コメントは18件です

1. サッカー親父 より:

   2022年6月4日 15:17

   ネット関係等、ど素人でsoftether関連の解説記事を読んでいて不明点を教えて下さい。
   ポート開放についてですが、Serverのリスナー一覧を見るとデフォルトで４つのポート番号が表示されますが、ポート開放は当該のポート番号でなく、500，4500，5555なのでしょうか。セキュリティソフトの設定についても関係が分かりません。
   よろしくお願いいたします。

   返信
   • Solomon より:

     2022年6月5日 03:40

     コメントを頂きありがとうございます。

     以下、順に説明させて頂きます。

     ●開放ポート番号について

     SoftEther VPN Serverは既定では、

     443/tcp
     992/tcp
     1194/tcp
     5555/tcp

     がリスナーポートとして設定されています。

     VPNの通信には一つのポートがあれば十分なので、この中のどれか一つを使うことに決めればよいことになります。

     443は、httpsで、
     992は、telnetで、
     1194は、OpenVPNで

     それぞれ利用されるもので、サーバーを設置しているなら既にルーターでのポート開放が行われている可能性があるため選ばれたと思われます。

     逆に考えるとこれらのポートが解放されているサーバーが多いということは、これらのポートへの攻撃も多いことになりセキュリティリスクが高いことになります。

     5555はSoftEther VPN特有のポートのため、攻撃者がSoftEther VPNを知らなければ他のポートよりは攻撃されるリスクは低くなります。

     そのため記事ではこの4ポートの中から5555/tcpを使うことにしました。

     上記4ポートはSoftEther VPN独自プロトコルでの通信に使用しますが、SoftEther VPN Serverには他にも、OpenVPNやMS-SSTP、L2TP/IPsecなど別のプロトコルも搭載しています。

     500/udp
     4500/udp

     これらはスマートフォンとのVPN接続で利用するL2TP/IPsecプロトコルでの通信に必要なポートです。これらのポート番号は決まっており変更することはできないことから、SoftEther VPN Serverの設定画面には記載がありません。

     以上から、SoftEther VPN独自プロトコルとL2TP/IPsecプロトコルで通信できるように、

     500/udp
     4500/udp
     5555/tcp

     を開放するように設定しています。

     ●セキュリティソフトについて

     一般に入手可能なセキュリティソフトはクライアント用です。

     クライアントは必ず通信を開始する側であり、最初に通信相手にパケットを飛ばして通信を始めます。

     セキュリティソフトはそのパケットと通信相手から返ってきた応答パケットを見て正常な通信と判断し、以後、相手との通信を通過させます。

     しかし、SoftEther VPN Serverとの通信は必ず外部のスマートフォンから始まります。

     そのためセキュリティソフトはスマートフォンからのVPN接続と外部からの攻撃との区別がつかず、外部からの通信をすべて遮断してしまいます。

     このままではSoftEther VPNでのVPN通信が行えませんので、セキュリティソフトに上記ポートへの通信は正常なVPN通信なので通過させるように予め設定しておく必要があります。

     返信
2. サッカー親父 より:

   2022年6月5日 17:19

   早速のご助言・ご説明ありがとうございました。まだ、当方理解不足なのかルータのポートマッピングをやり直しましたが、クライアントからのテスト（家庭内の別PCなので本来のテストにはならない）ではNATトラバーサルモードでしか繋がらず、Android端末からは接続失敗します。
   サーバー側の設定が間違っていれば、NATトラバーサルモードでの接続もできないのでは考え、行き詰っています。
   どこをチェックすれば良いのか、ご指導いただければありがたいのですがよろしくお願いします。

   返信
   • Solomon より:

     2022年6月5日 20:43

     コメントを頂きありがとうございます。

     テストしている環境について確認させてください。

     ・テストに使用しているのは、
     　-SoftEther VPN ClientをインストールしたPC
     　-L2TP/IPsecで接続設定をしたAndroid端末
     　の2台
     ・Android端末はWi-Fiを切ってモバイル回線からテストしている
     ・PCはWi-Fiを切ってAndroid端末にテザリング接続または内蔵の通信機能を利用して、モバイル回線を使ってテストしている

