3.4 仮想 HUB の機能

セッション一覧の表示

仮想 HUB に接続している VPN セッション、および内部的に生成されたセッションの一覧を表示することができます。「VPN サーバー管理マネージャ」では、[セッションの管理] ボタンをクリックするだけでセッションの一覧が表示されます。「vpncmd」コマンドでは、「 SessionList」コマンドを使用することによってセッション一覧を取得することが可能です。

なお、クラスタリングを使用している場合で、クラスタコントローラに対して接続を行った場合は、[セッション一覧] で表示されるセッションは、すべてのクラスタメンバサーバーのセッションを含んだものとなっています。

セッション管理画面

セッションを一覧表示した場合は、下記のような情報が表示されています。

アイコンによるセッションの種類の判別

セッション一覧表示におけるセッションの種類は、一般的に[ユーザー名] を見るか、またはセッション情報を取得することによって判別することができます。また、「VPN サーバー管理マネージャ」を使用している場合は、セッション名と共に表示される小さなアイコンの種類によって、そのセッションの種類を見分けることができます。

セッション一覧として表示されるアイコンの種類には下記の 7 種類があります。

アイコン	対応するセッションの種類
	通常の「一般的な VPN セッション」 (通常の VPN 接続を受けたことによって生成されたセッションであって、ブリッジ / ルータモードでもモニタリングモードでもないもの) であることを示します。.
	「ブリッジ / ルータモード」であることを示します。
	「モニタリングモード」であることを示します。
	「ローカルブリッジセッション」であることを示します。
	「カスケード接続セッション」であることを示します。
	「SecureNAT セッション」であることを示します。
	「仮想レイヤ 3 スイッチセッション」であることを示します。

セッションの詳細データの取得

「VPN サーバー管理マネージャ」では、セッションリストから「セッション名」をダブルクリックして、そのセッションに関する情報を表示することができます。「vpncmd」では「SessionGet」コマンドで同等の情報を取得することができます。

この操作によって、各セッションの詳細な情報や、接続元コンピュータに関する情報 (VPN ソフトウェアのバージョンやオペレーティングシステムの種類など) が識別可能です。

セッション詳細データ表示画面

セッションの詳細データのうち、重要なものは下記のとおりです。

セッションの強制切断

仮想 HUB の管理者は、接続されているセッションを強制的に切断することができます。セッションを切断するためには、「VPN サーバー管理マネージャ」で、切断したいセッションを選択して [切断] ボタンをクリックしてください。「vpncmd」では、「SessionDisconnect」コマンドが使用できます。

仮想 HUB の MAC アドレステーブルの表示

「VPN サーバー管理マネージャ」の [セッションの管理] 画面で、[MAC アドレステーブル一覧] ボタンをクリックすると、MAC アドレステーブルの一覧が表示されます。「vpncmd」では、「MacTable」コマンドを使用して取得することができます。

なお、クラスタ環境で、クラスタコントローラに対して MAC アドレステーブルを要求した場合、クラスタコントローラはすべてのクラスタメンバサーバー上の MAC アドレステーブルを合わせて応答します。

MAC アドレステーブル管理画面

MAC アドレステーブルの各レコード (MAC アドレスエントリ) に対する項目名は以下のとおりです。

仮想 HUB の MAC アドレステーブルの削除

通常は必要ありませんが、仮想 HUB の管理者は任意の MAC アドレステーブルエントリを削除することができます。MAC アドレステーブルエントリを削除するには、「VPN サーバー管理マネージャ」で MAC アドレスエントリを選択し、[選択したエントリを削除] ボタンをクリックしてください。「vpncmd」では「MacDelete」コマンドを使って削除することができます。

特定のセッションに関連付けられている MAC アドレステーブルのみの一覧表示

VPN サーバー管理マネージャの [セッションの管理] 画面で、特定のセッションを選択してから [このセッションの MAC テーブル] ボタンをクリックすると、選択したセッションに関連付けられている MAC アドレステーブルエントリの一覧のみが表示されます。セッションを指定して、そのセッションの VPN クライアントコンピュータ側でどのような MAC アドレスが使用されているのかを知ることができます。「vpncmd」では、「MacTable」 コマンドにセッション名を引数として付けることで同様の操作が可能です。

