デフォルト名の「サーバー」を使用した場合、これはすでに正しく設定されています。.key終了したら、ファイルを保存して閉じます。特定のユースケースでサーバーのOpenVPN構成を変更する必要がある場合は、サーバーのネットワークにいくつかの変更を加えることができます。ステップ6-サーバーのネットワーク構成の調整OpenVPNがVPNを介してトラフィックを正しくルーティングできるように、サーバーのネットワーク構成にはいくつかの側面を調整する必要があります。これらの最初のものは_IPフォワーディング_です。これは、IPトラフィックのルーティング先を決定する方法です。これは、サーバーが提供するVPN機能に不可欠です。+`ファイルを変更して、サーバーのデフォルトのIP転送設定を調整します。net.ipv4.ip_forward`を設定するコメント行を探します。この設定のコメントを解除するには、行の先頭から「#」文字を削除します。/etc/sysctl.confnet.ipv4.ip_forward=1完了したら、ファイルを保存して閉じます。ファイルを読み取り、現在のセッションの値を調整するには、次のように入力します。9初期サーバーセットアップガイドに従った場合、UFWファイアウォールを設置する必要があります。ファイアウォールを使用して不要なトラフィックをブロックするかどうか(ほとんどの場合、これを行う必要があります)にかかわらず、このガイドでは、サーバーに着信するトラフィックの一部を操作するファイアウォールが必要です。マスカレードを有効にするには、ファイアウォールルールの一部を変更する必要があります。マスカレードは、オンザフライ動的ネットワークアドレス変換(NAT)を提供してクライアント接続を正しくルーティングするiptablesの概念です。ファイアウォール設定ファイルを開いてマスカレードルールを追加する前に、まずマシンのパブリックネットワークインターフェイスを見つける必要があります。これを行うには、次を入力します。defaultパブリックインターフェイスは、このコマンドの出力内で「dev」という語に続く文字列です。+`という名前のインターフェイスを示しています。`コマンドを使用して追加されます。`ファイルにリストされているルールは、従来のUFWルールが読み込まれる前に読み取られて配置されます。ファイルの上部に向かって、強調表示された行を下に追加します。`チェーンのデフォルトポリシーが設定され、VPNからのトラフィックがマスカレードされます。」行の「+」を、上記のコマンドで見つけたインターフェースに置き換えてください。.完了したら、ファイルを保存して閉じます。次に、デフォルトで転送されたパケットも許可するようUFWに指示する必要があります。ACCEPT`に変更します。ufwDEFAULT_FORWARD_POLICY=""完了したら、ファイルを保存して閉じます。次に、ファイアウォール自体を調整して、OpenVPNへのトラフィックを許可します。+`へのUDPトラフィックを開く必要があります。ポートやプロトコルを変更した場合は、ここで選択した値に置き換えてください。前提条件のチュートリアルに従ってSSHポートを追加するのを忘れた場合は、ここにも追加してください。OpenSSHこれらのルールを追加したら、UFWを無効にしてから再度有効にして再起動し、変更したすべてのファイルから変更を読み込みます。enableサーバーは、OpenVPNトラフィックを正しく処理するように構成されました。ステップ7-OpenVPNサービスの開始と有効化サーバーでOpenVPNサービスを開始する準備ができました。+」を使用して行われます。systemdユニットファイル名の後にインスタンス変数として構成ファイル名を指定して、OpenVPNサーバーを起動します。」と呼ばれるため、ユニットファイルの呼び出し時に「+」をユニットファイルの最後に追加します。protected]次のように入力して、サービスが正常に開始されたことを再確認します。protected]すべてがうまくいった場合、出力は次のようになります。+`インターフェースが使用可能であることを確認することもできます。tun0これにより、構成済みのインターフェースが出力されます。foreverサービスを開始した後、ブート時に自動的に開始されるように有効にします。protected]これで、OpenVPNサービスが稼働します。使用を開始する前に、まずクライアントマシンの構成ファイルを作成する必要があります。このチュートリアルでは、クライアント用の証明書/キーペアを作成する方法を既に説明しました。次のステップでは、クライアント構成ファイルを簡単に生成するインフラストラクチャを作成する方法を示します。