     このような環境で間違いないでしょうか。

     家庭内LANからテストするには外部から接続するのとは別の接続設定が必要です。

     返信
3. サッカー親父 より:

   2022年6月6日 11:47

   テストに使用しているのは、
   ①SoftEther VPN ClientをインストールしたPC（Win10のデスクトップ）で完全なテストにはならないと思いながら、server側の設定が不味ければ繋がらないのではと思いやっています。②Android端末からは、最初に筑波大学のVPNgateに接続して、設定を確認し同様の設定でテストして失敗します。当然、Wi-Fiを切ってモバイル回線でのテストです。ちなみにAndroid端末からは自宅Wi-Fi接続でも失敗します。③もう一つ、SIMカード無しのipadでもAndroid端末同様のテストを行っていますが、失敗します。
   　本来のテストにならないのは理解できますが、ポートマッピングのテストとしては自宅の家庭内LANからでは無意味でしょうか。クライアントから自宅家庭内LAN接続テストでNATトラバーサルモードで接続したことやポートマッピングを見直せとのワーニングメッセージも無意味でしょうか。

   返信
   • Solomon より:

     2022年6月6日 13:08

     コメントを頂きありがとうございます。

     SoftEther VPN Serverの構築とAndroidクライアントの設定方法は、どこの情報を見て行っているのでしょうか。

     返信
4. サッカー親父 より:

   2022年6月6日 16:45

   ネット検索していて見つけた「海外から安全に接続出来る自宅VPNサーバーの立上げ方法」（https://enjoyasia.net/wordpress/configure-vpn-server-at-home#toc3）を読んで面白そうだし、使っていないBACKUP用ノートＰＣを利用できそうだと思ってインストール、設定し始めたのが切っ掛けですが、上手くいかずネット検索していてSolomon さんのサイトを見つけた次第です。筑波大の「softether VPNプロジェクト」も見ていますが全てを完全に読み込み、理解できそうにもなくネット検索に頼ったりしているのが現状です。

   返信
   • Solomon より:

     2022年6月6日 20:42

     コメントを頂きありがとうございます。

     教えて頂いたサイトには簡単にしか説明がありませんが、接続テストには外部ネットワークから行う必要があるとあります。これは守られていますでしょうか。

     自分も試したことがありますが、内部LANから接続しようとすると外部アドレスは同じになるため、接続元と接続先が同じアドレスだとうまくいかないようです。

     SoftEther VPN ClientからのVPN接続だとNATトラバーサルだけでなく使えるものはDNSだろうとICMPだろうと使おうとしますので、同一LAN内にサーバーが見えている状態だと直接通信している可能性もあり、Android端末との比較にはならないと思います。

     またVPN Gateは自宅のネットワーク環境と異なるため、たとえパラメータを変えるだけだとしてもAndroid端末の接続テストにはなりません。

     Androidからの接続にL2TP/IPsecを利用している場合はIPv4で接続する必要があります。自宅の回線契約がIPv4とIPv6の両方に対応している場合、DDNSホスト名の指定は、

     XXXXX.softether.net

     ではなく、

     XXXXX.v4.softether.net

     で指定します。

     また、自宅回線がv6プラスまたはDS-Liteを契約しているとL2TP/IPsecでは接続できません。

     これを回避するにはOpenVPNを使うなど別の方法をとる必要があります。

     返信
5. サッカー親父 より:

   2022年6月14日 18:44

   早くにコメントいただいてたのに返事返さず申し訳ありません。
   まず、接続テストには外部ネットワークから行う必要があるのは理解できるのですが、簡単にできるのはアンドロイド端末からのWi-Fiを切ってのテスト位で、それもネット情報（筑波大のsoftether資料も含め、種々）を参考にテストしてダメでした。VPN Gateはアンドロイド端末、ipad（Wi-Fi専用）でのテストでどこに何を設定するかの参考にした位です。ipadはフリーWi-Fi箇所で行ったりもしましたが、いずれも接続失敗でした。海外に転勤中の娘の端末からの接続を考え、自宅の自分のPC（server立ち上げ中とは別）にクライアントを立ち上げ設定値の検証中です。これも自宅ネットからではテストとして不可と思いながらPCがデスクトップゆえに参考にそのまま接続テストしたのが現状です。
   ご指導・ご指摘頂いたお陰でポートマッピング等は設定できたように思うのですが、server側のどこかに問題が残っているのか上手くいきません。現在、お手上げ状態でしばらく手をつけていません。
   ポートマッピング設定後にserver-logの量が多くなり、内容を見ると外国含め種々の個所からアクセスがあるようになりました。serverPCには直ぐに接続が切れるようなメッセージなので大丈夫かなと思っていますが、これも最終的には対処の必要な項目と思っています。

