参照情報 › アプライアンス カタログ リファレンス ガイド › システム カタログ › ゲートウェイ › VPN2： 仮想プライベート ネットワーキング アプライアンス

VPN2： 仮想プライベート ネットワーキング アプライアンス

最新バージョン： 1.0.2-1

機能の概要

VPN2 は、IPv4 および IPv6 ネットワークで動作する仮想プライベート ネットワーキング アプライアンスで、グリッド間通信およびアプリケーションとアプライアンスへのリモート アクセス用の安全で信頼できるトンネルを提供するために設計されています。 また、VPN2 は VPN トンネルを使用せずに動作できます。その場合は、結合されたクリア テキスト IN/OUT ゲートウェイとして機能します。 VPN2 を使用して、IPv4 と IPv6 の CA AppLogic グリッドをシームレスに相互接続することもできます。 VPN2 は、OpenVPN、OpenSSH および Racoon オープン ソース ソフトウェア パッケージに基づいています。

VPN には server、client、both の 3 つの基本操作モードがあります。

• サーバとして動作する場合、in 端子経由で受信したトラフィックが、srv 端子から送信されます。 VPN2 でトンネルを使用する場合、in 端子上で確立されたトンネルからのトラフィックが、srv 端子から転送する前に復号化されます。 この操作モードでは、VPN2 は VPN トンネル サポート付きの IN ゲートウェイとして動作します。
• クライアントとして動作する場合、clt 端子経由で受信したトラフィックが、in 端子から転送されます。 VPN2 でトンネルを使用する場合、トラフィックは、in 端子上で確立されたトンネルから送信される前に暗号化されます。 この操作モードでは、VPN2 は VPN トンネル サポート付きの OUT ゲートウェイとして動作します。
• サーバおよびクライアントとして動作する場合は、上記のトラフィック フローの両方がサポートされ、結合した IN/OUT ゲートウェイとしての操作に対応します。

VPN2 は、IPSec、共有秘密ファイル、SSL 証明書、認証と暗号化用の ssh キー ファイルをサポートします。 通常の OpenVPN/OpenSSH クライアントをリモート ワークステーション上で使用して、VPN2 に接続できます。接続後は、CA AppLogic 上で実行されるアプリケーションの内部コンポーネントに対して安全なアクセスが提供されます。 VPN2 アプライアンスは、共有秘密ファイル、SSL 証明書、および ssh キーの生成をサポートします。

VPN2 を使用する安全な VPN トンネル経由で CA AppLogic アプリケーションにリモートでアクセスする場合、クライアントのマシン上で OpenVPN クライアント側ソフトウェアまたは OpenSSH (または互換性のある他のソフトウェア）を使用できます。

境界

リソース

端子

暗号化された（受信または送信）トラフィックには、in 端子が使用されます。この端子は、アプリケーション設定エディタの［インターフェース］タブで設定します。

プロパティ

一般プロパティ

VPN プロパティ

サーバのプロパティ

クライアント プロパティ

ボリューム

カスタム カウンタ

VPN2 アプライアンスは mon 端子を介して以下のカスタム カウンタをレポートします。

パフォーマンス

2 つのテスト アプリケーションが同じ CA AppLogic グリッド上に存在していました。 100mbit 帯域幅が、両方の VPN2 アプライアンス（クライアントとサーバ）、およびサーバとクライアントのアプライアンスに割り当てられました。 サイズが各 1 メガバイトの複数のオブジェクトを取得。60 秒間で 10 のオブジェクトを並行して取得しました。

エラー メッセージ

アプライアンスの起動に失敗した場合、以下の内容のエラーがシステム ログにログ記録される場合があります。

トンネルのタイプ

クリアテキスト

このモードは、複数の場所から VPN2 サーバへのアクセスを許可する「単一サーバと複数クライアント」のシナリオをサポートします。 このモードでは VPN トンネルが確立されず、データ ストアも必要ではありません（データ ボリュームと NAS アプライアンスのどちらも fs 端子に接続されていません）。 このモードは IPv4 と IPv6 で動作します。