手順8-クライアント構成インフラストラクチャの作成OpenVPNクライアント用の構成ファイルの作成は、すべてのクライアントが独自の構成を持たなければならず、それぞれがサーバーの構成ファイルで概説されている設定と整合する必要があるため、やや複雑になります。1つのクライアントでのみ使用できる単一の構成ファイルを作成するのではなく、このステップでは、構成ファイルをその場で生成するために使用できるクライアント構成インフラストラクチャを構築するプロセスの概要を説明します。最初に「ベース」構成ファイルを作成してから、必要に応じて一意のクライアント構成ファイル、証明書、およびキーを生成できるスクリプトを作成します。~/client-configs/base.confテキストエディターでこの新しいファイルを開きます。`ディレクティブを見つけます。これにより、クライアントはOpenVPNサーバーアドレス(OpenVPNサーバーのパブリックIPアドレス)をポイントします。OpenVPNサーバーがリッスンしているポートを変更することにした場合は、選択したポートに「+1194」も変更する必要があります。.プロトコルがサーバー構成で使用している値と一致していることを確認してください。group」ディレクティブのコメントを解除します。key`を設定するディレクティブを見つけます。ファイル自体に証明書とキーをすぐに追加するため、これらのディレクティブをコメント化します。+`設定をミラーリングします。+`ディレクティブを追加します。クライアントマシンでVPNが正しく機能するには、これを「1」に設定する必要があります。base.conf最後に、いくつかの*コメントアウト*行を追加します。`ファイルとともに出荷されるLinuxクライアントに対してのみ有効にする必要があります。+`ユーティリティを使用してLinuxクライアントのDNS情報を更新します。+`ファイルがある場合は、生成後にクライアントの構成ファイルからこれらの行のコメントを外します。完了したら、ファイルを保存して閉じます。+`ディレクトリに配置する簡単なスクリプトを作成します。~/client-configs/make_config.sh内部に、次のコンテンツを追加します。*ユーザーアカウントのものに変更してください。${OUTPUT_DIR}/${1}.ovpn完了したら、ファイルを保存して閉じます。次に進む前に、次のように入力して、このファイルを実行可能としてマークしてください。+`ファイルのコピーを作成し、クライアント用に作成したすべての証明書とキーファイルを収集し、それらの内容を抽出し、それらを基本構成ファイルのコピーに追加し、エクスポートしますこのすべてのコンテンツを新しいクライアント構成ファイルに追加します。クライアントの構成、証明書、およびキーファイルを個別に管理する必要はなく、必要な情報はすべて1か所に保存されます。この利点は、将来クライアントを追加する必要がある場合、このスクリプトを実行するだけで構成ファイルをすばやく作成し、すべての重要な情報がアクセスしやすい単一の場所に保存されるようにすることができることです。新しいクライアントを追加するときはいつでも、このスクリプトを実行してその構成ファイルを生成する前に、新しいクライアント用の新しいキーと証明書を生成する必要があることに注意してください。次のステップで、このスクリプトを使用した練習を行います。」という名前のクライアント証明書とキーを作成しました。+`という名前のファイルが作成されます。~/client-configs/filesOutputclient1.ovpnこのファイルを、クライアントとして使用する予定のデバイスに転送する必要があります。これはローカルコンピューターまたはモバイルデバイスである可能性があります。この転送を行うために使用される正確なアプリケーションは、デバイスのオペレーティングシステムと個人の好みによって異なりますが、信頼できる安全な方法は、バックエンドでSFTP(SSHファイル転送プロトコル)またはSCP(セキュアコピー)を使用することです。これにより、クライアントのVPN認証ファイルが暗号化された接続を介して転送されます。`+`サンプルを使用したSFTPコマンドの例を次に示します。~/サーバーからローカルコンピューターにファイルを安全に転送するためのいくつかのツールとチュートリアルを次に示します。[WinSCP]SFTPを使用してリモートサーバーでファイルを安全に転送する方法Filezillaを使用してファイルを安全に転送および管理する方法VPSでステップ10-クライアント構成のインストールこのセクションでは、Windows、macOS、Linux、iOS、およびAndroidにクライアントVPNプロファイルをインストールする方法について説明します。