3.3 VPN Server 管理

SoftEther VPN Server 全体の管理権限

「VPN Server 全体の管理権限」は、VPN Server のサーバーコンピュータを管理する担当者が持っておくべき権限です。この権限があれば、VPN Server 内のすべての項目の設定を変更したり、新しい仮想 HUB を作成したり、既存の仮想 HUB を管理したり、また既存のすべての仮想 HUB やその中のオブジェクトを削除したりすることができます。したがって、VPN Server 全体の管理者権限は非常に重要であり、一般的なコンピュータにおける「root 権限 / Administrators 権限」と同等に、慎重に取り扱ってください。VPN Server をサーバーコンピュータにインストールする場合は、そのサーバーコンピュータのオペレーティングシステムの管理者権限を持っている管理担当者が VPN Server 全体の管理権限を持つのが最適です。

VPN Server 全体の管理権限は、パスワードによって保護されています。このパスワードは初期状態では「空」ですので、VPN Server をインストールした直後に変更されることをお勧めします (※現在のインストーラでは、インストール中にパスワードを設定する画面は表示されません)。「VPN サーバー管理マネージャ」で、VPN Server に接続した際に管理者パスワードが設定されていない場合は、パスワードを設定するように促すメッセージボックスが表示されますので、[はい] をクリックしてパスワードを直ちに設定してください。VPN Server に設定すべきパスワードは、一般的な Windows や UNIX サーバーにおける管理者パスワードと同等の安全性を持ったものにしてください。VPN Server の管理者パスワードはハッシュ化されて保存され、平文の形で復元することはできませんので安心してください。

VPN Server 全体のパスワードを変更するには、「VPN サーバー管理マネージャ」で [暗号化と通信関係の設定] をクリックし、次に [管理者パスワード] をクリックして、表示される入力ボックスに新しいパスワードを 2 回入力してください。「vpncmd」では、「ServerPasswordSet」コマンドによってパスワードを設定することが可能です。

VPN Server のパスワードの変更画面

仮想 HUB の管理権限

SoftEther VPN Server 全体の管理者は、複数個の仮想 HUB を VPN Server に作成することができます。また、新しい仮想 HUB を作成する際に、その仮想 HUB の管理パスワードを設定し、そのパスワードを仮想 HUB の管理を任せる担当者に渡すことにより、仮想 HUB 単位で管理権限を委譲することができます。仮想 HUB を作成する際に、仮想 HUB の管理パスワードを指定しなかった場合は、その仮想 HUB にリモートから仮想 HUB 管理モードで接続することはできませんのでご安心ください。「仮想 HUB」に関する詳細は、「3.4 仮想 HUB の機能」 および 「3.5 仮想 HUB のセキュリティ」 を参照してください。

コンフィグレーションファイルの役割

「コンフィグレーションファイル」は、VPN Server のプロセスの実行可能ファイルが設置されているディレクトリと同じディレクトリ上に「 vpn_server.config」というファイル名で生成されます。コンフィグレーションファイルは、VPN Server の設定変更を行ったり、内部の構成データが変化した場合は、必ず保存されます (ただし、ディスクアクセスの回数を軽減させるための書き込みキャッシュが働いているため、直ちに保存されない場合があります)。VPN Server が一度停止し、次に VPN Server を起動した場合は、起動時に vpn_server.config ファイルの内容を読み込み、その内容に基づいて VPN サーバーを終了前の状態に戻します。コンフィグレーションファイルがあることによって、VPN Server をいつシャットダウンしても、次に VPN Server が起動された際には、前の構成データを復元することができるようになっています。もし、VPN Server が起動する際に、コンフィグレーションファイルがディスク上に存在しない場合は、デフォルトの設定が適用されます。デフォルトの設定とは、下記のとおりです。

• "DEFAULT" という名前の仮想 HUB が作成されます。仮想 HUB 内のユーザーオブジェクト、グループオブジェクト、その他のオブジェクトは存在せず、また設定はすべてデフォルト状態 (仮想 HUB を新たに作成した状態) となっています。
• リスナーポートとして 443 番、992 番、5555 番の 3 つが登録されます。
• ローカルブリッジおよび仮想レイヤ 3 スイッチの定義は登録されません。
• サーバー証明書としては、乱数によって自動的に生成されます。
• インターネット接続の維持機能はデフォルト値が設定されます。

なお、SoftEther VPN Bridge の場合は、コンフィグレーションファイル名は「vpn_bridge.config」という名前になり、デフォルトで作成される仮想 HUB 名は "BRIDGE" になります。

コンフィグレーションファイルの保護

コンフィグレーションファイルの内部には、VPN Server や仮想 HUB が使用する構成データがすべて書き込まれています。この中には、暗号化されたパスワードや別の VPN Server へカスケードするための接続設定、証明書の秘密鍵などが含まれています。

したがって、コンピュータに複数のユーザーがローカルまたはリモートからログインすることができるような場合は、コンフィグレーションファイル自体を適切なセキュリティ機能によって保護してください。コンフィグレーションファイルは、VPN Server のシステム管理者以外のユーザーによって、改変されることはもちろん、参照 (読み取り) をされてもいけません。

