【SoftEther VPN】リモートアクセスVPN設定1

オープンソースのVPNソフトウェア「SoftEther VPN」の接続方式の一つである、リモートアクセスVPNについて、設定方法を紹介します。
これにより、外出先や自宅などからオフィス内のネットワークに接続できるようになります。

サーバー環境：Windows 11、SoftEther VPN Server 4.43
リモート環境：Windows 11、SoftEther VPN Client 4.43

ネットワーク構成整理、機器接続
サーバー用PC SoftEther Serverインストール
サーバー用PC LAN側ネットワーク設定変更
サーバー用PC SoftEther Server設定

ネットワーク構成整理、機器接続

この例では、以下のようなネットワーク構成で機器を接続します。
リモート環境はサーバー環境よりセキュリティを厳しくするのが一般的ですので、別ネットワークセグメントとし、SoftEther Serverの仮想レイヤ3スイッチの機能を使って、リモート環境セグメントからサーバ拠点セグメントへ接続できるようにします。
また、リモート環境のVPN側ネットワークはSoftEther ServerのDHCP機能でIPアドレスなどを割り当てます。

サーバー用PC SoftEther Serverインストール

*以前の記事のブリッジ接続の工程2と同じ手順なので、既読であれば飛ばしてください

WebブラウザーよりSoftEtherダウンロードセンターにアクセスし、インストールしたいコンポーネント(SoftEther VPN Server)とPC環境をリスト選択し、ダウンロード可能なファイルから最新のモジュールを選択します。

ダウンロードしたモジュールをダブルクリックして、セットアップウィザードを進めます。

[インストールするソフトウェアの選択]画面で[SoftEther VPN Server]を選択し、[次へ]を選択します。
[SoftEther VPN Server]を選択した場合は、ブリッジの機能も含まれます。
[使用許諾契約書]画面で内容を確認して同意にチェックを付け、[次へ]を選択します。

[重要事項説明書]画面の内容を確認し、[次へ]を選択します。
[インストール先ディレクトリ]画面は指定したいディレクトリがなければデフォルト設定で問題ありません。

図表2-4 サーバー用PC SoftEther導入(重要事項説明,ディレクトリ)

[インストール準備の完了]画面で[次へ]を選択します。
インストールが完了すると、[セットアップが完了しました]画面が表示されますので、[完了]を選択します。
なお、デスクトップに[SoftEther VPNサーバー管理]アイコンも追加されます。

[SoftEther VPN Server Manager]画面が起動したら、[接続]を選択します。
[localhostへのログイン]画面が表示された場合、パスワードは入力せず[OK]を選択します。
[localhost管理パスワードの設定]画面でSoftEtherアプリの管理者パスワードを設定します。このパスワードは失念しないよう管理しましょう。

サーバー用PC LAN側ネットワーク設定変更

*以前の記事のブリッジ接続の工程3と同じ手順なので、既読であれば飛ばしてください

サーバー側PCで[コントロールパネル]を起動し、右上の[表示方法]が[小さいアイコン]か[大きいアイコン]になっていることを確認し、[ネットワークと共有センター]を選択します。
左メニューの[アダプターの設定の変更]を選択します。

この例では、WAN側(インターネット接続側)は無線LANを、LAN側(拠点内のローカルネットワーク側)は有線LANを使用します。
LAN側のネットワークを選択して右クリックし、[プロパティ]を選択します。

公式ドキュメント(3.6.3 ローカルブリッジ用の LAN カードの準備)によると、プロパティ画面の項目について、[SoftEther Lightweight Network Protocol]以外はチェックを外すことが推奨されています。
ただし、この例のように、固定IPアドレスを割り当てたい場合は、[TCP/IPv4]の設定もチェックを付け、IPアドレスとサブネットマスクを割り当てておきます。

サーバー用PC SoftEther Server設定

ここからサーバー用PCにインストールしたSoftEtherの設定を行います。
簡易セットアップ画面を使っても良いのですが、今回は手動で設定してみます。

*SecureNATの設定(図表4-11～14)とL3SWの設定(図表4-21～24)以外は、以前の記事のブリッジ接続の工程4と同じ手順なので、既読であれば飛ばしてください

簡易セットアップをスキップするため、右下の[閉じる]を選択します。

必須ではありませんが、セキュリティ向上のため、一部設定を変更します。

リスナー一覧にて、今回使用しないポート[TCP 992]と[TCP 1194]をそれぞれ選択し、[停止]ボタンを押し、[停止中]にします。
なお、デフォルトの使用ポートは[TCP 5555]ですが、SoftEther起動直後の画面の[接続設定の編集]から変更できます。
続けて、 [暗号化と通信関係の設定]を選択します。

[暗号化アルゴリズム]を[AES256-SHA]に変更し、[OK]を選択します。

セキュリティ向上のための設定変更は以上で、ここから仮想HUBを設定します。

画面上部に[DEFAULT]の仮想HUBが表示される場合、これをそのまま使用しても良いのですが、今回はこれを使用せず、新規作成してみます。[DEFAULT]の仮想HUBが表示される場合は[削除]を選択します。続けて、[仮想HUBの作成]を選択します。

[仮想HUB名]と[この仮想HUBの管理用パスワード](二箇所)を入力し、[OK]を選択します。
なお、ここで設定した[仮想HUB名]は、次の記事の工程6で使用するため、控えておきます。
仮想HUBを作成した旨のメッセージが表示されたら[OK]を選択します。

作成した仮想HUBを選択し、[仮想HUBの管理]を選択します。

[ユーザーの管理]を選択します。
[新規作成]を選択します。

[ユーザー名]と[パスワード](二箇所)を入力し、[OK]を選択します。
なお、ここで設定した[ユーザー名]と[パスワード]は、次の記事の工程6で使用するため、控えておきます。

*パスワードは類推されにくい複雑な値を設定します

ユーザーを作成した旨のメッセージが表示されたら[OK]を選択します。
[閉じる]を選択します。

[仮想NATおよび仮想DHCPサーバー機能]を選択します。

[SecureNATの設定]を選択します。

[仮想ホストのネットワークインターフェイス設定]で、リモート環境セグメントのインターフェースIPを設定します。[仮想DHCPサーバー機能を使用する]にチェックを付け、リモート環境セグメント内でDHCPサーバーが割り当てるIPアドレスの範囲、デフォルトゲートウェイやDNSサーバーのアドレスを指定します。[OK]を選択します。

[SecureNAT機能を有効にする]を選択します。
確認メッセージが表示されたら[OK]を選択します。

[SecureNAT機能を有効にする]が押せない状態になれば有効化されています。[閉じる]を選択します。

[閉じる]を選択します。

[ローカルブリッジの設定]を選択します。

[仮想HUB]は図表4-5で作成した仮想HUBを選択し、[LANカード]はLAN側の有線LANカードを選択し[ローカルブリッジを追加]を選択します。
なお、無線LANは基本的に指定不可です。対処方法は公式ドキュメント(3.6.6 プロミスキャスモードに対応していない LAN カードの使用)をご参照ください。