これらのクライアントの指示はどれも互いに依存していないため、お使いのデバイスに該当するものまで自由にスキップしてください。`ファイルを呼び出したものと同じ名前になります。+`であり、生成した最初のクライアントファイルと一致することを意味します。Windowsインストール中Windows用のOpenVPNクライアントアプリケーションをhttps://openvpn.net/index.php/open-source/downloads.html[OpenVPNのダウンロードページ]からダウンロードします。Windowsのバージョンに適したインストーラーバージョンを選択します。+`ファイルを次の場所にコピーします。Files\OpenVPN\configOpenVPNを起動すると、プロファイルが自動的に表示され、使用可能になります。管理アカウントであっても、使用するたびにOpenVPNを管理者として実行する必要があります。VPNを使用するたびに右クリックして[管理者として実行]を選択せず​​にこれを行うには、管理アカウントからこれを事前設定する必要があります。これは、標準ユーザーがOpenVPNを使用するために管理者のパスワードを入力する必要があることも意味します。標準ユーザーは、クライアントのOpenVPNアプリケーションに管理者権限がない限り、サーバーに適切に接続できないため、昇格した権限が必要です。OpenVPNアプリケーションを常に管理者として実行するように設定するには、ショートカットアイコンを右クリックして、[プロパティ]に移動します。[互換性]タブの下部にある[すべてのユーザーの設定を変更]ボタンをクリックします。新しいウィンドウで、[このプログラムを管理者として実行する]をオンにします。GUIを起動するたびに、Windowsはプログラムがコンピューターに変更を加えることを許可するかどうかを尋ねます。[はい]をクリックします。OpenVPNクライアントアプリケーションを起動すると、アプレットがシステムトレイに配置されるだけなので、必要に応じてVPNを接続および切断できます。実際にはVPN接続を確立しません。OpenVPNが起動したら、システムトレイアプレットに移動し、OpenVPNアプレットアイコンを右クリックして接続を開始します。これにより、コンテキストメニューが開きます。+`プロファイル)を選択し、[接続]を選択します。接続が確立されている間、ステータスウィンドウにログ出力が表示され、クライアントが接続されるとメッセージが表示されます。同じ方法でVPNから切断します。システムトレイアプレットに移動し、OpenVPNアプレットアイコンを右クリックして、クライアントプロファイルを選択し、*切断*をクリックします。マックOSインストール中Tunnelblickは、macOS用の無料のオープンソースOpenVPNクライアントです。Tunnelblickダウンロードページから最新のディスクイメージをダウンロードできます。+`ファイルをダブルクリックし、プロンプトに従ってインストールします。インストールプロセスの最後に向かって、Tunnelblickは構成ファイルがあるかどうかを尋ねます。簡単にするために、*いいえ*と答えて、Tunnelblickを終了させます。+」をダブルクリックします。Tunnelblickはクライアントプロファイルをインストールします。管理者権限が必要です。*フォルダーのTunnelblickをダブルクリックしてTunnelblickを起動します。Tunnelblickが起動すると、接続を制御するための画面右上のメニューバーにTunnelblickアイコンが表示されます。アイコンをクリックし、[接続]メニュー項目をクリックしてVPN接続を開始します。Linuxインストール中Linuxを使用している場合、ディストリビューションに応じて使用できるさまざまなツールがあります。デスクトップ環境またはウィンドウマネージャーには、接続ユーティリティも含まれている場合があります。一般的な接続方法は、OpenVPNソフトウェアを使用することです。UbuntuまたはDebianでは、次のように入力して、サーバーにインストールしたのと同じようにインストールできます。openvpnCentOSでは、EPELリポジトリを有効にしてから、次のように入力してインストールできます。+`スクリプトが含まれているかどうかを確認します。/etc/openvpnOutputupdate-resolv-conf次に、転送したOpenVPNクライアント構成ファイルを編集します。update-resolv-conf`ファイルが見つかった場合は、追加した3行のコメントを解除してDNS設定を調整します。