OpenVPN を利用して外出先の WiFi 等の安全ではないネットワークから安全な回線に接続できるようにします。
- サーバー
- LXD ゲスト
- CPU
- 2コア
- メモリー
- 4GB
- OS
- Ubuntu Server 24.04 LTS 64Bit
| apt パッケージ | バージョン |
|---|---|
| openvpn | 2.6.12-0ubuntu0.24.04.1 |
| easy-rsa | 3.1.7-2 |
パッケージをインストール
以下のコマンドで必要なパッケージをイストールします。
sudo apt install openvpn easy-rsaサーバーで使う証明書用の CA を作成
以下のコマンドで CA 用の鍵と証明書を作成します。
sudo make-cadir /etc/openvpn/easy-rsaeasy-rsa の設定ファイルを編集します。
sudo vim /etc/openvpn/easy-rsa/varsEASYRSA_KEY_SIZE の値をデフォルトの 2048 から 4096 に変更して鍵長を長くしておきます。
EASYRSA_CERT_EXPIRE の値をデフォルトの 825 から 3650 にして証明書の有効期限を長くしておきます。
ルートユーザーに変更して以下のコマンドで PKI を作成します。
sudo su -
cd /etc/openvpn/easy-rsa/
./easyrsa init-pki
./easyrsa build-caCA 用のキーのパスワードを入力を求められるので入力します。ここでのパスワード入力は秘密鍵が平文で表示されるのを防ぎます。
CA の名前の入力を求められますが Enter キーの入力でデフォルト値を設定します。
サーバー用の鍵と証明書を作成
引き続きルートユーザーで以下のコマンドを実行してサーバー用の鍵を作成します。
作成後に名前の入力を求められますが Enter キーでデフォルト値を設定します。
./easyrsa gen-req <SERVER_NAME> nopass以下のコマンドで Diffie Hellman パラメーターを作成します。OpenVPN サーバーに必要です。
./easyrsa gen-dh以下のコマンドでサーバー用の証明書を CA から発行します。発行時に CA の鍵のパスワードを入力します。
./easyrsa sign-req server <SERVER_NAME>作成した CA の証明書、サーバー用の鍵と証明書、DH パラメーターを /etc/openvpn/ にコピーします。
cp pki/dh.pem pki/ca.crt pki/issued/<SERVER_NAME>.crt pki/private/<SERVER_NAME>.key /etc/openvpn/クライアント用の証明書を作成
引き続きルートユーザーで以下のコマンドを実行してクライアント用の証明書を作成します。<CLIENT_NAME> 部分を変更して必要なユーザーの数だけ発行します。
./easyrsa gen-req <CLIENT_NAME> nopass
./easyrsa sign-req client <CLIENT_NAME>クライアント用の証明書の発行が終わったらルートユーザーから一般ユーザーに戻ります。
サーバーを設定
サーバーの設定ファイルをテンプレートからコピーします。
sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf /etc/openvpn/server.conf追加のセキュリティ設定 tls-auth で使用するキーを作成します。
cd /etc/openvpn
sudo openvpn --genkey tls-auth ta.key/etc/openvpn/server.conf を編集してサーバーの設定を変更します。
sudo vim /etc/openvpn/server.conf以下の鍵と証明書のファイル名が実際に存在しているファイルと一致することを確認します。
ca ca.crt
cert <SERVER_NAME>.crt
key <SERVER_NAME>.key
dh dh.pemセキュリティ向上のためポートを変更しておきます。
port 11940以下の行のコメントアウトを解除します。
;tls-auth ta.key 0VPN 用のサブネットを変更したい場合は以下を変更します。
server 10.8.0.0 255.255.255.0以下の行のコメントアウトを解除してクライアントが VPN 経由でインターネットへアクセスするようにします。
;push "redirect-gateway def1 bypass-dhcp"VPN 接続で使用する DNS サーバーの IP を指定します。
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"以下の行を編集して弱い暗号方式が使用されないようにします。
data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305以下の行を追加して弱い暗号方式が使用されないようにします。
auth SHA256
tls-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256IP パケットがフラグメント化されると途中のネットワーク機器でパケットが破棄されて接続できないサーバーが出てきます。以下の設定を追加してパケットサイズを小さくします。
# To avoid IP packet fragment error. Client config must have the same setting
tun-mtu 1500
# Client config should have the below related to packet fragmentation issue
# mssfix 1400ネットワークの設定
/etc/sysctl.conf を編集して以下の行のコメントアウトを解除します。
sudo vim /etc/sysctl.conf#net.ipv4.ip_forward=1sysctl を再読み込みします。
sudo sysctl -p /etc/sysctl.confsudo sysctl -p /etc/sysctl.conf以下のコマンドでファイアウォールの設定を変更して OpenVPN 用のポートを開放します。
sudo ufw allow 11940/udpOpenVPN のサブネットから外部ネットワークへのルーティングをするために NAT を設定します。/etc/ufw/before.rules を編集して以下 “*filter” の直前、設定ファイルの上部に追加します。サブネットとネットワークインターフェースは環境に合わせて変更します。
# START OPENVPN RULES
*nat
:POSTROUTING ACCEPT [0:0]
# Allow traffic from OpenVPN client network to be NAT'd
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
COMMIT
# END OPENVPN RULES/etc/default/ufw 内の DEFAULT_FORWARD_POLICY を “ACCEPT” に設定してパケットの転送を許可します。
DEFAULT_FORWARD_POLICY="ACCEPT"UFW を再起動します。