サーバ VPN2 アプライアンスでは、in 端子上で受信したトラフィックが、tcp_ports、udp_ports、aux_protocols プロパティによってフィルタ処理され、srv 端子に転送されます。

クライアント VPN2 アプライアンスでは、clt 端子上で受信したすべてのトラフィックが、remote_host プロパティで指定されたリモート VPN2 サーバに転送されます。

サーバ側で設定する必要があるプロパティは、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols です。

クライアント側で設定する必要があるプロパティは、mode、tunnel、remote_host です。

IPv6 モードが使用されている場合、サーバ側のプロパティ remote_host はクライアントのアドレスで設定する必要があります。

証明書

このモードは、複数の場所から VPN2 サーバへのアクセスを許可する「単一サーバと複数クライアント」のシナリオをサポートします。 データ ストアが必要です（データ ボリュームか NAS アプライアンスのいずれかが fs 端子に接続されています）。 このモードは IPv4 と IPv6 の両方で動作します。

起動時に、必要な証明書およびキー ファイルが存在していない場合、サーバ アプライアンスがこれらのファイルを生成します。 これらのファイルは、/appliance/ ディレクトリ内で、security.sh スクリプトによって再生成することができます。 どの VPN2 クライアントも、設定する前にそのクライアント用の証明書を生成しておく必要があります。 ユーザは、実行されている VPN2 サーバ アプライアンスへログインし、以下のようにクライアント キー ペアを生成することができます。

grid> comp login VPN2-1:main.VPN2

CentOS release 6 (Final)

[VPN-1:main.VPN ~]# /appliance/security.sh generate_client

Generated client SSL cerfiticate and key file.

==============================================

These files, with CA certificate file, should be copied to VPN2 server into

/client/ subdirectory of data volume or fs-mounted volume.

Path to client files (client.829de5afcac564b3) should be specified in auth_path property.

Location of files:

client certificate: /mnt/fs/server/client.829de5afcac564b3.crt

client key file: /mnt/fs/server/client.829de5afcac564b3.key

CA certificate file located at /mnt/fs/server/ca.crt

クライアント証明書およびキーファイルは、データ ストアの /client/ サブディレクトリへのクライアント VPN2 アプライアンスにコピーする必要があります。また、auth_path を適切な値に設定する必要があります（この場合は client.829de5afcac564b3）。 VPN2 サーバ（/mnt/fs/server/ca.crt）からの CA 証明書は、クライアント アプライアンス上の /client/ サブディレクトリにコピーし、「ca.crt」と命名する必要があります。 すべてのクライアント VPN2 アプライアンスに、それぞれの証明書が必要です。

サーバ VPN2 アプライアンスでは、in 端子上で受信したトラフィックが復号化され、tcp_ports、udp_ports、aux_protocols プロパティによってフィルタ処理された後、srv 端子に転送されます。

クライアント VPN2 アプライアンスでは、clt 端子上で受信したすべてのトラフィックが暗号化され、remote_host プロパティで指定されたリモート VPN2 サーバに転送されます。

サーバ側で設定する必要があるプロパティは、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols です。

クライアント側で設定する必要があるプロパティは、mode、tunnel、remote_host、auth_path です。

共有秘密ファイル

このモードは、一度に 1 つのクライアントにだけ VPN2 サーバへのアクセスを許可する「単一サーバと単一クライアント」のシナリオのみをサポートします。 データ ストアが必要です（データ ボリュームか NAS アプライアンスのいずれかが fs 端子に接続されています）。 このモードは IPv4 と IPv6 の両方で動作します。

起動時に共有秘密ファイル /server/secret.key が存在していない場合、サーバ アプライアンスがこのファイルを生成します。 このファイルは、/appliance/ ディレクトリ内で、security.sh スクリプトによって再生成することができます。 どの VPN2 クライアントを設定する前にも、この共有秘密ファイルを /client/ サブディレクトリ内のデータ ストアにコピーする必要があります。 共有秘密ファイルを新規に生成するには、実行する VPN2 サーバ アプライアンスにログインし、以下のコマンドを発行します。

[VPN2-1:main.VPN2 server]# /appliance/security.sh generate_secret

Generated OpenVPN shared secrets file.

