライアント名.p12 というファイル名で保存しておきます。 PEM 形式で、 CA の証明書が含まれているものの場合は、 /etc/openvpn/クライアント名.pem というファイル名で保存しておきます。 PEM 形式でクライアント証明書 ( *.ca ) とクライアント鍵 ( *.key ) 、そして CA の証明書 ( *.ca ) をそれぞれ別々に分割している場合は、それぞれのクライアント内の /etc/openvpn/ ディレクトリにそれらを保存します。

また、 CA の証明書は、サーバおよびクライアント内の /etc/openvpn/vpn_ca.pem にコピーしておく必要があります。

重要: クライアント証明書を分割した場合について

クライアント証明書と対応する機密鍵、そして CA の証明書をそれぞれ別々のファイルに分割している場合は、それらのファイル名を各クライアント内の OpenVPN の設定ファイルで指定する必要があります (詳しくは 例24.1「VPN サーバの設定ファイル」 をお読みください) 。

サーバ側の設定に際しては、 /usr/share/doc/packages/openvpn/sample-config-files/server.conf にある雛形を /etc/openvpn/ にコピーしたあと、必要に応じて修正を行うことをお勧めします。

# /etc/openvpn/server.conf
port 1194 1
proto udp 2
dev tun0 3

# Security 4

ca    vpn_ca.pem
cert  server_crt.pem
key   server_key.pem

# ns-cert-type server 
remote-cert-tls client 5
dh   server/dh2048.pem 6

server 192.168.1.0 255.255.255.0 7
ifconfig-pool-persist /var/run/openvpn/ipp.txt 8

# Privileges 9
user nobody
group nobody

# Other configuration 10
keepalive 10 120
comp-lzo
persist-key
persist-tun
# status      /var/log/openvpn-status.tun0.log 11
# log-append  /var/log/openvpn-server.log 12
verb 4

openssl dhparam -out /etc/openvpn/dh2048.pem 2048

設定作業が終わったら、 OpenVPN サーバのログが /var/log/openvpn.log に出力されます。初回の起動時には、下記のように出力されるはずです:

... Initialization Sequence Completed

上記のようなメッセージが表示されない場合は、ログファイルをよく読んで、設定ファイル内のどの箇所が誤っているのかをご確認ください。

クライアント側の設定に際しては、 /usr/share/doc/packages/openvpn/sample-config-files/client.conf にある雛形を /etc/openvpn/ にコピーしたあと、必要に応じて修正を行うことをお勧めします。

# /etc/openvpn/client.conf
client 1
dev tun 2
proto udp 3
remote IP_OR_HOST_NAME 1194 4
resolv-retry infinite
nobind

remote-cert-tls server 5

# Privileges 6
user nobody
group nobody

# Try to preserve some state across restarts.
persist-key
persist-tun

# Security 7
pkcs12 client1.p12

comp-lzo 8