• Windows 版 SoftEther VPN Server をインストールすると、コンフィグレーションファイルは自動的に Administrators グループのユーザーおよび SYSTEM (ローカルシステム権限) でのみ読み書きが可能に設定されます。
• Linux 版を含む UNIX 版の SoftEther VPN Server は、コンフィグレーションファイルを作成する際に、パーミッションを 700 (オーナーのみ読み書き可能) に設定します。
• 手動でファイルのパーミッションを変更したい場合は、オペレーティングシステムのファイルシステムの機能を使用してください。Windows ではエクスプローラのプロパティや「cacls」コマンドなどが利用可能です。UNIX では「chmod」コマンドが利用可能です。
• FAT や FAT32 などの、パーミッション概念がないファイルシステムの使用は避けてください。どうしてもこれらのファイルシステムを使用しなければならない場合は、サーバーコンピュータを物理的に触れられないような場所に設置する必要があります。また、ネットワークを経由しても管理者以外にはアクセスできないように設定する必要があります。

コンフィグレーションファイルの形式

「コンフィグレーションファイル (vpn_server.config)」は UTF-8 形式で保存されます。したがって、一般的なテキストエディタで内容を編集することが可能です。ただし、コンフィグレーションファイルの内容を、直接編集することは推奨されていません (VPN Server の設定変更は、「VPN サーバー管理マネージャ」または「vpncmd」コマンドによって行うことを推奨します)。

コンフィグレーションファイルを直接編集しなければならない場合は、下記のような場合のみです。

• すべての TCP/IP リスナーポートを削除してしまった場合。
• VPN Server 全体の「管理者パスワード」を忘れてしまい、パスワードをリセットしたい場合。
• ごく一部の特殊な設定を行うために、コンフィグレーションファイルを直接編集する場合 。
• 管理上の理由で、別のソフトウェアを用いてコンフィグレーションファイルを自動処理したい場合。

デフォルトでは、コンフィグレーションファイルはテキスト形式で保存されます。しかし、大量の仮想 HUB やユーザーを登録するなどの処理を行うと、設定データの量が膨大となります。大量の設定データを書き出す処理を行うには、文字列処理という CPU 時間を消費する処理が必要になりますので、設定データが大きくなるとパフォーマンスが低下します。

このような場合は、コンフィグレーションファイルの書き出し形式をバイナリファイルに変更することができます。バイナリファイルは、CPU が直接扱うことのできるファイル形式であり、高速処理が可能です。コンフィグレーションファイルのサイズが数十 Mbytes 程度を超える場合は、コンフィグレーションファイルをバイナリファイルとして扱ったほうが効率的です。ただし、バイナリ化した場合は、 コンフィグレーションファイルを直接テキストエディタで編集することは困難になります。

コンフィグレーションファイルをバイナリ形式で保存するには、「save_binary 」というファイル名の、「内容が空のファイル」を、コンフィグレーションファイルと同じディレクトリに作成してください。このファイルが存在する場合は、次回 VPN Server がコンフィグレーションファイルに書き込む際に、自動的にファイルをバイナリ形式で保存します。また、「save_binary」ファイルが削除された場合は、次回 VPN Server がコンフィグレーションファイルに書き込む際に、自動的にファイルをテキスト形式に戻します。

コンフィグレーションファイルの例

VPN Server の「コンフィグレーションファイル」の実際例は、下記のようなものになります。このように "root" という木構造の頂点から順番に木構造的なデータをテキスト形式で管理しています。

# Software Configuration File
#
# You can edit this file when the program is not working.
#
declare root
{
 uint ConfigRevision 1
 bool IPsecMessageDisplayed false
 bool VgsMessageDisplayed false

 declare DDnsClient
 {
  bool Disabled false
  byte Key ki/0ARfOguxYuFAwum5NkqtTNiI=
  string LocalHostname PC26
  string ProxyHostName $
  uint ProxyPort 0
  uint ProxyType 0
  string ProxyUsername $
 }
 declare IPsec
 {
  bool EtherIP_IPsec false
  string IPsec_Secret vpn
  string L2TP_DefaultHub DEFAULT
  bool L2TP_IPsec false
  bool L2TP_Raw false

  declare EtherIP_IDSettingsList
  {
  }
 }
 declare ListenerList
 {
  declare Listener0
  {
   bool DisableDos false
   bool Enabled true
   uint Port 443
  }
  declare Listener1
  {
   bool DisableDos false
   bool Enabled true
   uint Port 992
  }
  declare Listener2
  {
   bool DisableDos false
   bool Enabled true
   uint Port 1194
  }
  declare Listener3
  {
   bool DisableDos false
   bool Enabled true
   uint Port 8888
  }
 }
 declare LocalBridgeList
 {
  bool EnableSoftEtherKernelModeDriver true
  bool ShowAllInterfaces false
 }
 declare ServerConfiguration
 {
  uint64 AutoDeleteCheckDiskFreeSpaceMin 8589934592
  uint AutoSaveConfigSpan 300
  bool BackupConfigOnlyWhenModified true
  string CipherName RC4-MD5
  uint CurrentBuild 8996
  bool DisableDeadLockCheck false
  bool DisableDosProction false
  bool DisableIntelAesAcceleration false
  bool DisableIPv6Listener false
  bool DisableNatTraversal false
  bool DisableOpenVPNServer false
  bool DisableSSTPServer false
  bool DontBackupConfig false
  bool EnableVpnAzure false
  bool EnableVpnOverDns false
  bool EnableVpnOverIcmp false
  byte HashedPassword +WzqGYrR3VYXrAhKPZLGEHcIwO8=
  string KeepConnectHost keepalive.se2.softether.com
  uint KeepConnectInterval 50
  uint KeepConnectPort 80
  uint KeepConnectProtocol 1
  uint MaxConnectionsPerIP 256
  uint MaxUnestablishedConnections 1000
  bool NoDebugDump false
  bool NoHighPriorityProcess false
  bool NoSendSignature false
  string OpenVPN_UdpPortList 1194
  bool SaveDebugLog false
  byte ServerCert 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
  byte ServerKey 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
  uint ServerType 0
  bool UseKeepConnect true
  bool UseWebTimePage false
  bool UseWebUI false

