4.4 VPN Server への接続方法

接続設定の作成

「SoftEther VPN Client」のインストール後の初期状態では、接続設定は 1 つも登録されていません。「SoftEther VPN Server」へ接続して VPN 通信を行うためには、新しい接続設定を作成する必要があります。新しい接続設定を作成するには、「VPN クライアント接続マネージャ」の [接続] メニューから [接続設定の新規作成] を選択してください。以後、接続設定の作成または各項目の編集に関する説明は、この画面を開いていることを想定して行います。

接続設定の作成・編集画面

SoftEther VPN Client をインストールしたコンピュータから、目的の SoftEther VPN Server の仮想 HUB に接続するためには、まずクライアントコンピュータからサーバーコンピュータまでの間のネットワークの環境に応じて、適切な「接続方法」を選択する必要があります。接続方法は [IE の設定を使用] ボタンをクリックして Internet Explorer の設定を読み込むか、[経由するプロキシサーバーの設定] 内の選択肢から選択 します。また、プロキシサーバーを経由する場合は、[プロキシサーバーの接続設定] ボタンをクリックしてパラメータを入力する必要があります。

選択することができる接続方法は、以下の 3 種類です。

• 直接 TCP/IP 接続
• HTTP プロキシサーバー経由接続
• SOCKS プロキシサーバー経由接続

接続先 VPN Server の指定

どの接続方法を使用する場合でも、その接続設定において接続する先の VPN Server の「ホスト名」「ポート番号」および「仮想 HUB 名」を正しく入力する必要があります。デフォルトの「ポート番号」 は 「5555」 ですが、接続先 VPN Server で「リスナーポート」として待機している TCP/IP ポートなら、どれでも指定できます。特に、HTTP プロキシサーバーを経由する場合や、ネットワーク上のファイアウォールの設定が厳しい場合は「443」(HTTPS 通信のためのポート) の使用を検討してください。使用する「ポート番号」に関する設定については、VPN Server の管理者にお問い合わせください。

サーバー証明書の検証の有効化

「2.3 サーバー認証」 で解説されているように、VPN 接続元コンピュータは、VPN 接続先の VPN Server の「サーバー証明書」の正当性を検証することにより、接続先 VPN Server が正しいコンピュータであり、間に中間攻撃者などが存在しないことが数学的計算によって保証されます。「サーバー証明書」の検証処理が必要となるような高セキュリティ用途においては、サーバー証明書を検証するオプションを使用してください。

[サーバー証明書を必ず検証する] チェックボックスを有効にすると、その接続設定を用いて VPN 接続を行う際に、サーバーの SSL 証明書を検証するようになります。このチェックボックスはデフォルトで無効ですので、必要な場合に有効にしてください。

[信頼する証明機関の証明書の管理] ボタンをクリックすると、VPN Client (カスケード接続にあたってはその仮想 HUB) が管理する、信頼する証明機関の証明書一覧ウインドウが表示されるので、ここで信頼する証明書を追加、削除または確認することができます。VPN 接続時に [サーバー証明書を必ず検証する] が有効になっている場合、VPN Client (または仮想 HUB) は、接続先の VPN Server が提示した証明書が信頼する証明書一覧によって署名されているかどうかをチェックし、署名されている場合のみ接続を続行します。

サーバー証明書検証オプション設定画面

[固有証明書の登録] ボタンをクリックすると、その接続設定で接続する VPN Server のサーバー固有証明書を事前に関連付けておくことができます。これにより、接続先 VPN Server のサーバー証明書をすでに持っている場合は、その証明書を登録しておくことによってサーバー認証を行うことができます。接続先 VPN Server の規模が小さい場合は、この方法で簡単にサーバー認証を行うことができます。

証明書検証が有効な状態で接続した際に、接続先 VPN Server が信頼できないサーバー証明書を提示した場合に表示される画面について (VPN Client の場合のみ)

[サーバー証明書を必ず検証する] チェックボックスが「有効」になっている場合に、VPN Server に接続した場合で、接続先 VPN Server が提示した証明書が信頼できないと判定された場合は、[セキュリティの警告] 画面が表示されます。この画面では、VPN Server が提示した証明書の詳細情報を表示させることができます。この表示内容を見て、接続先 VPN Server が信頼できるかどうかを判断してください。たとえば、電話などの比較的安全な手段で、VPN Server の管理者に、表示されたダイジェスト値が正しいかどうかを確認するなどの方法で、ある程度の安全性を確保することができます。ここで [接続をキャンセル] ボタンをクリックすると、VPN Server への接続処理はキャンセルされます。

サーバー証明書が信頼できない場合の警告画面

[接続を続ける] ボタンをクリックすると、この証明書を信頼するかどうかを、ユーザーが選択するメッセージボックスが表示されます。ここで [はい] をクリックすると、この証明書を接続設定における [固有証明書] として登録し、次回から VPN Server が提示する証明書に変化がない限り警告は表示されなくなります。[いいえ] をクリックすると登録されません。

 サーバー証明書を次回から信頼するかどうか選択する画面

もし、接続設定に登録されている固有証明書と、VPN Server が提示した証明書が異なる場合は、下記のような画面が表示されます。このような場合は、すぐに接続を切断することが推奨されます。