   返信
   • Solomon より:

     2022年6月22日 06:25

     コメントを頂きありがとうございます。

     ご返事が遅れて申し訳ございません。

     サーバーへの外部からのアクセスが増えているとのことでポートフォワードなどルーターの設定はできているのだと思われます。ログでアクセスされているポートを確認できれば、正しく穴あけができていることになります。

     いくつか問題を切り分けてみた方がよいかもしれません。

     まず、LAN内部からサーバーへの接続を試してみては如何でしょうか。

     LAN内部からテストする場合は、接続先ホストの指定をDDNS名ではなくLAN内のSoftEther VPN ServerのIPアドレスを指定します。

     これで接続できない場合は、次の問題が考えられます。

     1.サーバー側のポートが開いていない
     　Windowsならばセキュリティソフトのファイアーウォールを確認する必要があります。
     2.認証に失敗している
     　IPsceのキーやアカウント名、パスワード、接続先仮想HUB名などの指定を確認する必要があります。

     これが問題なく接続できるなら、回線を疑った方がよいかもしれません。

     VPN Gateにモバイル回線からL2TP/IPsecで接続できるなら、モバイル回線は500/udp、4500/udpを通していることになります。モバイル回線によってはVPNを遮断している場合もあります。

     残るは自宅の回線の問題ということになります。

     L2TP/IPsecはモバイル端末の標準機能で利用できますが、古い技術で問題もあるため最近は別の方法が推奨されているようです。そのため、別の接続方法を試した方がよいかもしれません。

     SoftEther VPN Serverで使えるものとしてはIPv6でも使えるOpenVPNが比較的簡単だと思います。指定しなければIPv4とIPv6の使える方で接続してくれます。

     iOS/iPadOSならSSTP Connectがお勧めです。

     返信
6. サッカー親父 より:

   2022年6月30日 15:58

   Solomonさん、いろいろ指摘頂き返答が遅くなり申し訳ございません。未完成のサーバーを構築完成に向け、指摘された「LAN内部からサーバーへの接続」を試してみました。DDNS名ではなく「LAN内のSoftEther VPN ServerのIPアドレスを指定」が良くわからず、SoftEther VPN Serve構築中のPCのWi-Fiの固定IPを接続先のホスト名に入力して、①SoftEther VPN クライアント、②アンドロイド端末、③ipadでテストしました。
   結果、①の別PCのクライアントからは正常に接続され、DHCPからIPも割り当てられました。②は失敗、③は認証で失敗しています。serverlogの確認でも結果に至る動きが確認されており、アンドロイド端末、およびipadでの検証は筑波大のgateに接続できた時のユーザー名、パスワード、事前共有鍵の変更だけでは以前指摘を受けたように検証にならないようです。
   サーバーはＯＫの可能性もあるので、別途クライアントから別回線でテストを計画するつもりです。また、これでダメなら「仮想NATおよび仮想DHCPサーバー機能」の設定を検討してみたいのですが、ネット初心者には危険との指摘があるのでやらない方が良いのかご指導お願いします。

   返信
   • Solomon より:

     2022年7月2日 00:33

     コメントを頂きありがとうございます。

     考えられる問題点をご指摘するのを失念しておりました。

     問題の原因はSoftEther VPN ServerをWi-Fiで構築しようとしていることです。

     SoftEther VPN Serverはすべてソフト上で動作しますが、現実の機器と通信を行うためには仮想HUBと物理ネットワークを接続するローカルブリッジが必須です。

     ローカルブリッジが機能するためにはLANカードでプロミスキャスモードが使える必要があります。ところがほぼすべての無線LANカードではプロミスキャスモードが使えません。ローカルブリッジの構成では問題なく機能しているように見えますが、実際には動作していません。