特定のセッションに関連付けられている MAC アドレステーブルのみの一覧表示

仮想 HUB の IP アドレステーブルの表示

「VPN サーバー管理マネージャ」の [セッションの管理] 画面で、[IP アドレステーブル一覧] ボタンをクリックすると、IP アドレステーブルの一覧が表示されます。「vpncmd」では、「IpTable」コマンドを使用して取得することができます。

なお、クラスタ環境でクラスタコントローラに対して IP アドレステーブルを要求した場合、クラスタコントローラはすべてのクラスタメンバサーバー上の IP アドレステーブルを合わせて応答します。

IP アドレステーブル管理画面

IP アドレステーブルの各レコード (IP アドレスエントリ) に対する項目名は以下のとおりです。

仮想 HUB の IP アドレステーブルの削除

通常は必要ありませんが、仮想 HUB の管理者は任意の IP アドレステーブルエントリを削除することができます。IP アドレステーブルエントリを削除するには、「VPN サーバー管理マネージャ」で IP アドレステーブル一覧から IP アドレスエントリを選択し、[選択したエントリを削除] ボタンをクリックしてください。「vpncmd」では「IpDelete」コマンドで削除することができます。

特定のセッションに関連付けられている IP アドレステーブルのみの一覧表示

「VPN サーバー管理マネージャ」の [セッションの管理] 画面で特定のセッションを選択してから、[このセッションの IP テーブル] ボタンをクリックすると、選択したセッションに関連付けられている IP アドレステーブルエントリの一覧のみが表示されます。これにより、セッションを指定して、そのセッションの IP クライアントコンピュータ側で、どのような IP アドレスが使用されているのかを簡単に知ることができます。「vpncmd」では、「IpTable」コマンドに「セッション名」を引数として付けることで同様の操作が可能です。

ただし、セッションの先でルータなどが接続されている VPN セッションの場合は、ルータの向こう側 (インターネットなど) から届いたパケットの送信元 IP アドレスがすべて関連付けられている場合があります。なぜならば、レイヤ 2 で動作する仮想 HUB には、それぞれの IP アドレスがルータ経由でルーティングされてきたものなのか、それともレイヤ 2 で直接接続されているノードから発信されたものなのかを、見分ける方法が存在しないからです。

特定のセッションに関連付けられている IP アドレステーブルのみの一覧表示

カスケード接続について

「カスケード接続」の仕組みと作成方法は、SoftEther VPN を用いて拠点間を接続する VPN を作成する上で非常に重要です。

カスケード接続機能を使用すると、VPN Server 内の仮想 HUB を、同一または別のコンピュータ上で動作している仮想 HUB に対してカスケード接続することができます。

別のコンピュータ上で動作している 2 つの仮想 HUB や、同一のコンピュータであっても 2 つの仮想 HUB が動作している場合は、それらの仮想 HUB 同士はもともと何の繋がりもないため、レイヤ 2 のネットワーク的には完全に分離された 2 つのセグメントです。しかし、2 つの仮想 HUB を、インターネットなどの公共の IP ネットワークを経由して 1 つのセグメントとして運用したいような場合が多くあります。たとえば「拠点間接続 VPN」(「1.4 VPN の動作原理と通信方法」 を参照してください) を構築するような場合に「カスケード接続」は必須です。カスケード接続を使用すると、2 つ以上の仮想 HUB の間をあたかも非常に長い LAN ケーブルで接続したかのような動作が可能となります。

遠隔地にある仮想 HUB「A」と、仮想 HUB「B」をカスケード接続すると、A に接続していた仮想 LAN カードや A とローカルブリッジ接続していたネットワーク上のコンピュータと、B に接続していた仮想 LAN カードや B とローカルブリッジ接続していたネットワーク上のコンピュータとの間は、「レイヤ 2 (Ethernet レベル)」で自由に通信することができるようになります。つまり、お互いの仮想 HUB に接続しているコンピュータ同士は、それが VPN Client による仮想的なものであるとか、または物理的な LAN カードの先が仮想 HUB にローカルブリッジしていて、その仮想 HUB がカスケード接続され、さらに別の仮想 HUB を経由して目的のコンピュータに到達しているといったような、実際のネットワークトポロジを意識せずにレイヤ 2 レベルで自由に通信することができるようになるのです。

