openVPNプロトコルを利用してFTP接続をしたい

[Kumiko]

はじめまして。Kumiko です。

VPSサーバーとクライアントPC間で、

openVPNプロトコルを使って、

SSH接続＆FTP接続をする方法を教えてください。

FTP接続を使いたい理由は、

クライアントからサーバーへは、

クライアントPC上のAccess2013のVBプログラムから接続し、

同プログラムからファイル送受信を行わせているからです。

このファイル送受信処理をセキュアに行うため、

openVPNを導入し、openVPNプロトコルを利用して、

FTP接続をしたいと考えています。

----------------------------------

【VPSサーバー】

OS:CentOS6.5 × 64

openVPN-2.2.2-1.el6.rf.x86_64

----------------------------------

【クライアントPC】

OS:Windows7 Pro

openVPN-GUI

----------------------------------

サーバー構築自体がまったくの初心者で、

OS再インストールを何度も繰り返し、なんとか、

VPSサーバー(レンタル)とクライアントPC間のopenVPN接続成功まで、

たどりつくことができました。

VPS側のFTPサーバーも設定し、

クラインアントPCにあるAccessプログラム（VB）から、

VPSサーバーに接続し、

FTPでファイルの送受信も成功しました。

openVPNもFTPも、Access上のプログラムからの動作確認も、

それぞれ単独では、正常動作を確認しています。

＊＊＊

でも、openVPNを使ってFTP接続、、、の方法が、

まったく分かりません。

レンタルサーバー会社の技術者には、

「技術的には可能」といわれましたが情報はなく、

ネット上でも情報がなく、

どのように設定したらよいのか分からずに困っています。

ファイヤーウォールの設定(iptables.sh)では以下のように、

openVPN以外のポートをすべて非許可にするのは分かるのですが、

そうすると、当然のことながらFTP接続やSSH接続ができなくなります。

ここからどのようにして、FTP接続やSSH接続を確立できるのでしょうか。

なにとぞ、ご教授くださいm(_ _)m

[ iptables.sh ]

---------------------------------------------------------------------------------------------------

#openVPNを公開。日本からのみ許可

iptables -A INPUT -p udp --dport 1194 -j ACCEPT_COUNTRY

[ -f /etc/openvpn/openvpn-startup ] && /etc/openvpn/openvpn-startup

# 外部からのTCP21番ポート(FTP)へのアクセスを日本からのみ許可

#iptables -A INPUT -p tcp --dport 21 -j ACCEPT_COUNTRY

# 外部からのTCP22番ポート(SSH)へのアクセスを日本からのみ許可

#iptables -A INPUT -p tcp --dport 22 -j ACCEPT_COUNTRY

---------------------------------------------------------------------------------------------------

[Junki Kizuka]

siraseです。

OpenVPN経由でのみ ssh, ftp を接続出来るようにするには
iptablesでOpenVPNのポートのみを許可するようにします。

そして、OpenVPNサーバ側に振られている仮想IPアドレスに対して
OpenVPNクライアント側に振られている仮想IPアドレスからアクセスします。

どういう接続形態を取っているか情報がないので分かりませんが
今現在FTP接続する際にサーバのグローバルIPを指定しているかと
思いますが、そのグローバルIPを指定するのではなくOpenVPNネットワーク内の
仮想IPアドレスを指定するようにすれば、OpenVPN経由でアクセスできます。
(という書き方で伝わるかな・・・

ただ、現実的にはOpenVPNサーバがトラブルで接続できない時の復旧を
sshからやる必要があると思うので、sshはOpenVPN経由以外でも接続できるように
しておくことをオススメします。sshサーバへのアタック対策として、ポート番号の
変更、公開鍵認証への切り替え等の対策を実施することをオススメします。

以上、よろしくお願い致します。

2014年7月6日 13:15 Kumiko <kumiko...@gmail.com>:

> --
> このメールは Google グループのグループ「OpenVPN Japan Users Group」に登録しているユーザーに送られています。
> このグループから退会し、グループからのメールの配信を停止するには
> openvpn-japan-user...@googlegroups.com にメールを送信してください。
> その他のオプションについては https://groups.google.com/d/optout にアクセスしてください。



--
Junki Kizuka <k.fal...@gmail.com>
http://falconws.blogspot.jp/
From PC

[榎本久美子]

sirase様

教えていただき、本当にありがとうございます！

FTP接続は、WinSCPの転送プロトコル=FTPで試しています。

（AccessVBでFTP処理をコーディングする前に先ずは動作確認をと思い・・・）

接続先のIPアドレスを、サーバーのIPアドレスに指定していました。

（まったく分かっていませんでした・・・）

【接続先】

サーバー側のopenVPN仮想IPアドレス

【FFFTPのポート番号】

1194

に変更して接続をしてみたところ、

「対象のコンピューターによって拒否されたため、接続できませんでした。

接続に失敗しました。」とのエラーで接続できません。

クライアント側に割り当てられたopenVPN仮想IPアドレスを調べ、

クライアントPCのインターネット接続設定から、

「インターネットプロトコル バージョン４（TCP/IPv4）」

のプロパティを、

「IPアドレスを自動で取得」から「次のIPアドレスを使う」に変更し、

この仮想IPアドレスとサブネットマスクを指定して保存しようとすると、

Windows診断画面が表示され、

「IPアドレスを自動で取得」に戻ってしまいます。

何が足りないのでしょうか？

たびたび申し訳ないのですが、教えていただけますかm(_ _)m

Kumiko

※SSH接続は、ファイヤーウォールで許可しておいた方が良いのですね。

実は、安易に非許可にしてしまい、サーバーそのものに接続できなくなり、

コンソールからOS再インストールをしました(>_<)

openVPN＋FTP接続が完了次第、教えていただいたとおりに、

このままSSH接続はファイヤーウォールで許可したまま、

鍵を作成して、より安全にSSH接続ができるように設定したいと思います。

[Junki Kizuka]

siraseです。

OpenVPNに限らず、まず「VPN」というものがどういうものなのかの基礎知識を付けられたほうが良いのではないかと思いました・・・。

【接続先】
サーバー側のOpenVPN仮想IPアドレス
【接続先ポート番号】
21

で、接続テストを実施して下さい。
1194番というのは、あくまでも「VPNサーバのListenポート番号」で、ここにVPNクライアントが接続した後は
VPNネットワーク内にサーバとクライアントが存在する状態となるので、「同一LAN内(同一セグメント)にクライアントとサーバがある状態」と考えて下さい。

仮に、サーバ機がクライアントPCの隣に置いてあるとした場合、FTP接続する時は
ポート番号は何を指定しますか？
デフォルトポートから変更していないなら、21番を指定すると思います。

あまりよくわかっていない状態で、DHCPではなく手動IP設定は辞めたほうが良いでしょう・・・。

もっと具体的に知りたい場合は、OpenVPNサーバの仮想IPアドレス、
クライアントの仮想IPアドレスも明示して頂けますでしょうか？

以上、よろしくお願い致します。

2014年7月6日 15:44 榎本久美子 <kumiko...@gmail.com>:

[榎本久美子]

sirase様

たびたび、しかも迅速なご回答、

本当にありがとうございました！

openVPNのポートは1194でも、

FTPのポートは21のままですよね・・・。

先ほどの接続先IPの件もそうですが、

１つ１つ教えていただいたことで、

少しずつですが、概念が分かってきました。

VPNの存在すら最近知ったばかりで、

さらにはサーバー構築も一切ない状態からのスタートで、

かなり苦しみました（苦笑）。

これから、がんばって勉強します！

ただ、今回は急ぎでこの処理を実現しなければならず、

（動作テストだけで良いのですが）

たびたびのご回答、本当に助かりました。

本当にありがとうございました！！

Kumiko