はじめに

長らくリモートワークをしており、VPN接続して会社のサーバを自宅から見に行っています。
私は学生時代からずっとiPhoneユーザだったのですが、思うところあって今回Androidに買い替えました。
それまでは会社のsoftether VPNサーバにiOSの「SSTP Connect」（有料）を使って接続していました。
さいわい、Android購入前に、AndroidにもSSTP接続が可能な「Open SSTP Client」なるものがあるとの情報を得たため、Androidに乗り換えました。

ところが、「SSTP Connect」と違って、「Open SSTP Client」を使うには一手間、具体的にはCA証明書をAndroid端末側に入れなければなりませんでした。

数日かけてやっと接続できるようになりました。
「Open SSTP Client」のレビューには、SoftEtherのVPNサーバに接続できた！なるものがいくつか見られたものの、インターネット上のまとまった記事は見つからなかったので、今回記録として残しておきます。

環境

SoftEther VPNサーバ

Windows 10 Version 22H2 Build19045.3930 （MinisforumのミニPC）
SoftEther VPN 4.0(Ver4.39, Build 9772)
社内LANに設置
hostname: hogefuga.softether.net
port: 5555
username: test111
password: p@ssword

Android

OPPO Reno7 A
OS: ColorOS 13 | Android 13 CPH2353_11_F.56
Open SSTP Client: 1.6.5.1
自宅からの接続

設定

SoftEther VPN側の設定

5555番ポートを開けておく

今回は5555番のポートを接続に使うので、「SoftEther VPNサーバー管理マネージャ」の「リスナーの確認」でTCP 5555が「動作中」になっていることを確認します。
念の為、VPNサーバの5555番ポートと疎通可能か、確認しておく。cf. ポート疎通確認方法

ルート証明書の作成

「SoftEther VPNによるVPN環境構築(21) TLSサーバー検証をオンにするために必要なこと」という記事の、「TLSサーバー検証に合格するための設定」を参考に、ルート証明書を作成します。

流れとしては、

「SoftEther VPNサーバー管理マネージャ」を起動して、ルート証明書(.cerと.keyという拡張子のファイル)のエクスポート
「SoftEther VPNサーバー管理マネージャ」でサーバー証明書の作り直し。証明書の有効期間を824日にするのがミソです。（iPhoneだとこの設定が必要でした。Androidだけだったら不要かも）

拡張子を変える！

Androidで実際に使うのは.cerファイルのみです。
重要ポイントとして、拡張子を".cer"から".crt"に変える、というのがあります。
cerもcrtも中身は同じなのですが、なぜかAndroidだとcerファイルだと読んでくれず、crtファイルにしたら読み込んでくれました。
なので、WindowsのPCからAndroidにCA証明書を移す時点で、拡張子を".crt"に変えてしまいましょう。

ちなみに、

Windowsで発行：cer
Linuxで発行：crt

とのことです。

CA証明書をAndroidに移す

iPhoneと違って、Windows機とAndroid機をUSB-Cケーブルで直接接続すれば、任意の場所にファイルが移せるのは楽ですね。".crt"ファイルをAndroidのDownloadsあたりにコピーします。

Android側の設定

CA証明書をインストールする

(歯車マークの) 「設定」アプリ→「パスワードとセキュリティ」→「システムセキュリティ」→（ずっと下の方に）「認証情報ストレージ」→「ストレージから証明書をインストール」→「CA証明書」からインストール。ここで色々聞かれますが、自分で作成したものなので「インストールする」を選び続け、先ほどコピーしてきた.crtファイルを選びます
インストールが成功すると、「設定」→「パスワードとセキュリティ」→「システムセキュリティ」→「認証情報ストレージ」の「信頼できる証明書」→「ユーザー」タブに、自分のSoftEther VPNサーバのDDNSホスト名(今回の場合なら、hogefuga.softether.net)が表示されています

Open SSTP Clientで接続する

Google Playストアから、Open SSTP Clientをインストールしてきます
英語表記でビビりますが、設定は下記の通り。SETTINGタブは、ポートとログくらいしかいじっていないはずです

HOMEタブ

Hostname: hogefuga.softether.net(自分のSoftEther VPNサーバのDDNSホスト名)
Username: test111(自分で設定したもの)
Password: p@ssword(自分で設定したもの)

SETTINGタブ

SSL Layer

Port Number: 5555
SSL Version: DEFAULT(ちなみに、TLSv1.3が選択されました)
Verify Hostname: チェックを入れる
Add Trusted Certificates: OFF
Enable Only Selected Cipher Suites: OFF

HTTP Proxy

Use HTTP Proxy: OFF

PPP Layer

MRU: 1500
MTU: 1500

PPP Authentication Protocol

Enable PAP: ON
Enable MS-CHAPv2: ON
Timeout Period(second): 3

PPP Netword Protocol

Enable IPv4: ON
Request Static IPv4 Address: OFF
Enable IPv6: OFF

DNS Server

Request DNS Server Address: ON
Use Custom DNS Server: OFF

Routing

Add Default Route: ON
Route Private/Unique-Local Addresses: OFF
Add Custom Routes: OFF
Enable App-Based Rule: OFF

Reconnection

Enable Reconnection: OFF

Log

Save Log: ON
Select Log Directory: 任意の場所

あとはHOMEタブから接続を試みて、接続を確認してください。
接続が行われると、"Current Status"に接続先や今のローカルIPアドレス情報などが表示されてConnectedと出るはずです。お疲れ様でした。

おわりに

副産物として、「SoftEther VPNによるVPN環境構築(21) TLSサーバー検証をオンにするために必要なこと」の記事の設定を行ったことで、iPhoneのSSTP ConnectでTLSサーバ検証がオンになり、よりセキュアな通信が可能になります。

2023/2/8追記

"hogefuga.softether.net"はport5555（今回の場合）
"hogefuga.vpnazure.net"はport443

でそれぞれ接続できるようです。
ルータをいじれなくても、port443はSSL/TLS通信のポートなので、ほとんどの場合開いており、問題なく使えます。
なので、ルータの設定を変更できない場合は、後者が選択肢として上がりそうでした。
hostnameとportの組み合わせは、ポート疎通確認方法で確認しました。

port	hogefuga.softether.net	hogefuga.vpnazure.net
5555	◯	×
443	×	◯