仮想 HUB 間のカスケード接続

カスケード接続を行うには、当然のことながら「カスケード接続を行う側の仮想 HUB」と、「カスケード接続を受ける側の仮想 HUB」の 2 つの仮想 HUB が存在することになりますが、ここでカスケード接続を受ける側の仮想 HUB から見ると、カスケード接続を行う側からのカスケード接続は一般的な VPN セッションの接続 (ブリッジ / ルータモードセッション) として処理されます。その際、VPN Client によって仮想 HUB への VPN 接続が行われる場合と同様にユーザー認証が必要となります。

カスケード接続を行う側と受ける側

カスケード接続の作成方法

仮想 HUB に、別の仮想 HUB への「カスケード接続」を作成するには、「VPN サーバー管理マネージャ」で [カスケード接続の管理] ボタンをクリックします。すると、["仮想 HUB 名" 上のカスケード接続] というウインドウが表示されます。ここで [新規作成] をクリックして、カスケード接続先の VPN サーバーの「ホスト名」や「仮想 HUB」、およびユーザー認証などに関する必要事項を入力します。カスケード接続を行う際には、直接 TCP/IP 接続を使用する他、HTTP プロキシサーバーや SOCKS プロキシサーバーを経由して VPN 接続を行うこともできます。

新しいカスケード接続を作成する際に入力する各種項目は、VPN Client で新しい接続設定を作成して入力する必要がある項目とほぼ同じですので、それぞれの項目の意味については、「4.4 VPN Server への接続方法」 を参照してください。

カスケード接続では、「スマートカード認証」を除いたすべての方法のユーザー認証が利用可能です。

カスケード接続の作成・編集画面

カスケード接続のオンライン / オフライン状態

仮想 HUB に新しいカスケード接続を作成すると、そのカスケード接続は「オフライン」状態となります。オフライン状態のカスケード接続は、そのままでは通信を行いません。カスケード接続を用いた通信を開始するには、「VPN サーバー管理マネージャ」の ["仮想 HUB 名" 上のカスケード接続] 画面でカスケード接続を選択し、[オンライン] ボタンをクリックしてください。

カスケード接続がオンライン状態になると、そのカスケード接続の接続設定にしたがって、仮想 HUB はカスケード接続をできる限り接続状態にしようと試みます。カスケード接続先の VPN Server の仮想 HUB への接続が確立すると、カスケード接続が成功したことになり、[状態] に [オンライン (接続済み)] と表示されます。何らかのエラーが発生した場合は、[状態] にエラーコードが表示されます。エラーの原因が、作成したカスケード接続の設定内容の入力ミスなどである場合は、カスケード接続を一旦オフラインにしてから [編集] ボタンをクリックして接続設定の内容を修正して、再度 [オンライン] ボタンをクリックしてみてください。

「2.1 VPN 通信プロトコル」 において「VPN 接続に失敗したり VPN 通信中に接続が切断された場合の再接続設定 」で説明されているように、カスケード接続中の VPN セッションで、接続に失敗したり、VPN セッションが切断された場合は、10 秒間に 1 回接続を再試行します。この動作により、仮想 HUB は設定されたカスケード接続先の仮想 HUB に対して、ネットワークが良好な限り常時接続状態を保つように努力します。

なお、カスケード接続の接続状況が変化した場合は、その記録が VPN Server の「サーバーログ」および仮想 HUB の「セキュリティログ」に記録されます。これらのログを定期的にチェックすると、カスケード接続が接続に成功したり失敗したりした記録を知ることができ、回線状態を把握することができます。VPN Serverの「サーバーログ」および仮想HUBの「セキュリティログ」の閲覧方法については、「3.10 ロギングサービス」 を参照してください。

