はじめに
リモートで仕事する人が増えたと思いますが、VPN がないと何かと不便です。
Oracle Cloud で無料で構築できるのでメモを残しておきます。
VPN には WireGuard を使用します。とっても簡単。
今回使う環境
| 項目 | 内容 |
|---|---|
| 契約 | Oracle Cloud Always Free （ずっと無料） |
| インスタンス | VM.Standard.E2.1.Micro / OCPU 1 / RAM 1GB |
| OS | Oracle Linux 8 （RHEL互換） |
| ミドルウェア | WireGuard （Linux，Windows，Mac OSX，iOS，Android 対応） |
CentOS 8 のサポート期間短縮に伴い、Oracle Linux 8 を使って建ててみます。
サーバーとクライアントの関係
WireGuad では、それぞれの秘密鍵を生成し、それぞれの設定ファイルにはお互いの公開鍵を書いていきます。
######サーバー側の設定ファイル
- サーバーの秘密鍵
- クライアントの公開鍵（クライアントの秘密鍵から生成したもの）
######クライアント側の設定ファイル
- クライアントの秘密鍵
- サーバーの公開鍵（サーバーの秘密鍵から生成したもの）
クライアントが複数の場合
クライアントが複数になる場合は、サーバー側の設定ファイルにクライアントの公開鍵をひたすら追加していきます。
サーバー
導入
利用できる EPEL リポジトリを確認する
ssh
[root@vm opc]# dnf repolist all | grep -i epel
ol8_developer_EPEL Oracle Linux 8 EPEL Packages for Development (x86 disabled
EPEL を有効化してアップデートをかける（注意：ol8_developer_EPEL は Oracle Linux 8 専用です）
ssh
[root@vm opc]# dnf config-manager --enable ol8_developer_EPEL
[root@vm opc]# dnf update
...（省略）...
Complete!
WireGuard をインストールする
ssh
[root@vm opc]# dnf install wireguard-tools
サーバー側の設定
設定ファイル
サーバー側のプライベートキー（秘密鍵）を生成する
ssh
[root@vm opc]# wg genkey | tee /etc/wireguard/server.key
OJHeFvySvtcqllcIz+LgaZ+58JflkdPpWd3BmNyq1WM=
サーバー側のパブリックキー（公開鍵）を生成する
ssh
[root@vm opc]# cat /etc/wireguard/server.key | wg pubkey | tee /etc/wireguard/server.pub
tKkp9E2sa8W0aX2I21bWaqG6lXJY+o6iftwWpLijoUc=
インターフェースを確認する
ssh
[root@vm opc]# ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9000 qdisc pfifo_fast state UP group default qlen 1000
link/ether 02:00:17:00:19:db brd ff:ff:ff:ff:ff:ff
inet 10.0.0.5/24 brd 10.0.0.255 scope global dynamic ens3
valid_lft 84446sec preferred_lft 84446sec
inet6 fe80::17ff:fe00:19db/64 scope link
valid_lft forever preferred_lft forever
Firewall の設定を確認する
ssh
[root@vm opc]# firewall-cmd --get-active-zone
public
interfaces: ens3
WireGuard の設定ファイルを作る
ssh
vi /etc/wireguard/wg0.conf
/etc/wireguard/wg0.conf
[Interface]
PrivateKey = OJHeFvySvtcqllcIz+LgaZ+58JflkdPpWd3BmNyq1WM=
Address = 10.10.10.1/24
ListenPort = 51820
MTU = 1380
PostUp = firewall-cmd --zone=public --add-masquerade; firewall-cmd --direct --add-rule ipv4 filter FORWARD 0 -i wg0 -o ens3 -j ACCEPT; firewall-cmd --direct --add-rule ipv4 nat POSTROUTING 0 -o ens3 -j MASQUERADE; firewall-cmd --add-port=51820/udp
PostDown = firewall-cmd --zone=public --remove-masquerade; firewall-cmd --direct --remove-rule ipv4 filter FORWARD 0 -i wg0 -o ens3 -j ACCEPT; firewall-cmd --direct --remove-rule ipv4 nat POSTROUTING 0 -o ens3 -j MASQUERADE; firewall-cmd --remove-port=51820/udp