  declare ServerTraffic
  {
   declare RecvTraffic
   {
    uint64 BroadcastBytes 0
    uint64 BroadcastCount 0
    uint64 UnicastBytes 0
    uint64 UnicastCount 0
   }
   declare SendTraffic
   {
    uint64 BroadcastBytes 0
    uint64 BroadcastCount 0
    uint64 UnicastBytes 0
    uint64 UnicastCount 0
   }
  }
  declare SyslogSettings
  {
   string HostName $
   uint Port 0
   uint SaveType 0
  }
 }
 declare VirtualHUB
 {
  declare DEFAULT
  {
   uint64 CreatedTime 1362175953422
   byte HashedPassword +WzqGYrR3VYXrAhKPZLGEHcIwO8=
   uint64 LastCommTime 1362175953408
   uint64 LastLoginTime 1362175953408
   uint NumLogin 0
   bool Online true
   uint RadiusRetryInterval 0
   uint RadiusServerPort 1812
   string RadiusSuffixFilter $
   byte SecurePassword bpw3X/O5E8a6G6ccnl4uXmDtkwI=
   uint Type 0

   declare AccessList
   {
   }
   declare AdminOption
   {
    uint allow_hub_admin_change_option 0
    uint deny_bridge 0
    uint deny_change_user_password 0
    uint deny_empty_password 0
    uint deny_hub_admin_change_ext_option 0
    uint deny_qos 0
    uint deny_routing 0
    uint max_accesslists 0
    uint max_bitrates_download 0
    uint max_bitrates_upload 0
    uint max_groups 0
    uint max_multilogins_per_user 0
    uint max_sessions 0
    uint max_sessions_bridge 0
    uint max_sessions_client 0
    uint max_sessions_client_bridge_apply 0
    uint max_users 0
    uint no_access_list_include_file 0
    uint no_cascade 0
    uint no_change_access_control_list 0
    uint no_change_access_list 0
    uint no_change_admin_password 0
    uint no_change_cert_list 0
    uint no_change_crl_list 0
    uint no_change_groups 0
    uint no_change_log_config 0
    uint no_change_log_switch_type 0
    uint no_change_msg 0
    uint no_change_users 0
    uint no_delay_jitter_packet_loss 0
    uint no_delete_iptable 0
    uint no_delete_mactable 0
    uint no_disconnect_session 0
    uint no_enum_session 0
    uint no_offline 0
    uint no_online 0
    uint no_query_session 0
    uint no_read_log_file 0
    uint no_securenat 0
    uint no_securenat_enabledhcp 0
    uint no_securenat_enablenat 0
   }
   declare CascadeList
   {
   }
   declare LogSetting
   {
    uint PacketLogSwitchType 4
    uint PACKET_LOG_ARP 0
    uint PACKET_LOG_DHCP 1
    uint PACKET_LOG_ETHERNET 0
    uint PACKET_LOG_ICMP 0
    uint PACKET_LOG_IP 0
    uint PACKET_LOG_TCP 0
    uint PACKET_LOG_TCP_CONN 1
    uint PACKET_LOG_UDP 0
    bool SavePacketLog true
    bool SaveSecurityLog true
    uint SecurityLogSwitchType 4
   }
   declare Message
   {
   }
   declare Option
   {
    uint AccessListIncludeFileCacheLifetime 30
    uint AdjustTcpMssValue 0
    bool ApplyIPv4AccessListOnArpPacket false
    uint BroadcastStormDetectionThreshold 0
    uint ClientMinimumRequiredBuild 0
    bool DisableAdjustTcpMss false
    bool DisableCheckMacOnLocalBridge false
    bool DisableCorrectIpOffloadChecksum false
    bool DisableHttpParsing false
    bool DisableIPParsing false
    bool DisableKernelModeSecureNAT false
    bool DisableUdpAcceleration false
    bool DisableUdpFilterForLocalBridgeNic false
    bool DisableUserModeSecureNAT false
    bool FilterBPDU false
    bool FilterIPv4 false
    bool FilterIPv6 false
    bool FilterNonIP false
    bool FilterOSPF false
    bool FilterPPPoE false
    bool ManageOnlyLocalUnicastIPv6 true
    bool ManageOnlyPrivateIP true
    uint MaxSession 0
    bool NoArpPolling false
    bool NoDhcpPacketLogOutsideHub true
    bool NoEnum false
    bool NoIpTable false
    bool NoIPv4PacketLog false
    bool NoIPv6AddrPolling false
    bool NoIPv6DefaultRouterInRAWhenIPv6 true
    bool NoIPv6PacketLog false
    bool NoLookBPDUBridgeId false
    bool NoMacAddressLog true
    bool NoManageVlanId false
    bool NoSpinLockForPacketDelay false
    bool RemoveDefGwOnDhcpForLocalhost true
    uint RequiredClientId 0
    uint SecureNAT_MaxDnsSessionsPerIp 0
    uint SecureNAT_MaxIcmpSessionsPerIp 0
    uint SecureNAT_MaxTcpSessionsPerIp 0
    uint SecureNAT_MaxTcpSynSentPerIp 0
    uint SecureNAT_MaxUdpSessionsPerIp 0
    string VlanTypeId 0x8100
    bool YieldAfterStorePacket false
   }
   declare SecureNAT
   {
    bool Disabled true
    bool SaveLog true