カスケード接続一覧管理画面

カスケード接続に関連付けるセキュリティポリシー

カスケード接続を受ける側の仮想 HUB で、そのカスケード接続を経由して入ってくる仮想 Ethernet フレームに対してセキュリティポリシーを適用したい場合は、そのカスケード接続のために使用する「ユーザー」に対して希望するセキュリティポリシーの設定を行ってください。

カスケード接続を行う側の仮想 HUB で、そのカスケード接続を経由して入ってくる仮想 Ethernet フレームに対してセキュリティポリシーを適用したい場合は、そのカスケード接続の接続設定画面で [セキュリティポリシー] ボタンをクリックしてセキュリティポリシーを設定してください。

ただし、ポリシーによっては、逆にそのセッションに送出するパケットに影響を与えるものもあります。各ポリシーの説明に注意してください。

カスケード接続に関連付けるセキュリティポリシーの編集画面

作成できるカスケード接続の数

仮想 HUB 内に、「最大 128 個」までカスケード接続を作成することができます。ただし、現実的には大量のカスケード接続を 1 つの仮想 HUB から接続する必要はありません。

カスケード接続の状態

カスケード接続を行った側は、そのカスケード接続の接続状態をいつでも取得することができます。「VPN サーバー管理マネージャ」の ["仮想 HUB 名" 上のカスケード接続] 画面でカスケード接続を選択し、[状態] ボタンをクリックすると、そのカスケード接続セッションの通信状況がリアルタイムで表示されます。ここで表示される通信状況は、VPN Client の VPN 接続マネージャで表示される接続設定の通信状況で表示される内容とほぼ同一です。詳しくは、「4.5 VPN Server への接続」 を参照してください。

カスケード接続を受けた側は、そのカスケード接続は「ブリッジ / ルータモード」のセッションとして認識されます。つまり仮想 HUB のセッション一覧に表示されます。決してカスケード接続を受けた側の [カスケード接続] 一覧に自動的に表示されることはありませんので、注意してください。詳しくは、3.4.5  を参照してください。

カスケード接続を行う場合の注意事項

カスケード接続は大変便利で役に立つ機能であり、カスケード接続がなければ SoftEther VPN の価値は半減してしまいます。しかし、カスケード接続を正しく使用するためにはいくつかの注意事項を守る必要があります。

• カスケード接続を作成する際は、事前に構成する VPN のネットワークトポロジを入念に設計し、メモを取っておくなどして、適切な方法でカスケード接続を使用してください。たとえば 3 つの仮想 HUB が各拠点にあり、それらの拠点それぞれで、物理的な LAN との間がローカルブリッジされている場合、それぞれの仮想 HUB 同士をカスケード接続してしまうと、レイヤ 2 のネットワークトポロジがループしてしまい、通信が麻痺したりブロードキャストストームが発生する原因になったりします。カスケード接続を使用する場合はレイヤ 2 でループを作成するようなことは絶対に避けてください。
• カスケード接続機能において、SoftEther VPN Server は「スパニングツリープロトコル」をサポートしていません。
• カスケード接続を行う側の仮想 HUB には、カスケード接続設定を作成してそれを「オンライン」にする必要があります。カスケード接続を受ける側の仮想 HUB には、そのカスケード接続を受けるための「ユーザー」を事前に定義しておく必要があります。
• カスケード接続を行う側では、カスケード接続は、VPN Client による VPN 接続であるのと同等に取り扱われます。そのため、カスケード接続を作成する際の設定は VPN Client で新しい接続設定を作成する際の設定と類似しています。

vpncmd を使用したカスケード接続の作成、削除、設定変更および制御

「vpncmd」を使用してカスケード接続の制御を行うには、"Cascade" で始まるコマンドを使用します。これらのコマンドを用いることにより、VPN サーバー管理マネージャの GUI で行う設定と同じ操作を「vpncmd」から行うことができます。「vpncmd」を使用してカスケード接続の制御を行う方法については、「6.4 VPN Server / VPN Bridge の管理コマンドリファレンス (仮想 HUB 編)」 を参照してください。