nobody」に変更します。client1.ovpngroupファイルを保存して閉じます。.ovpnこれにより、VPNに接続されます。OpenVPNクライアントアプリケーション)を検索してインストールします。iOSクライアント構成をデバイスに転送するには、デバイスをコンピューターに直接接続します。iTunesで転送を完了するプロセスの概要をここに示します。[ファイル共有]セクションまで下にスクロールして、OpenVPNアプリをクリックします。*は、ファイルを共有するためのものです。+`ファイルをOpenVPNドキュメントウィンドウにドラッグします。[iPhoneにロードする準備ができているVPNプロファイルを示すiTunes]iPhoneでOpenVPNアプリを起動します。新しいプロファイルをインポートする準備ができたという通知を受け取ります。緑色のプラス記号をタップしてインポートします。iOSアプリ]接続中これで、OpenVPNを新しいプロファイルで使用する準備ができました。*の位置にスライドして、接続を開始します。同じボタンを*オフ*にスライドして切断します。Playストアを開きます。Connect]を検索してインストールします。AndroidデバイスをUSBでコンピューターに接続し、ファイルをコピーすることで、「+。+」プロファイルを転送できます。SDカードリーダーをお持ちの場合は、デバイスのSDカードを取り外してプロファイルをコピーし、Androidデバイスにカードを挿入し直すことができます。OpenVPNアプリを起動し、メニューをタップしてプロファイルをインポートします。+`を使用)、ファイルを選択します。アプリは、プロファイルがインポートされたことをメモします。接続するには、[接続]ボタンをタップするだけです。OpenVPNアプリケーションを信頼するかどうかを尋ねられます。*を選択して接続を開始します。VPNから切断するには、OpenVPNアプリに戻り、*切断*を選択します。Androidアプリ]ステップ11-VPN接続のテスト(オプション)すべてがインストールされたら、簡単なチェックですべてが正常に機能していることを確認します。[DNSLeakTest]にアクセスします。このサイトは、インターネットサービスプロバイダーによって割り当てられたIPアドレスと、世界中に表示されるIPアドレスを返します。*をクリックすると、使用しているDNSサーバーがわかります。OpenVPNクライアントをサーバーのVPNに接続し、ブラウザーを更新します。これで、完全に異なるIPアドレス(VPNサーバーのIPアドレス)が表示されるはずです。これが、世界に表示される方法です。*はDNS設定を確認し、VPNによってプッシュされたDNSリゾルバーを使用していることを確認します。ステップ12-クライアント証明書の取り消しOpenVPNサーバーへのさらなるアクセスを防ぐために、クライアント証明書を失効させる必要がある場合があります。RSAディレクトリに移動します。+`を入力して失効の確認を求められます。revocation:アクションを確認した後、CAはクライアントの証明書を完全に失効させます。OpenVPNサーバーには現在、クライアントの証明書が失効しているかどうかを確認する方法がなく、クライアントは引き続きVPNにアクセスできます。これを修正するには、CAマシンで証明書失効リスト(CRL)を作成します。+」というファイルが生成されます。このファイルをOpenVPNサーバーに安全に転送します。+`ディレクトリにコピーします。/etc/openvpn次に、OpenVPNサーバー構成ファイルを開きます。+`オプションを追加します。これは、接続が試行されるたびに作成した証明書失効リストをチェックするようOpenVPNサーバーに指示します。crl.pemファイルを保存して閉じます。最後に、OpenVPNを再起動して証明書失効を実装します。protected]クライアントは、古い資格情報を使用してサーバーに正常に接続できなくなります。追加のクライアントを取り消すには、次のプロセスに従います。+`ディレクトリにコピーして、古いリストを上書きします。OpenVPNサービスを再起動します。このプロセスを使用して、サーバーに対して以前に発行した証明書を取り消すことができます。結論これで、あなたの身元、場所、およびトラフィックをスヌーパーや検閲者から保護しながら、インターネットを安全に横断しています。この時点で証明書を発行する必要がなくなった場合、証明書を追加または取り消すまでCAマシンをオフにするか、インターネットから切断することをお勧めします。これは、攻撃者がVPNにアクセスするのを防ぐのに役立ちます。