======================================

This file should be copied to VPN2 server into /server/ subdirectory of data volume or fs-mounted volume,

and to the VPN2 client into /client/ subdirectory of data volume or fs-mounted volume.

Path to it should be specified in auth_path property of the VPN2 client.

Location of file: /mnt/fs/server/secret.key

古い秘密ファイルがある場合、新規に生成された秘密ファイルが古いファイルを上書きします。 この共有秘密ファイル /mnt/fs/server/secret.key は、データ ストアの /client/ サブディレクトリ内のクライアント VPN2 アプライアンスにコピーする必要があります。また、auth_path プロパティに適切な値（この場合は secret.key）を設定します。 複数のクライアント VPN2 アプライアンスを設定できますが、接続できるのは常に 1 つのみです。

サーバ VPN2 アプライアンスでは、in 端子上で受信したトラフィックが復号化され、tcp_ports、udp_ports、aux_protocols プロパティによってフィルタ処理された後、srv 端子に転送されます。

クライアント VPN2 アプライアンスでは、clt 端子上で受信したすべてのトラフィックが暗号化され、remote_host プロパティで指定されたリモート VPN2 サーバに転送されます。

サーバ側で設定する必要があるプロパティは、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols です。

クライアント側で設定する必要があるプロパティは、mode、tunnel、remote_host、auth_path です。

SSH キー

このモードは、複数の場所から VPN2 サーバへのアクセスを許可する「単一サーバと複数クライアント」のシナリオをサポートします。 データ ストアが必要です（データ ボリュームか NAS アプライアンスのいずれかが fs 端子に接続されています）。 ssh トンネルを介してトンネルできるのは tcp トラフィックのみです。したがって、サーバ側では tcp_ports プロパティのみが使用されます。 ポート範囲はサポートしていません。転送するすべてのポートは、ssh_ports のクライアント側プロパティで明示的に指定する必要があります。 このモードは IPv4 と IPv6 の両方で動作します。

VPN2 サーバは、起動時にデフォルトの ssh キーペアを生成します。デフォルト キーが作成される場所は、サーバ キー（公開キー）が server/ssh-server.pub、クライアント キー（秘密キー）が server/ssh-client.key です。追加のキーは、security.sh スクリプトを使用して手動で生成できます。

[VPN2-1:main.VPN2 ~]# /appliance/security.sh generate_ssh

Generated SSH keypair.

======================

Public key should be copied to VPN2 server into /server/ subdirectory of data volume or fs-mounted volume.

Private key should be copied to VPN2 client into /client/ subdirectory of data volume or fs-mounted volume.

Path to key files should be specified in auth_path property on both VPN2 client and server.

Location of files:

Public key: /mnt/fs/server/ssh.11179ebbfa3f6852.pub

Private key: /mnt/fs/server/ssh.11179ebbfa3f6852.key

公開キーは VPN2 サーバの /server/ サブディレクトリにコピーし、秘密キーはクライアントの /client/ サブディレクトリにコピーします。 auth_path プロパティは、クライアントとサーバの両方で設定する必要があります。 auth_path がサーバ上で空の場合、デフォルトの SSH キーが使用されます。 

サーバ VPN2 アプライアンスでは、in 端子上で受信したトラフィックが復号化され、ssh_ports プロパティによってフィルタ処理された後、srv 端子に転送されます。 tcp ポート転送のみがサポートされています。 auth_path プロパティは、使用する SSH 公開キーを定義します。 アプライアンスがクライアント モードとサーバ モードの両方で動作しているとき、公開キーと秘密キーはどちらも同じ名前に命名し、/server/ および /client/ サブディレクトリに置く必要があります。 ssh_ports プロパティは同様に、サーバとクライアントの両方で設定する必要があります。

クライアント VPN2 アプライアンスでは、clt 端子上で受信したすべてのトラフィックが暗号化され、remote_host プロパティで指定されたリモート VPN2 サーバに転送されます。