    declare VirtualDhcpServer
    {
     string DhcpDnsServerAddress 192.168.30.1
     string DhcpDnsServerAddress2 0.0.0.0
     string DhcpDomainName sec.softether.co.jp
     bool DhcpEnabled true
     uint DhcpExpireTimeSpan 7200
     string DhcpGatewayAddress 192.168.30.1
     string DhcpLeaseIPEnd 192.168.30.200
     string DhcpLeaseIPStart 192.168.30.10
     string DhcpSubnetMask 255.255.255.0
    }
    declare VirtualHost
    {
     string VirtualHostIp 192.168.30.1
     string VirtualHostIpSubnetMask 255.255.255.0
     string VirtualHostMacAddress 00-AC-21-11-37-CB
    }
    declare VirtualRouter
    {
     bool NatEnabled true
     uint NatMtu 1500
     uint NatTcpTimeout 1800
     uint NatUdpTimeout 60
    }
   }
   declare SecurityAccountDatabase
   {
    declare CertList
    {
    }
    declare CrlList
    {
    }
    declare GroupList
    {
    }
    declare IPAccessControlList
    {
    }
    declare UserList
    {
    }
   }
   declare Traffic
   {
    declare RecvTraffic
    {
     uint64 BroadcastBytes 0
     uint64 BroadcastCount 0
     uint64 UnicastBytes 0
     uint64 UnicastCount 0
    }
    declare SendTraffic
    {
     uint64 BroadcastBytes 0
     uint64 BroadcastCount 0
     uint64 UnicastBytes 0
     uint64 UnicastCount 0
    }
   }
  }
 }
 declare VirtualLayer3SwitchList
 {
 }
 declare VPNGate
 {
  string Abuse $
  bool IsEnabled false
  bool LogPermanent false
  string Message $
  bool NoLog false
  string Owner PC26.sec.softether.co.jp's$20owner
 }
}

コンフィグレーションファイルのデータ構造

コンフィグレーションファイルは、「declare」で囲まれた部分で新しいノードを定義し、その中にいくつかのデータ型およびノードを格納することができるようになっています。存在すべきノード名およびデータ一覧のスキーマは決められており、それに適合しないデータ構造は無視されます。また無視されたデータ構造は自動的にコンフィグレーションファイルから削除されるため、直接コンフィグレーションファイルを操作する場合は 1 文字タイプミスをした場合でも、コンフィグレーションファイルの内容が大きく損なわれてしまう可能性があります。したがって、どうしてもコンフィグレーションファイルを直接編集したい場合は、必ず事前にバックアップしておく必要があります。

コンフィグレーションファイル内のデータ型一覧は、次のとおりです。

なお、上記の表で「無制限」となっている部分は「アーキテクチャおよびメモリの限界を超えない範囲」という意味です。

コンフィグレーションファイルの置換

ある時点でのコンフィグレーションファイルの内容を手動でバックアップしておき、あとから復元したいような場合は、「vpn_server.config」ファイルを復元する際に、下記の手順で操作を行う必要があります。

1. 現在 VPN Server プログラムが動作している場合は、プログラムを完全に停止します。完全に停止するというのは、vpnserver プロセスを動作していない状態にするという意味です。
2. 「vpn_server.config」ファイルを置換します。
3. VPN Server プログラムを開始します。
4. 正しくコンフィグレーションが置換されているかどうかを確認します。

別のコンピュータへのコンフィグレーションファイルの移動

あるコンピュータの VPN Server で「コンフィグレーションファイル」が生成された場合、そのコンフィグレーションファイルの内容を、そのまま別のコンピュータにコピーすることで、コピー先のコンピュータの VPN Server でも同等の構成情報で起動させることが可能です。

• コピー元の VPN Server とコピー先の VPN Server が、別のオペレーティングシステムや CPU 用のものであっても、基本的には構成情報はそのままコピーされ、両者の間でコンフィグレーションファイルに関する互換性が保たれます。ただし、コピー元のシステムでしかサポートされていない機能は、コンフィグレーションファイルをコピーしたとしても、新しいシステムではサポートされません。
• コンフィグレーションファイルが「バイナリ形式」の場合でも、コンピュータ間の移動が可能です。バイナリ形式のコンフィグレーションファイルは、CPU の種類やオペレーティングシステムに依存しないように正しくエンディアン変換されているため、システムやマシンのアーキテクチャによって動作したり動作しなかったりすることは原則としてありません。

コンフィグレーションファイル内容のリモートからの参照および書き換え

コンフィグレーションファイルの内容 (vpn_server.config) は、通常では VPN Server が動作しているコンピュータにログオンして、テキストエディタで開いたり、またはファイル共有などで接続し、そのファイルを直接ダウンロードしたりアップロードしたりしなければ、取得または変更することはできません。

しかし、SoftEther VPN Server では、VPN Server 全体の管理者であればいつでもコンフィグレーションファイルをリモートから参照したり、変更したりすることができます。

