VPN関連のお話なので、こっちにまとめておこうっと。
仕事上で、アプリケーションのテストをするのに海外のサーバにアクセスする必要があり、データ漏洩を防ぐ等の観点からセキュアな接続じゃないとまずいと思って海外拠点へのVPNを用意してもらった。
ところが、自宅から接続不可、日本拠点からも接続不可という事態が発生、原因不明のまま。これだけ見れば先方のセッティングが悪いだろって話になるのだろうけど、話はそう単純じゃなかった。客先に引き込んであるFTTH公衆網やE-MOBILE等のモバイル回線からは接続可能だったのだ。お互いのネットワークのセッティングがわからないし、どこかでパケットロストが起きているんだろうか、ルートがいかれてるんだろうかとか、想像を巡らしながらパケットキャプチャを仕掛けてみるも収穫がなく、突っ込んだ話ができないまま、1ヶ月以上が経ってしまった。
その間、どうしてもアクセスしなきゃいけない用事がなかったので、問題がなかったと言えばそれまで。まあ、それはいいとして。。。
この週末、ちょいとアクセスしなきゃいけない事態が訪れてしまい、本格的な調査に乗り出すことに。ポイントは二つ。
1) 海外拠点向けのVPNに公衆網からはアクセス可能。
2) 日本拠点向けのVPNには、自宅から接続可能。
こうなると、もうわけがわからない。
そもそもまず、接続ツールの種類からして、対向のVPNゲートウェイはcisco製に違いない。次なる仮説として、もし自宅のF/Wの設定が悪いのであれば、(やはりcisco製である)日本拠点向けのVPNだって繋がらないはず。ところが、実際は問題なく繋がっている。そして、海外拠点向けのVPNだって、接続ツール上では問題なく繋がっている(トンネルが張られている)ように見えるのだけど、実際に内部のサーバにアクセスしようとするとタイムアウトを起こしてしまうという状態。海外向けのVPNアクセスはNGとキャリア側が制限を付けてるんじゃないよなー、まさかというところまで発想が至った後、もう一度、原点に立ち戻ってみた。
まずは対向のVPNゲートウェイ、および、その内側のサーバからのアクセスを全部許可(IPアドレス指定でのF/W通過)にしてみた。あれれ、アクセスできたぞ!? ということは、うちの機械の問題ってこと? マジっすか!
たしかに、公衆網からアクセスできている時点で、F/W設定の設定に違いがあるだろうとは思っていた。一方で、日本の拠点には何の設定もなく繋がっていたため、うちの機械の問題じゃないとも信じていた。でも、一応、調べてみるかと重い腰を上げてみると、IPsecを使ったVPNアクセスをF/W内にいる端末から通すためには以下が必要らしい。
1) VPNゲートウェイ側でNATトラバーサルが設定されていること。
2) ESP、およびUDP 500番が通過できるように設定されていること。NATトラバーサル利用時は4500番。
以上が大きなポイント。
繰り返しになっちゃうけどさ、前者については、公衆網からアクセスする際にポータブルルーター経由でアクセスできた実績から、NAPTに関しては問題なかろうと推察してた。となると、後者。でもさ、日本の拠点にはアクセスできてるんだよ? つべこべ言わずにやってみよう。
ip filter 101 pass xxx.xxx.xxx.xxx 172.16.1.1 udp * 500
ip filter 102 pass xxx.xxx.xxx.xxx 172.16.1.1 udp * 4500
ip filter 103 pass xxx.xxx.xxx.xxx 172.16.1.1 esp * *
ip lan1 secure filter out ..... 101 102 103 .....
pp select 1
ip pp secure filter in ..... 101 102 103 .....
ちなみに、xxx.xxx.xxx.xxxが対向のVPNゲートウェイのIPアドレスで、172.16.1.1が自端末のIP。構文はYAMAHAルータのもの。これだけ打ち込んだら、見事に通った。
やっぱり、謎。日本の拠点にはどうしてアクセスできていたわけ? えーっと、あーっと、IPsecと一口に言っても、AHとかESPとか方式がいろいろあったっけ。そのせいかも。。。数年前ならこの辺はバッチリ覚えていたのだけど、今はそんな言葉があったっけってうろ覚え。ルータのコマンドの構文も綺麗さっぱり忘れてたし、こりゃ、数年前の自分より劣るってか。脳みその退化が心配だけど、今日のところはまずは繋がったところで満足としよう。
VPNが繋がっているように見えて、繋がってないことがあるとはいい教訓になった。




RSSで購読
ATOMで購読
最近のコメント