サーバ側で設定する必要があるプロパティは、mode、tunnel、allowed_hosts、auth_path、tcp_ports です。

クライアント側で設定する必要があるプロパティは、mode、tunnel、remote_host、auth_path、ssh_ports です。

注： SSH サーバ - サーバ モードについて。 2 つの VPN2 アプライアンスを両方のモードで設定し、互いに接続することができます。 このモードを使用するには、特別な方法でアプライアンスを設定する必要があります。

VPN21 と VPN22 という名前の 2 つのアプライアンスがあると仮定します。

1. 2 セットの公開/秘密キー ファイル（/appliance/security.sh generate_ssh スクリプトを使用する 1.key/1.pub、2. key/2.pub） を作成します。
2. 両方のアプライアンス上の auth_path プロパティを ssh.key に設定します。
3. 2.pub を VPN21:/mnt/data/server/ssh.key（または NAS ドライブの /server/ サブディレクトリ内の ssh.key ファイル）にコピーします（公開キーが /server/ サブディレクトリに移動します）。
4. 2.key を VPN22:/mnt/data/client/ssh.key にコピーします（秘密キーが /client/ サブディレクトリに移動します）。
5. 1.pub を VPN22:/mnt/data/server/ssh.key にコピーします（公開キーが /server/ サブディレクトリに移動します）。6.
6. 1.key を VPN21:/mnt/data/client/ssh.key にコピーします（秘密キーが /client/ サブディレクトリに移動します）。

IPSec 証明書

このモードは、複数の場所から VPN2 サーバへのアクセスを許可する「単一サーバと複数クライアント」のシナリオをサポートします。 データ ストアが必要です（データ ボリュームか NAS アプライアンスのいずれかが fs 端子に接続されています）。 このモードは IPv4 のみで動作します。

起動時に、必要な証明書およびキー ファイルが存在していない場合、サーバ アプライアンスがこれらのファイルを生成します。 これらのファイルは、/appliance/ ディレクトリ内で、security.sh スクリプトによって再生成することができます。 どの VPN2 クライアントも、設定する前にそのクライアント用の証明書を生成しておく必要があります。 ユーザは、実行されている VPN2 サーバ アプライアンスへログインし、以下のようにクライアント キー ペアを生成することができます。

grid> comp login VPN2-1:main.VPN2

CentOS release 6 (Final)

[VPN2-1:main.VPN2 ~]# /appliance/security.sh generate_client

Generated client SSL cerfiticate and key file.

==============================================

These files, with CA certificate file, should be copied to VPN2 server into

/client/ subdirectory of data volume or fs-mounted volume.

Path to client files (client.829de5afcac564b3) should be specified in auth_path property.

Location of files:

client certificate: /mnt/fs/server/client.829de5afcac564b3.crt

client key file: /mnt/fs/server/client.829de5afcac564b3.key

CA certificate file located at /mnt/fs/server/ca.crt

クライアント証明書およびキーファイルは、データ ストアの /client/ サブディレクトリへのクライアント VPN2 アプライアンスにコピーする必要があります。また、auth_path を適切な値に設定する必要があります（この場合は client.829de5afcac564b3）。 VPN2 サーバ（/mnt/fs/server/ca.crt）からの CA 証明書は、クライアント アプライアンス上の /client/ サブディレクトリにコピーし、「ca.crt」と命名する必要があります。 すべてのクライアント VPN2 アプライアンスに、それぞれの証明書が必要です。

重要： VPN2 が both モードで使用される場合、例外が存在します。 この場合、クライアントとサーバのすべての証明書は、同じ VPN2 インスタンスによって生成し、他のインスタンスへの ca.crt 証明書と共に生成する必要があります。

サーバ VPN2 アプライアンスでは、in 端子上で受信したトラフィックが復号化され、tcp_ports、udp_ports、aux_protocols プロパティによってフィルタ処理された後、srv 端子に転送されます。

クライアント VPN2 アプライアンスでは、clt 端子上で受信したすべてのトラフィックが暗号化され、remote_host プロパティで指定されたリモート VPN2 サーバに転送されます。

サーバ側で設定する必要があるプロパティは、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols です。

クライアント側で設定する必要があるプロパティは、mode、tunnel、remote_host、auth_path です。