「VPN サーバー管理マネージャ」の [Config の編集] をクリックすると、現在の VPN Server 上のコンフィグレーションファイル内容が表示されます。UTF-8 形式でファイルに保存することも可能です。また、同機能から管理者のクライアント端末側で用意したコンフィグレーションファイルをアップロードすることが可能です。コンフィグレーションファイルをアップロードして書き込んだ場合、VPN Server のサーバー機能が自動的に再起動して、新しいコンフィグレーションファイルの内容を読み込みます。手動での再起動や、VPN Server のプロセス自体の再起動は不要です。再起動とコンフィグレーションファイルの再読み込みが完了すると、VPN Server は新しいコンフィグレーションの内容に基づいて動作を開始します。

「vpncmd」では、「ConfigGet」コマンドおよび「ConfigSet」コマンドで、同様の操作が可能です。

コンフィグレーションバージョン番号について

VPN Server のコンフィグレーションファイルは、次のような場合に内容が自動的に書き換わります。

1. VPN Server または仮想 HUB の管理者が、「VPN サーバー管理マネージャ」または「vpncmd」を用いて操作を行った結果、VPN Server の構成データが変化した場合。たとえば、新しいユーザーが作成されたり、設定が変更された場合。
2. 「3.3 VPN Server 管理」 で解説するような、各ユーザーやグループ、仮想 HUB および VPN Server 単位での通信量などの統計データが更新された場合。

上記の 1 および 2 共に、コンフィグレーションファイルの内容が書き換わりますが、1 で更新されたデータは VPN Server の設定データの一部であり、本質的な意味を持つのに比べて、2 で更新されたデータは多くの場合は、それほど重要でありません。そこで、VPN Server では 1 のような設定内容の変更が行われた場合のみ、コンフィグレーションファイルの「バージョン情報」の値を 1 つずつインクリメント (増加) させることによって、コンフィグレーションファイルの設定がこれまでに何回変更されたのかがシステム管理者に分かるようになっています。

たとえば、外部のスクリプトを記述することにより、「コンフィグレーションファイルの設定が変更された場合 (1 のような場合) のみ」、コンフィグレーションファイルを自動的にバックアップし、2 のような「統計情報の更新のみ」の変更のような場合は、バックアップをあえて行わないようにするという管理方法を採用したい場合は、コンフィグレーションファイル内の「バージョン情報」を毎回チェックし、その値が前回のチェック時と比較して増加していれば、コンフィグレーションファイルのバックアップを行うといった処理をすると良いでしょう。

コンフィグレーションバージョン番号が書かれている場所

「コンフィグレーションバージョン番号」は、コンフィグレーションファイルの上のほうに、「ConfigRevision」という名前の「uint 型」で書かれています。

declare root
{
  uint ConfigRevision 120

  :
  :

上記の例では、コンフィグレーションファイルが最初に生成されてから「120 回」の設定変更が行われたことがわかります。なお、ConfigRevision の値は VPN Server が起動する度に必ず 1 ずつ増加する場合があります。

統計情報とは

VPN Server の管理する構成データは、VPN Server 全体の設定、仮想 HUB やユーザー・グループの設定などの設定項目の他に、それぞれのオブジェクトごとの「統計情報」が記録されています。統計情報とは、以下のようなデータを指します (記録の対象となるオブジェクトによって異なります)。

• 送信ユニキャストパケット数
• 送信ユニキャスト合計サイズ
• 送信ブロードキャストパケット数
• 送信ブロードキャスト合計サイズ
• 受信ユニキャストパケット数
• 受信ユニキャスト合計サイズ
• 受信ブロードキャストパケット数
• 受信ブロードキャスト合計サイズ
• 最終ログイン日時
• 最終通信日時
• ログイン回数

統計情報が管理されるオブジェクトは、以下のようになっています。

• VPN Server 全体
• 仮想 HUB
• ユーザーオブジェクト
• グループオブジェクト

上記の情報は、VPN Server によって自動的に統計処理され、コンフィグレーションファイルの一部として書き込まれます (前述のように、統計情報のみが変更されても、「ConfigRevision」の値は増加しません)。

VPN Server 全体の統計情報は、VPN Server 全体の管理者および仮想 HUB の管理者であれば読み取ることが可能です。仮想 HUB および仮想 HUB 内の個々のオブジェクトの統計情報は、その仮想 HUB の管理権限を持っている管理者 (VPN Server 全体の管理者を含む) でなければ読み取ることはできません。

これらの情報は基本的に「読み取り専用」であり、「VPN サーバー管理マネージャ」や「vpncmd」を用いて書き換えることはできません。ただし、コンフィグレーションファイルを、直接テキストエディタなどによって書き換えることは技術的に可能です。

統計情報の利用目的

統計情報は、VPN Server 全体や個々の仮想 HUB、ユーザーなどが、どれくらいの通信を行ったのか、何度 VPN サーバーに接続したか、最後に接続したり通信したりしたのはいつか、といったようなさまざまな情報を、システム管理者に対して提供します。

この情報により、下記のようなことが可能になります。

• 各仮想 HUB やユーザーが、どれくらいの頻度やデータ量で VPN Server を使用しているかどうかといった情報の取得と統計処理。
• 一定期間利用していないユーザーの削除・無効化などの管理作業。
• インターネットサービスプロバイダなどによる、仮想 HUB ホスティングサービスにおける接続回数や通信データ量などに応じた課金。
• 明らかにログイン回数が多いユーザーについて、そのユーザーのパスワードが盗まれて、第三者が勝手に侵入して使用しているのではないかと疑い始めること。
• 「vpncmd」を使用して統計情報の差分を自動的に取得することで、VPN Server の利用情報レポートを自動的に生成するプログラムの作成。
• 苦労して設置した VPN Server が多くのユーザーによって大量の通信に使用されていることを認識することによる「満足感」の生成。

