漢なら GCE で CoreOS で OpenVPN サーバ建てたいですよね!

やりましょう!

(2020 年 4 月 10 日追記): CoreOS は終了しました https://coreos.com/os/eol/
後継は Fefora CoreOS ですが, GCE ですと Fedora CoreOS には現状対応していません. Container optimized OS を選ぶとよさそうです.

前提条件

OS のアップデート対応が面倒なので CoreOS(stable) の自動アップデートに頼りたい
- 起動中の OpenVPN docker インスタンスも再起動してくれるはず?
udp 1194 ポートで VPN 通信をする
GCP ダッシュボードで設定を行う

手順

VPN サーバを CoreOS で立てる大まかな手順は

月 5 ドルくらいで Docker で簡単に OpenVPN 環境を手に入れる
https://qiita.com/jyane/items/95164ba6b3323723eb40

の 5, 6 を参考にしてください.

firewall の設定

上記 URL によりますと, firewall の設定は, iptables ではなくクラウドサービス側での firewall 設定が CoreOS は推奨とのことですので, GCP のダッシュボードで firewall の設定をします.

ネットワークルール default で CoreOS インスタンスを建てているとしします.

以下のように udp:1194 を許可する firewall rule を default に追加します. rule の名前を vpn にします.

その後, インスタンスの設定で, network tags に上記で設定した rule 名 vpn を追加します.

もしくは, vpn 専用に network rule を作ってもよいでしょう.

クライアントから接続する

CoreOS インスタンス側では

CONTNER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS                    NAMES
5d5e4800a5c8        kylemanna/openvpn   "ovpn_run"          10 days ago         Up 10 days          0.0.0.0:1194->1194/udp   hopeful_mirzakhani

のような感じで VPN サーバが動いていることを確認し,

クライアント側で

$ sudo openvpn CLIENT.ovpn

とすれば接続が行われます!

繋がらない場合は firewall の設定などを再確認してください.

自動起動する

CoreOS がリブートしたときに, openvpn コンテナが自動で再起動するようにします.

AWS+CoreOS+Dockerでコンテナの自動起動 1
https://qiita.com/aki/items/979b25ff555eb7ab96fc

を参考にし, systemd ベースで設定してみます.

$ sudo vi /etc/systemd/system/docker-ovpn.service

[Unit]
Description=My Service
After=docker.service
Requires=docker.service

[Service]
ExecStart=/usr/bin/docker run -v $OVPN_NAME:/etc/openvpn -d -p 1194:1194/udp --cap-add=NET_ADMIN kylemanna/openvpn

[Install]
WantedBy=multi-user.target

$OVPN_NAMEは, 最初のほうで作成したボリュームの名前になります.

今動いている OpenVPN インスタンスがあれば止めておきます.

$ sudo systemctl enable /etc/systemd/system/docker-openvpn.service
$ sudo systemctl start docker-openvpn.service

journalctl などで起動していることを確認し, CoreOS をリブートして openvpn インスタンスが自動起動すれば成功です.

クライアントに静的 ip アドレスを割り当てる

TODO

cloud init で openvpn インスタンスの自動立ち上げを行う.
443 ポートに集約したほうがいいかも?
https://github.com/kylemanna/docker-openvpn にもあるように, docker で VPN を動かすことのセキュリティを考える旅に出たい