さくらのクラウドを使っていますが、
ココがダメ
IPsec接続が勝手に切れてVPCルータを強制リブートしない限り接続できない
という現象に当たってから検証に色々と時間を費やしてきました。
PPTP接続も自分のネット環境の影響から実験することができなくて断念し、YAMAHAのVPNルータを使ったサイト間VPNで解決はしていましたが、やっぱりノートパソコンなどで外部から接続する事を考えるとリモートアクセスが必要になりリベンジでPPTP接続を成功させた備忘録です。
IPsec接続での勝手な切断は仕様!?
(さくらのクラウド)VPCルータにPPTPサーバを構築してWindows10でVPN接続しようとしたらPR-500KIで断念
ココがダメ
さくらのクラウドでのVPCルータでのIPsec接続は使えません!
さくらインターネットのサポートに質問しましたが、サイト間VPNか、PPTP接続をお試しください。という回答だけです。
実際に、ホームページにも、下記のように書いてあります。
参考
リモートアクセス(L2TP/IPSec)におけるNAT配下のWindowsクライアントからの接続で、ある程度の通信時間・通信量が発生すると切断され、VPCルータの再起動による復旧が必要となってしまう場合があります。
つまり、使ってもいいけど、障害がでるよ!って言っているようなものです。
今回の件で、気持ちは半分、ALTUS by GMOに傾いていました。今回のPPTP接続がうまく行かなかったらリプレースしていたかもしれません。
※リプレース前に、無料期間で検証してからと考えておりました。
PR-500KIでIPV6プラスのネット環境では検証できない
IPV6プラスの環境にした段階で、PR-500KIのコントロールパネルからは、PPPoE接続設定は必要なくなりIP4関係の設定がよくわからなくなります。
http://192.168.1.1:8888/t
という感じでアクセスすれば、IP4のポート開放などができるようですが、PPTP接続するためのポート開放ができませんでした。
ココに注意
PPTP接続に必要なポート1723が利用可能ポートにない!
PR-500KIの下流に別ルータを設置
PR-500KIのLANポートに、YAMAHAのRTX810というVPNルータを設置して、サイト間VPN接続の実験をしていたルータがあったのですが、今回のPPTP接続実験に、サイト間VPNの設定などを解除して、普通のルータとして実験をしてみました。
さくらのクラウドVPCルータとヤマハRTX810でサイト間VPN接続に成功
PPTP接続成功までのステップ
VPCルータにてPPTPサーバの設定
既に、IPsec接続時に、「アカウント管理」でユーザー名とパスワードは設定してありましたので、説明は省きます。
次に、PPTPサーバーの設定にて「有効」にして割り当てるIPの範囲を設定します。
※DHCPサーバは使っていませんので、固定でIPを設定する方法でやっています。
「更新」を押して設定を登録したら必ず、「反映」をしてください。
反映をしてないと、トップイメージにあるような接続エラーがでます。
Windows10のVPN接続設定
上の画像のような設定にしました。
ネットワークのプロトコルでバージョン6(TCP/IPv6)はチェックを外しておきまいた。
【重要】ルータのポート開放
ルータに下記の
ココがポイント
ポートの開放ができなければ、PPTP接続はできません。
参考
プロトコル(ポート) GRE(47) TCP(1723)
PPP認証プロトコル MS-CHAPv2
PPP認証方法 ユーザ名, パスワード
GREって何?
GREはTCPまたはUDP上で使用するプロトコルではないのでポート番号はありません。
GREを透過するためには、IPパケット中のプロトコル番号47を通過させるように設定する。
市販のルータではこの設定は直接出来ない機種がほとんどらしいのですが、さすがにYAMAHAのRTX810はGREというプロトコルで設定できましした。
※自分の知識が足りずに、ポートに47といれてありますが、これでも透過できていますが、*にしておいた方が良いのかもしれません。
関連
市販のルータの場合は、PPTPパススルーなどと呼ばれる機能が有り、これをONにするとGREが通過するようになる仕様になっているらしいです。
TCP1723ポート開放も忘れずに行えば全ての設定は終了です。
あとは接続するだけです。
自分の場合は直ぐに接続できて、IPsec接続のように勝手に切れることもなく使う事ができました。
まとめ
IPsecにて接続が切れなければそれが一番よかったのですが、サーバのリプレースも大変なので、PPTP接続にてリモートアクセスができるようになった。
しかし、セキュリティ面から言えば、IPsecの方が優れているようです。
また、PPTP接続の場合は、ルータ機能として、GREの透過(PPTPパススルー機能など)が必要であり、TCPポート1723が解放できることも重要になります。
ちなみに、参考程度に掲載しておきますが、パソコンにウイルスセキュリティが入っておりますが、そのファイヤーウォールの設定は特に変更しておりませんがVPN接続には問題ありませんでした。