リアルタイム統計データ

すべての統計データは、VPN Server によってリアルタイムで更新されています。つまり、「VPN サーバー管理マネージャ」や「vpncmd」から統計データを取得する要求が発生したら、その時点での最新の統計データが得られます。「VPN サーバー管理マネージャ」の GUI で、[最新の状態に更新] をマウスで連打すると、その対象となるオブジェクトが通信中であれば、刻々と値が更新される様子がよくわかります。

統計情報の取得

統計情報は、「VPN サーバー管理マネージャ」を用いて VPN Server、仮想 HUB、ユーザーオブジェクトおよびグループオブジェクトを選択して GUI 画面中に表示させることができます。また、コンフィグレーションファイルを取得してそれを機械処理することも簡単です。「vpncmd」で統計情報を取得するには、「ServerStatusGet」コマンド、「StatusGet」コマンド、「UserGet」コマンド、「GroupGet」コマンドを使用します。

仮想 HUB の統計情報画面

クラスタ構成時のクラスタ全体の統計情報の取得

複数台の VPN Server でクラスタを構成している場合は、クラスタ全体のリアルタイムの統計情報は、定期的にクラスタコントローラとなっている VPN Server に集約されます。したがって、クラスタ構成時にクラスタ全体の通信量を知りたい場合などは、クラスタコントローラに管理接続し各種統計情報を取得してください。クラスタ環境でも、各仮想 HUB やユーザーおよびグループごとの統計情報はすべて合計された値が表示されます。

SoftEther VPN Server が書き出すログファイルの内容

VPN Server は、動作中に下記のようなファイルを「vpnserver 実行可能ファイル」と同じディレクトリ、またはそのサブディレクトリに書き出します。

• VPN Server のログファイル
• 仮想 HUB ごとのセキュリティログおよびパケットログファイル
• コンフィグレーション履歴バックアップファイル

これらのログファイルや履歴ファイルは、VPN Server を長期間運用していると大量のディスクスペースを消費することになります。しかしながら、VPN Server のログや仮想 HUB のパケットログ、セキュリティログなどのデータは、後から不正アクセスやトラブルの原因の監査などに非常に重要であるため、VPN Server が生成したログファイルを無差別に削除する訳にはいきません。

このような場合、VPN Server の管理者は、自動的にログファイルを古いものから順に外部メディア (DVD-R やテープなど) にバックアップして保管し、ディスク上から削除するべきです。また、それらの処理を自動化することもできます。

空きディスク容量が不足することによるセキュリティ上の危険性

しかしながら、それらの処理を行わない場合や、バックアップおよび古いログデータの削除を忘れていたような場合では、ディスク容量が圧迫され最後には空き容量が 0 バイトになります。ディスクの空き容量が 0 バイトとなった場合は、VPN Server は新しいログデータをディスクに書き出すことができなくなります。この状態はセキュリティ的に大変危険です。なぜならば、攻撃者は VPN Server が新しいログデータをディスクに書き出すことができない状態であればどのような攻撃を行ってもログに残らず、後から攻撃があったことを VPN Server の管理者が知ることができないからです。

そこで、SoftEther VPN Server では、ログファイルや履歴ファイルが大量に保存された結果、ディスクの空き容量が圧迫され、事前に設定された容量を空き容量が下回った場合、VPN Server が書き出したあらゆるログファイルおよびコンフィグレーションファイルを、古い順に自動的に削除するような機能が組み込まれています。古くて重要度の低いログファイルを削除することにより、空き容量を常に一定以上確保し、新しいログファイルを書き出せるような状態をできる限り維持します。古いログファイルをバックアップして削除するという管理作業を行わない場合でも、自動的に古いログファイルから削除し、常に空き容量を一定以上保ち続ける機能が動作することで、メンテナンスフリーが実現されています。

最小空き容量の設定値

VPN Server では、デフォルトではログファイルが書かれるディスクドライブの空き容量が 100 Mbytes (正確には 104,857,600 Bytes) 以下になると、その空き容量を回復するまで、VPN Server が書き出したログファイルを古いものから順番に削除します。

この値は、コンフィグレーションファイル内の ServerConfiguration ノード内の AutoDeleteCheckDiskFreeSpaceMin 値を書き換えることによって、任意の値に変更できます。ただし、最小の値は 1 Mbytes (正確には 1,048,576 Bytes) であり、それを下回る値は設定できません。具体的には、下記の部分を変更します。

declare ServerConfiguration
{
	uint64 AutoDeleteCheckDiskFreeSpaceMin 104857600
	uint AutoSaveConfigSpan 300
	string CipherName RC4-MD5
	bool DisableDosProction false
	:
	:

• VPN Server は、ログファイルの保存場所のディスクの空き容量をオペレーティングシステムの API を呼び出すことによって取得します。
• Windows 2000 以降のオペレーティングシステムで、VPN Server を動作させているアカウントに対する「ディスククォータ」が設定されている場合は、ディスクの空き容量としてディスククォータの空き容量が使用されます。Linux およびその他の UNIX システムでは、ディスククォータの空き容量は使用されません。したがって UNIX 系システムでディスククォータが設定されている場合は、「ディスク容量不足時の自動調整機能」は正常に動作しない可能性が高いことに注意してください。