     PCの場合はLANに接続できずDHCPでIPアドレスが取得できない場合は、自動的に仮のアドレスを設定します。しかし、ローカルブリッジが機能していないためルーターへのpingなども通らないはずです。

     AndroidやiOS/iPadOSでは、LANに接続できずDHCPでアドレスが取得できないとVPN接続に失敗します。

     いろいろ検討しているのですが、現状ではWi-FiでのSoftEther VPN Serverの構築は不可能です。必ず有線LANで構築する必要があります。

     SoftEther VPN Server PCが有線LANカードを搭載していない場合は、USB接続のLANアダプターを利用してください。

     USB接続のLANアダプターを利用する場合は、ローカルブリッジのLANカードの選択に複数のLANカードが表示されます。そのため、必ずUSB接続のLANアダプターを指定してローカルブリッジを構成してください。

     有線LANで構築すればDHCPサーバーとも通信できますので、仮想NAT、仮想DHCPは不要です。

     返信
7. サッカー親父 より:

   2022年7月5日 16:50

   Solomon 様
   たびたびの指摘ありがとうございます。今回の指摘に関連する件と最近テストした結果についてのご質問をしたいと考えます。
   1）まず、ご指摘いただいたSoftEther VPN Serverの構築ですが、対象がノートＰＣで、ＬＡＮカードが２つWi-Fi用とイーサーネットケーブル接続用です。ＰＣ本体の通信にはWi-Fiを使用しているのでIPアドレス固定用にはネットワーク接続で表示されるWi-FiのIPv4で設定しました。イーサーネットケーブル接続用はケーブルが繋がっていないので×になっています。（ここまでが既に間違っているのでしょうか）
   2）構築時のローカルブリッジのLANカードの選択ですが、ＰＣのデバイスマネージャーでは２枚のLANカードと複数ポートが見えるのにローカルブリッジ設定時のLANカード選択にはイーサーネットケーブル接続用が１つ表示されるだけです。故にWi-Fi用は選びようなくイーサーネットケーブル接続用を現在は選択しています。
   3）以前、指摘頂いたLAN内部からのテストで接続されたので、外部からのテストをやりました。SoftetherVPNクライアントからの接続テストでserver側のserverlogにはユーザー名も合った形で仮想HUBへの接続を試行、ユーザー認証に失敗します。何度、パスワードの入力をやり直しても失敗するというのはサーバー側の設定に問題があるのでしょうか。
   以上の件で、サーバー再構築に対するご指導・ご指摘頂ければありがたいと思います。よろしくお願いします。

   返信
   • Solomon より:

     2022年7月5日 21:49

     コメントを頂きありがとうございます。

     まず、前回の回答のようにWi-FiではSoftEther VPN Serverの構築は不可能です。

     そのため、Wi-FiのSSIDとパスフェーズは削除して無線LANルーターに接続しないようにしてください。そして内蔵LANを利用する場合はLANケーブルを接続して、有線LANでインターネットに接続できることを確認してください。

     これで物理的な問題は解決するはずです。

     ソフト的な問題に関しては、小出しで頂く情報から推測して問題を解決するのは難しいので、当サイトで説明している構築手順を連載の最初から読み進めていくことをお勧めします。

     1から構築し直す必要はありませんが、ひとつの記事で完結する方法ではなく、できるだけ再現性が高いように段階的に要点を説明しています。そのため、詳細な設定情報を提供して頂かなくても、設定間違いなどに御自身で気付けると思います。

     返信
8. サッカー親父 より:

   2022年7月28日 00:18

   Solomon様
   前回、今月５日にコメントして以来となります。その時の指摘を含め何度かテストしました。現在、何とか接続してVPN通信できる条件が見つかりました。ありがとうございました。
   前回の指摘に関連する件と最近テストした結果についてのご報告と今後に向けてご質問をしたいと考えます。
   １．まず、server側を前回無線のままで構築中にアメリカからテストしてユーザー認証に失敗する件は、クライアントの再インストール時にバグか仕様上なのか分からないですがユーザー認証ロジックがおかしくなる条件があると思えます。私が宅内LAN内でサーバーに直接接続テストした時も生じた現象を思い出しました。自分の設定したパスワードなのに受け付けられず、試行錯誤してパスワードを消してブランクのまま接続して繋がったのです。娘にも同様の方法でアメリカから接続テストを指示してserver側が無線状態でも見かけ上接続完了しました。後で、serverlogを確認しても正常に認証されていました。しかし、筑波大のVPN gate公開サーバーホームページにアクセスしてグローバルIP、「あなたの国は」を確認させるとアメリカからの認識のままでした。
   　無線LANでの構築は無理とのご指摘に従い、安価なUSBの有線LANアダプターをネットで見つけ購入してテストしました。
   2.USB有線LANはローカルブリッジの再構築時に対象LANカードとして表示されたのでUSB有線LANでローカルブリッジを再設定、内蔵の有線LANでインターネット（固定IPアドレス）として再構築テストしました。結果は正常にユーザー認証され、見かけ上は正常に接続されたようですが、無線の時と同様にクライアント側の国をチェックするとアメリカからアクセス認識のままでした。

   　使用したUSB有線LANアダプターが安価なノーブランド品であり、Fast.comでインターネットアクセススピードテストをしても５メガ強くらいしか出ておらず、実際のインターネットアクセスは内蔵LANを使用しローカルブリッジとして使えないかと考えたのですがだめでした。Softether VPN server設定時の対象としては表示されても機能上はNGだったと考えたほうが良いのでしょうね。
   ３．遅いUSB有線LANアダプターをインターネットアクセス、ローカルブリッジを有線内蔵LANとしたテストもやりたかったのですが、時差もあり仕事外で日本との間でテストを何度もやりにくかったのでローカルブリッジとインターネット通信とも内蔵有線LANアダプターで設定してやってみました。結果、正常認識して接続できました。

   　クライアントからの接続はアンドロイド端末やipadからより接続しやすように書いてあり、現在、上記３の条件でSoftetherVPNクライアントでしか繋がっていない状況でserver側の手直し、テストについてコメントを頂ければと思います。

   　以前のコメントでも書きましたが、バックアップ用の廃棄前のノートＰＣを利用したもので、費用をかけずに出来ればと思っていたので安価すぎる有線LANアダプターを購入したのが誤りだったのですが、筑波大のマニュアルなど見ても同一LANカードでない方が良いようにされています。日本の動画サイトを見たりするのには別にする必要はあるでしょうか。

   　以前、いただいたコメントにも「仮想NATおよび仮想DHCPサーバー機能」の設定は不要とのことですが、いろんな国からのアクセスがあることに対するセキュリテイ上の対策には使えないのでしょうか。

   返信
   • Solomon より:

     2022年7月28日 21:02

     コメントを頂きありがとうございます。

     ●パスワードに関して
     パスワードは必ずキーボードから直接入力していますでしょうか。
     文字コードはアプリによって異なります。見かけ上は同じに見えても別のアプリなどから「コピー＆ペースト」で入力すると違ったコードで入力される場合があります。

     ●LANカードについて
     内蔵有線LANカードをインターネット接続とローカルブリッジとで同時に使えているが、分けたということでしょうか。
     SoftEther VPNはすべてソフトで処理していますので、速度が遅いと感じるならパソコンの性能を上げた方が効果的でしょう。
     また、通信回線、ルーター、クライアントの性能なども影響するので、LANカードを分離する必要はないと思います。

     ●セキュリティ対策
     「いろんな国からのアクセスがあることに対するセキュリテイ上の対策」とのことですが、その対策としてはルーターの対策強化ぐらいです。
     仮想NAT、仮想DHCPはLAN内、VPNにより保護された内部ネットワークでの話ですので、外部からの攻撃対策にはなりません。

     ●3の状態でのLAN内接続テスト
     3の状態で動作しているならLAN内部からの接続設定でiPhone/Androidから接続できるはずです。
     このテストが通らないならL2TP/IPsecの設定が間違っていることになります。
     通るならモバイル回線契約の問題となります。

     返信
9. サッカー親父 より:

   2022年9月16日 00:31

   Solomon様
   7月末にご回答頂いて以来です。御無沙汰しています。SoftetherVPNクライアントからは何とか接続できたことから、アメリカで日本の動画サイトを見ることもできSolomon様の指摘に回答せず申し訳ありませんでした。今回、使っていて生じた点含めコメントさせていただくとともに、再度質問とサポートコメントをお願いします。

   １点目のパスワードの件は、必ずキーボード入力しています。コピー＆ペースト等は使用していません。SoftetherVPNの場合、再インストール時、パスワードをブランクで認証できるケースを経験しております。ネット上のどこかで見つけ、上手くいったので探したのですが見つかりません。
   しかし、今回、娘のＰＣが壊れ、再インストールでなく新規にSoftetherVPNクライアントを前ＰＣでと同様に構築して自宅のサーバーに接続しましたが何度も失敗を繰り返しました。最終的にパスワードをブランクにして接続できました。
   パスワードをブランクで「接続」がクリックできることが不思議ですが、接続できました。役に立たない報告かも知れませんが報告させていただきます。

   ２点目のLANカードはご指摘の通り、分離せずに設定して問題なく使用できています。
   このまま使用していく予定です。

   ３点目のセキュリテイに関する「仮想NATおよび仮想DHCPサーバー機能」の設定は私が勘違いしていたと思います。通す条件を設定することが他を通さない条件ようにはならないのですね。理解ミスでした。

   ４点目のAndroid端末とipad端末からの接続はその後、SoftetherVPNクライアントが上手くいったことで取り組んでいなかったのですが、未だ接続に失敗します。娘のＰＣが壊れた時にやはりipad端末が使えればと思い、Solomonさんのページや同様の件で困っておられる方の情報を探してテストしましたが未だ接続できません。
   テストしたのは、ご指摘に従い「L2TP/IPsecの設定」を見直してテストしました。、関係ないと思いながら「L2TPサーバー機能を有効にする」の暗号化されないL2TPにもチェックを入れ、UDPポート1701の開放を行ってテストしてみました。接続失敗でしたがserverlogを確認すると、1701ポートへアクセスはしているようでした。Android端末もipad端末も種々接続を試行しているようですが、最終的に認証エラーになります。
   「L2TP/IPsecの設定」の３つ目、「拠点間接続VPNサーバー機能」は試していません。試してみるべきでしょうか。ただ、「サーバー機能の詳細設定」方法が良く分かりません。ルーターはプロバイダのレンタルのNEC製Aterm WG1200シリーズです。

   チェックすべき箇所、試してみることがあればご指摘いただいたければ幸いです。

   フォーラムに同様の方を見つけましたが、その方も私と同様のケースのようですが失敗後が載っていません。そこではOpenVPNを勧めている人がいたので、OpenVPNも試すべく、サーバー設定に取り組みましたがAndroid端末、ipad端末ともプロファイルのインポートに失敗します。

   返信
   • Solomon より:

     2022年9月17日 07:40

     詳細に御回答を頂きありがとうございます。

     本来の目的である動画の再生ができたのなら、当サイトへのコメントは気にしないで結構です。

     こちらのドキュメントを見てみると、

     2.2 ユーザー認証
     https://ja.softether.org/4-docs/1-manual/2/2.2

     匿名認証になっているとユーザー名さえ合っていれば、ログインできてしまうようです。

     ただ、パスワードを入力するとログインできないということですので、ブランクで認証しているように思えます。

     試してみましたがユーザーはパスワード無しでも作成できるのですが、Configを見るとハッシュ値が設定されているので、何かしらのデフォルトパスワードを設定しているのかもしれません。

     参考にされたという記事を見てみましたが、ユーザーの作成時に「セキュリティーポリシー」にチェックを入れていますが、これは必要ありません。細かな制限をかける必要がないならチェックを外してください。

     また「認証方法」が「パスワード認証」になっていることも確認してください。

     モバイル機器からの接続は、やはり古いL2TP/IPsecではなくOpenVPNか、iOS/iPadOSならばSSTP Connectを使った方がよいと思います。

     この場合、サーバー証明書が正しく構成されている必要があります。

     PCのクライアントで接続できているなら問題ないのですが、どうもお話を伺っている感じでは、サーバーの構築のどこかが正しく構築できていないように思えます。

     返信