サーバー証明書が前回接続時と異なる場合の警告画面

使用するユーザー認証の選択

接続設定では、「ユーザー認証」に関する設定項目も入力する必要があります。[認証の種類] で使用するユーザー認証の方法を下記の中から 1 つ選択します。

• 匿名認証
• 標準パスワード認証
• Radius または NT ドメイン認証
• クライアント証明書認証
• スマートカード認証
  (「VPN Client」の場合のみ。「カスケード接続」の際には使用できません)

また、どのユーザー認証方法を使用する場合でも、[ユーザー名] は必ず入力する必要があります。その他の必要項目は、選択した認証方法によって異なります。

匿名認証を選択した場合の必要項目

「匿名認証」を使用する場合は、ユーザー名以外に入力が必要な項目はありません。匿名認証については、「2.2 ユーザー認証」 を参照してください。

標準パスワード認証、Radius または NT ドメイン認証を選択した場合の必要項目

「標準パスワード認証」、または「Radius または NT ドメイン認証」を使用する場合は、ユーザー認証に使用する「パスワード」を入力してください。

パスワード認証については、「2.2 ユーザー認証」 を参照してください。

クライアント証明書認証を選択した場合の必要項目

なお、ここで指定した「クライアント証明書」および「秘密鍵」は、VPN Client の設定情報としてディスクドライブに書き込まれます。VPN Client の設定情報が記録されたファイルは、通常は「Administrators 権限」を持つユーザーにしか読み出すことはできないので安全ですが、VPN Client をインストールしたノート PC が盗難に遭った場合などは、ハードディスクの中身が解析されて秘密鍵データが盗み出される可能性があります。このような危険性を排除したい場合は、「スマートカード認証」の使用を推奨します。

スマートカード認証を選択した場合の必要項目

「スマートカード認証」を使用する場合は、クライアント証明書として VPN Server に対して提示する証明書が入った「スマートカード」と、スマートカード内の「オブジェクト名」を指定する必要があります。まず [使用スマートカード選択] ボタンをクリックして、使用するスマートカードを選択してから、[証明書と秘密鍵の指定] をクリックして認証に使用する「証明書オブジェクト」と「秘密鍵オブジェクト」を選択してください。なお、スマートカードについては 「4.6 スマートカードの使用と管理」 を参照してください。

エクスポートとインポート

VPN Client に登録されている接続設定は、「エクスポート」してファイルとして保存することができます。また、一度エクスポートした接続設定を、後からそのコンピュータまたは別のコンピュータで動作している VPN Client に対して「インポート」することにより、接続設定をコピーすることができます。

接続設定を「エクスポート」する場合は、その接続設定を選択してから [接続] メニューの [接続設定のエクスポート] をクリックしてください。次に、接続設定を保存する「ファイル名」を指定してください。

後から接続設定を「インポート」する場合は、その接続設定ファイルをエクスプローラやフォルダウインドウ上でダブルクリックだけで、簡単にインポートすることができます。 直接「VPN クライアント接続マネージャ」から、インポート操作を行いたい場合は、[接続] メニューの [接続設定のインポート] をクリックして、エクスポートされた「接続設定ファイル名」を指定してくたざい。

エクスポート機能およびインポート機能の利用方法

VPN Server または仮想 HUB の管理者は、この機能を使用してユーザーに対して接続設定ファイルを「配布」することにより、ユーザーはその接続設定ファイルをダブルクリックするだけで簡単にコンピュータで動作している VPN Client にその接続設定データを追加することができます。また、インポートされた接続設定をさらに「編集」して使用することもできます。

エクスポートされる接続設定ファイルの内容

外部ファイルとしてエクスポートされる接続設定ファイルは、拡張子が「.vpn」という特殊なテキストファイルです。この接続設定ファイルの内容は、下記のようになっています。

# VPN Client VPN Connection Setting File
#
# This file is exported using the VPN Client Manager.
# The contents of this file can be edited using a text editor.
#
# When this file is imported to the Client Connection Manager
#  it can be used immediately.

declare root
{
 bool CheckServerCert false
 uint64 CreateDateTime 0
 uint64 LastConnectDateTime 0
 bool StartupAccount false
 uint64 UpdateDateTime 0

 declare ClientAuth
 {
  uint AuthType 1
  byte HashedPassword AAAAAAAAAAAAAAAAAAAAAAAAAAA=
  string Username $
 }
 declare ClientOption
 {
  string AccountName public.softether.com
  uint AdditionalConnectionInterval 1
  uint ConnectionDisconnectSpan 0
  string DeviceName VPN
  bool DisableQoS false
  bool HalfConnection false
  bool HideNicInfoWindow false
  bool HideStatusWindow false
  string Hostname public.softether.com
  string HubName PUBLIC
  uint MaxConnection 1
  bool NoRoutingTracking false
  bool NoTls1 false
  bool NoUdpAcceleration false
  uint NumRetry 4294967295
  uint Port 443
  uint PortUDP 0
  string ProxyName $
  byte ProxyPassword $
  uint ProxyPort 0
  uint ProxyType 0
  string ProxyUsername $
  bool RequireBridgeRoutingMode false
  bool RequireMonitorMode false
  uint RetryInterval 15
  bool UseCompress false
  bool UseEncrypt true
 }
}

上記の例のように、接続設定ファイルの内容は、すべてテキストで書かれています。もし、ひらがな・漢字などの多バイト文字がある場合は、「UTF-8」でエンコードされます。このテキストファイルの内容は通常は編集する必要はありませんが、手動で編集したり、上記のような接続設定ファイルを自動で作成するプログラムを書いたりすることもできます。