プログラムエラー発生時の障害回復

SoftEther VPN Server プログラムや VPN Server が依存する Windows や Linux などのオペレーティングシステムは、高い信頼性と安定性を実現するために慎重に設計し実装されたものであり、プログラム内に存在するエラー数は非常に少ないものになっています。しかしながら、ある程度以上の規模のどのようなプログラムにも、「絶対にエラーが存在しないことを証明することは不可能」であり、システム管理者としては常に、ソフトウェア内に深刻なエラーがあった場合のことについても考慮すべきです。また、仮にソフトウェアに問題がない場合でも、ハードウェアで不具合が発生することも考えられます。たとえばメモリモジュールにエラーがあったり、CPU が計算を間違えたりする可能性もないとは言い切れません。

このようなソフトウェアまたはハードウェアの不具合によって、多くの場合「メモリアクセス違反」、「不明な命令の呼び出し」および「不正な割り込みの発生」などの修復が困難または不可能なエラーが発生することがあります。

VPN Server は、これらのプログラムエラーが発生した場合は、直ちに VPN Server のプロセスを終了し、プロセス空間メモリを破棄します。その後、もう一度プロセスを再起動し、コンフィグレーションファイルの内容を再読み込みして動作を継続させようと試行します。これらの処理は通常は一瞬 (数ミリ秒から数秒) で行われるので、大抵の場合は VPN サービスの提供において大きな障害になることはありません。したがって、ユーザーメモリ空間上で「修復不能なエラー」が発生しても、VPN Server の管理者がそれに気付いて VPN Server プロセスを再起動したりする必要は通常はなく、自動的に VPN Server プログラムが障害回復を試行します。

なお、この機能は「Windows 版 SoftEther VPN Server」が、「サービスモード」で起動していない場合は動作しない場合があります。

ハードウェア障害発生時の構成データ保護と障害回復

VPN Server プログラムが、コンフィグレーションファイルに物理的にデータを書き込もうとした瞬間にハードウェア障害 (突然の停電など) が発生した場合は、コンフィグレーションファイルの物理的な内容が破損する可能性があります。そのような場合に備えて、VPN Server がコンフィグレーションファイルを書き出す際には、「常に 2 重の手続き」が行われています。

まず、現在のコンフィグレーションファイルの内容は、ディスク上に物理的に残しておき、次に新しいコンフィグレーションファイルの内容をディスクに対して書き出します。その後書き出し処理が完了すると、オペレーティングシステムの書き込みバッファをフラッシュさせ、データの書き込みが物理的なディスクに対してコミットされるまで待機します。物理的なコミットが完了した後に古いコンフィグレーションデータを削除します。これらの処理は、ユーザーによって一切意識されない場所で行われています。

次回システム起動時に、コンフィグレーションファイルが破損している可能性がある場合は、その破損したコンフィグレーションファイルを書き出す直前にログとして「バックアップした 1 つ手前のコンフィグレーションデータ」を用いて、コンフィグレーションの内容を復元しようと試みます。ほとんどの場合、それは成功してコンフィグレーションの内容が復活します。これらの処理は、次回システム復旧時に自動的に行われるため、システム管理者が手動で行う必要はありません。

なお、この自動障害回復機能が正常に動作しなかった場合は、VPN Server の管理者はコンフィグレーションファイルのバックアップディレクトリから、以前のコンフィグレーションファイルを手動でロールバックする必要があります。またオペレーティングシステムやファイルシステムの仕様によっては、この機能が動作しない場合もあります。

コンフィグレーションファイルの自動保存

VPN Server は、コンフィグレーションファイルを「自動保存」します (ただし、コンフィグレーションファイルの内容に、統計情報を含めた一切の情報の変更がない場合は、自動保存しない場合もあります)。これにより、VPN Server プロセスが突然正常にシャットダウンされずに異常終了した場合でも、前回の自動保存時の構成に必ず復元することができます。

自動保存の間隔は、デフォルトでは 300 秒です。自動保存の間隔はコンフィグレーションファイル内の「 ServerConfiguration」ノード内の「AutoSaveConfigSpan」の値を書き換えることによって変更することができます。具体的には下記の部分を変更します。

declare ServerConfiguration
{
	uint64 AutoDeleteCheckDiskFreeSpaceMin 104857600
	uint AutoSaveConfigSpan 300
	string CipherName RC4-MD5
	bool DisableDosProction false
	:
	:

DoS 攻撃からの自動防衛

VPN Server がネットワークに対して公開する TCP/IP ポート (リスナーポート) は、インターネットなどの公共 IP ネットワークに接続される場合は常にインターネット上のホストからの攻撃を受ける可能性があります。特に「DoS アタック」(サービス拒否攻撃) の一種である「SYN Flood」と呼ばれる、TCP/IP のポートに対して大量の接続要求を送信するという攻撃が最も危険です。

多くのオペレーティングシステムでは、SYN Flood 攻撃に対する防衛策が実装されています。また、ファイアウォールや IDP などによって SYN Flood 攻撃がネットワーク上で遮断される場合もあります。しかし、これらの仕組みが正しく動作しなかったり、設定の閾値が大き過ぎたりする場合は、VPN Server に対して TCP/IP の接続要求が到達してしまいます。