[Peer]
PublicKey = 9wVHswghFDUnBm+erw8HZFBC3PvLuacdZLKlasaORg4=
AllowedIPs = 10.10.10.2/32
| [Interface] | 自身の設定（ここではサーバー） |
|---|---|
| PrivateKey | サーバーの秘密鍵 |
| Address | VPN インターフェースの IP アドレス（ローカル IP アドレス） |
| ListenPort | ポート番号 |
| MTU | パケットのサイズ（応答が無くなる場合は設定する） |
| PostUp | WG 起動時に実行するコマンド（Firewall に穴を開ける、など） |
| PostDown | WG 起動時に実行するコマンド（Firewall の穴をふさぐ、など） |
| [Peer] | 相手の設定（ここではクライアント） |
|---|---|
| PublicKey | クライアントの公開鍵 |
| AllowedIPs | VPN を経由させる対象 IP アドレスの範囲（CIDR） 基本的にはクライアントに割り当てるIPアドレスで良い |
複数のクライアントを定義するには [Peer] をセクションを増やしていけばいいです。
起動
ssh
[root@vm opc]# systemctl enable --now wg-quick@wg0
Created symlink /etc/systemd/system/multi-user.target.wants/wg-quick@wg0.service → /usr/lib/systemd/system/wg-quick@.service.
穴が開いている確認します。
ssh
[root@vm opc]# ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9000 qdisc pfifo_fast state UP group default qlen 1000
link/ether 02:00:17:00:19:db brd ff:ff:ff:ff:ff:ff
inet 10.0.0.5/24 brd 10.0.0.255 scope global dynamic ens3
valid_lft 83602sec preferred_lft 83602sec
inet6 fe80::17ff:fe00:19db/64 scope link
valid_lft forever preferred_lft forever
3: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 8920 qdisc noqueue state UNKNOWN group default qlen 1000
link/none
inet 10.10.10.1/32 scope global wg0
valid_lft forever preferred_lft forever
インフラ側の準備
仮想ファイアウォールにも、51820番ポートで UDP 通信を許可するよう設定します。
※ 環境によって操作手順が異なります。
Oracle Cloud の場合はセキュリティーリストのイングレスルールに追加します。
クライアント
導入
Linuxであればサーバー側導入と同じ手順。
Windows，Android，OS X，iOSであれば公式および各ストアからダウンロードしてください。
設定ファイル
[Interface]
PrivateKey = ECR41Y/9tslY6TjTj33kzHWcTUsFj8DSaXN2jHp580A=
Address = 10.10.10.2/32
MTU = 1380
DNS = 8.8.8.8, 8.8.4.4
[Peer]
PublicKey = tKkp9E2sa8W0aX2I21bWaqG6lXJY+o6iftwWpLijoUc=
AllowedIPs = 10.10.10.1/24
Endpoint = <VpnServerIpAddress>:51820
PersistentKeepalive = 25
| [Interface] | 自身の設定（ここではクライアント） |
|---|---|
| PrivateKey | クライアントの秘密鍵 |
| Address | VPN インターフェースの IP アドレス（ローカル IP アドレス） |
| MTU | パケットのサイズ（応答が無くなる場合は設定する） |
| DNS | DNS サーバーを指定（必要に応じて） |
| [Peer] | 相手の設定（ここではサーバー） |
|---|---|
| PublicKey | サーバーの公開鍵 |
| Endpoint | エンドポイント（サーバーのグローバル IP アドレスまたはFQDNと、ポート番号） |
| AllowedIPs | VPN を経由させる対象 IP アドレスの範囲（CIDR） 0.0.0.0/0 ですべての宛先が経由する，内部だけであれば 10.10.10.1/24 でよい |
| PersistentKeepalive | KeepAlive 送信間隔（秒） 勝手に切れてしまう場合は設定・調整すると良い |
おわり。
更新履歴
2021-01-09 初稿
2021-01-12 秘密鍵の図を追加
2021-05-13 yum コマンドから dnf コマンドへ修正
2021-12-07 クライアントの設定、仮想ファイアウォールの設定、その他追加
2021-12-13 MTU を追記