ルータを介したVPN接続について

質問

OpenVPNを使って学校のPCから自宅のPCへ
リモートデスクトップ接続をしたいと思っているのですが，
以下の図のような場合，VPNは学校PCとルータ（自宅側）間で行い，
ルータから自宅PCへポートを転送するような設定を
行えばよろしいのでしょうか？

-------------------------------
自宅PC（サーバ：操作される側）
ファイアウォール
│
ルータ（自宅）
│
│
ファイアウォール
学校PC（クライアント：操作する側）
-------------------------------

また，その際ルータでポートを開けた状態になると思うのですが
ファイアーウォールがあれば開けた状態のままでも
大丈夫でしょうか？

よろしくお願いいたします．

回答No.1

hito-koto · ベストアンサー

たったひとつの設定ミスでも進入路になり、またOpenVPNに問題が見つかればそれがセキュリティリスクになりますので、絶対だいじょうぶとはいいませんが、

という前置きつきで、私はその構成で使っています。

ポイントは、
・ルータに穴を開けるだけでなく、ファイアウォールソフトにも穴を開ける必要がある（イーサーネットLANに対して、OpenVPNで使用するポートだけで十分）
・さらに、OpenVPNで開かれた仮想アダプタ上の通信を成立させるために、さらにファイアウォールソフトの設定が必要である（仮想アダプタに対して、リモートデスクトップ接続で使用するTCP 3389）

です。

手持ちのサーバーを監視する限り、リモートデスクトップで使用するTCP 3389に対するアタックはそれなりに増えてきていますので、おっしゃるようにOpenVPNを使う等するようにして、そのまま開放しないようにすることが無難です。

お礼

hito-kotoさん　わかりやすいご回答ありがとうございます．

＞手持ちのサーバーを監視する限り、リモートデスクトップで使用するTCP 3389に対するアタックはそれなりに増えてきていますので、おっしゃるようにOpenVPNを使う等するようにして、そのまま開放しないようにすることが無難です。

これはOpenVPNを使うとき以外は，仮想アダプタに対してTCP3389を
ファイアウォールでブロックしていれば，
ルータの設定はそのままでもよいということでしょうか？

よろしくお願いします．

回答No.3

hito-koto

ルータ上でTCP3389をフォワードする必要はありません。
リモートデスクトップのトラフィックは、OpenVPNのトラフィックで包まれます（カプセル化されます）。
ルーターはOpenVPNのトラフィックだけを意識しており、包み込まれた中を意識することはありません。

お礼

hito-kotoさん，色々教えていただきありがとうございました．
同じ構成でやられている方に聞けて助かりました．

実際に教えていただいたとおり試してみたいと思います．
ありがとうございました．

回答No.2

hito-koto

>これはOpenVPNを使うとき以外は，仮想アダプタに対してTCP3389を
>ファイアウォールでブロックしていれば，
>ルータの設定はそのままでもよいということでしょうか？

言葉足らずでスミマセン。
ルータやPCのLANアダプタに対して、TCP 3389を開放しないほうがいいですよ、という意味です。
仮想アダプタに対してのみ、開放しましょう。

お礼

hito-kotoさん，ありがとうございます．

たびたび申し訳ないのですが，
ルータでポートの転送をするのはOpenVPNの1194と
リモートデスクトップの3389番でよろしいのでしょうか？

これは，ルータに対してTCP3389を開放していることにならないのでしょうか？（転送設定をしなければリモートデスクトップ接続ができないように思えてしまうのですが）

よろしくお願いします．