VPN Server が、大量に届いた TCP/IP 接続要求をすべて処理しようとすると、大量のシステムリソースが必要になります。そこで、VPN Server は同一の接続元を発信源とする SYN パケットが TCP/IP リスナーポートに届いた場合は、それを検出して接続を受け付ける処理を開始する前に、そのコネクションを直ちに破棄することができるようになっています。これが VPN Server が持つ「DoS 攻撃からの自動防衛機能」です。この機能はデフォルトで「有効」になっています。

この機能を「無効」にしたい場合は、コンフィグレーションファイルの「ServerConfiguration」ノード内の「DisableDosProction」値を「true」に書き換えることによって無効化することができます。具体的には下記のように設定します。

declare ServerConfiguration
{
	uint64 AutoDeleteCheckDiskFreeSpaceMin 104857600
	uint AutoSaveConfigSpan 30
	string CipherName RC4-MD5
	bool DisableDosProction true
	:
	:

サーバー状態の取得

「VPN サーバー管理マネージャ」の [サーバー状態の表示] をクリックすると、VPN Server の現在の動的な状態を取得することができます。「vpncmd」では「ServerStatusGet」コマンドを使用してください。

サーバー状態の表示画面

表示される項目は次のとおりです。

VPN Server に関する情報

「VPN サーバー管理マネージャ」の [SoftEther VPN Server に関する情報] をクリックすると、VPN Server に関する「静的な情報」を取得することができます。「vpncmd」では「ServerInfoGet」コマンドを使用してください。

VPN Server に関する静的な情報としては、「VPN Server のバージョン情報」や「製品名」、「オペレーティングシステムに関する情報」および「VPN Server において現在利用することができる機能の一覧と仕様の一覧」が表示されます。たとえば、最大同時接続数などの値も、ここで表示されます。

VPN Server に関する情報の表示画面

管理接続元の限定によるセキュリティの確保

SoftEther VPN Server の管理はリモート管理ツール (サーバー管理マネージャや vpncmd) からネットワーク経由で行うことができます。「3.3 VPN Server 管理」 で説明されているように、リモート管理の接続の種類としては、VPN Server 全体の管理モードと、仮想 HUB 単体の管理モードの 2 種類があります。

許可されていないユーザーが不正に VPN Server に接続して管理操作を行ってしまわないように、VPN Server 全体の管理モードに接続するためのパスワードと仮想 HUB 単体の管理モードに接続するためのパスワードの 2 種類により VPN Server は保護されています。しかし、パスワードのみで不正な管理接続を防御するだけでは不安な場合があります。そのような場合、管理接続元の IP アドレスを事前に指定したものに限定させることが可能です。

VPN Server がインストールされているディレクトリ (vpnserver 実行可能ファイルがあるディレクトリ) 上に adminip.txt という名前のテキストファイルを作成し、そのテキストファイル上に適切に記述を行うことによって、VPN Server 全体、またはそれぞれの仮想 HUB ごとに、サーバー管理マネージャや vpncmd からの接続を許可する IP アドレスを設定することができます。

adminip.txt ファイルの書き方

adminip.txt ファイルは 1 行に 1 個のルールを書きます。なお、行の最後が # または // で始まる場合はコメントとして扱われ、その行は無視されます。adminip.txt ファイルが存在する場合、デフォルトではすべての接続元 IP アドレスからの管理接続が拒否されます。adminip.txt ファイルには、管理接続を許可したい接続元 IP アドレスを 1 行に 1 個書いていきます。

仮想 HUB 管理モードにおける各仮想 HUB ごとの接続元 IP アドレスの指定

各行に IP アドレスを書き、IP アドレスの次にスペースまたはタブ文字で 1 文字以上を空け、その後にその IP アドレスからの管理接続を許可する仮想 HUB 名を書きます。

たとえば、仮想 HUB "HUB1" には 192.168.3.10 と 130.158.87.87 の 2 つの IP アドレスからの管理接続を許可し、仮想 HUB "HUB2" には 61.197.235.210 からの管理接続を許可したい場合は、下記のように記述します。

192.168.3.10	HUB1
130.158.87.87	HUB1
61.197.235.210	HUB2

IP アドレスの場所に * ( アスタリスク) を書くと、その行にはすべての接続元 IP アドレスが一致します。したがって、例えば下記のように記述すると、HUB3 に対する仮想 HUB 管理モードでの管理接続はすべての接続元 IP アドレスから許可されます。

192.168.3.10	HUB1
130.158.87.87	HUB1
61.197.235.210	HUB2
* 	        HUB3

VPN サーバー全体の管理モードにおける接続元 IP アドレスの指定

各行に IP アドレスのみを書いた場合は、その IP アドレスからの VPN サーバー全体およびすべての仮想 HUB に対する管理接続が許可されます。例えば下記のように記述すると、VPN サーバー全体を管理できるモードで管理接続することができる接続元 IP アドレスは 192.168.10.10 のみとなります。また、192.168.10.10 からはすべての仮想 HUB に対して管理接続できます。

192.168.10.10
192.168.3.10    HUB1
130.158.87.87   HUB1
61.197.235.210  HUB2
*               HUB3

adminip.txt ファイルのパーミッション

adminip.txt ファイルは適切なパーミッションで保存してください。例えば、VPN サーバーコンピュータに管理者以外の一般ユーザーもログインできるようになっている場合は、他のユーザーによって adminip.txt ファイルが書き換えられないように、十分注意する必要があります。