sudo ufw disable
sudo ufw enableサーバーを起動
OpenVPN サーバーを起動します。設定を変更した後は restart をします。
sudo systemctl start openvpn@server以下のコマンドでログを確認できます。”Initialization Sequence Completed” が表示されていれば正常に起動しています。
sudo journalctl -u openvpn@server -xe/etc/default/openvpn を変更して OpenVPN サーバーを自動で起動するようにします。
sudo vim /etc/default/openvpn以下の行のコメントアウトを解除してすべてのサーバー設定を自動起動するようにします。個別に設定ファイル名を指定することもできます。
AUTOSTART="all"設定を反映させるために systemd を再読み込みします。
sudo systemctl daemon-reload以下のコマンドで OpenVPN が作成した tun0 インターフェースを確認します。
ip addr show dev tun0クライアント設定ファイルを作成
以下の内容のシェルスクリプトを generate-client-configs.sh として作成し実行権限を与えます。OUTPUT_DIR 等必要があれば変更します。
#!/bin/bash
# This script generates inline OpenVPN client configuration files
# for the given client names. It assumes that the client certificate
# and key are stored in separate directories.
#
# Usage:
# ./generate-client-configs.sh client1 client2
# Common files (adjust paths as needed)
CA_FILE="/etc/openvpn/easy-rsa/pki/ca.crt"
TA_FILE="/etc/openvpn/ta.key"
# Directories where client certificates and keys are stored
CERT_DIR="/etc/openvpn/easy-rsa/pki/issued"
KEY_DIR="/etc/openvpn/easy-rsa/pki/private"
# Directory where the output configuration files will be stored
OUTPUT_DIR="./openvpn-client-configs"
# Prefix of client config file name
OUTPUT_FILE_PREFIX="my-openvpn-"
# Server information
SERVER_ADDRESS="example.com"
PORT=11940
# Base configuration template
BASE_CONFIG=$(cat <<EOF
client
dev tun
proto udp
remote ${SERVER_ADDRESS} ${PORT}
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
tun-mtu 1500 # To avoid packet fragmentation. Server config must have the same setting
mssfix 1400 # To avoid packet fragmentation
data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305
auth SHA256
tls-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
verb 3
EOF
)
# Function to embed file content in inline tags
embed_file() {
local tag="$1"
local file="$2"
echo "<${tag}>"
cat "${file}"
echo "</${tag}>"
echo ""
}
# Check if at least one client name is provided
if [ "$#" -eq 0 ]; then
echo "Usage: $0 client_name1 [client_name2 ...]"
exit 1
fi
# Create the output directory if it doesn't exist
mkdir -p "${OUTPUT_DIR}"
# Generate configuration file for each client provided as argument
for client in "$@"; do
CLIENT_CERT="${CERT_DIR}/${client}.crt"
CLIENT_KEY="${KEY_DIR}/${client}.key"
# Check if all required files exist
for file in "$CA_FILE" "$CLIENT_CERT" "$CLIENT_KEY" "$TA_FILE"; do
if [ ! -f "$file" ]; then
echo "Error: Required file '$file' not found for client '${client}'." >&2
continue 2
fi
done
OUTPUT_FILE="${OUTPUT_DIR}/${OUTPUT_FILE_PREFIX}${client}.ovpn"
# Write the base configuration to the output file
echo "${BASE_CONFIG}" > "${OUTPUT_FILE}"
echo "" >> "${OUTPUT_FILE}"
# Embed certificate and key files inline
{
embed_file "ca" "${CA_FILE}"
embed_file "cert" "${CLIENT_CERT}"
embed_file "key" "${CLIENT_KEY}"
embed_file "tls-auth" "${TA_FILE}"
echo "key-direction 1"
} >> "${OUTPUT_FILE}"
echo "Client config file '${OUTPUT_FILE}' created successfully."
doneこのスクリプトにクライアント用の鍵と証明書を作成した時の <CLIENT_NAME> を引数にして実行します。
sudo ./generate-openvpn-client-configs.sh <CLIENT_NAME_1> <CLIENT_NAME_2> ...
OUTPUT_DIR にクライアント用の設定ファイルが出力されるのでクライアントデバイスへコピーし接続確認をします。この設定ファイルには鍵情報が埋め込まれているのに取り扱いには注意します。
