■概略

NAT配下にMAシリーズ(=:Linux)を置いてIoTデバイスとし外部からアクセスしたい
MAシリーズはLTE機能があるので、simを追加すれば4Gアクセスできるが遅い
せっかくNATでブロードバンドがあるので使いたい

1)固定グローバルIPを持ったクラウド上のLinuxサーバを用意する(リソースは最小限でよい)
2)クラウド上のLinuxサーバとMA(Linux)をOpenVPNで接続する
3)OpenVPNでMA(Linux)に固定プライベートIPを割りふる

こうすれば固定グローバルIPを踏み台にしてMA(Linux)にブロードバンド経由で
アクセスできる
最初の設定時はNAT配下で設定する or LTEを使う等でMA(Linux)にもアクセスできると
設定しやすい

■固定グローバルIPを持ったサーバ

MAシリーズはUbuntuなので、サーバはUbuntu24.04LSTにする

◯OpenVPNインストール

# apt install openvpn easy-rsa

◯ポート許可

AWSならSecurityGroupでポート許可をする
Ubuntu24.04LTSのローカルFirewallで許可するなら、ufwを利用する

なおsshのIP許可は/etc/hosts.allowで設定する

1194/udpの許可設定

# ufw allow 1194/udp

22/tcpの許可設定

# ufw allow 22/tcp

許可設定の確認

# ufw status
Status: active

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW       Anywhere
22/tcp (v6)                ALLOW       Anywhere (v6)
1194/udp                   ALLOW       Anywhere
1194/udp (v6)              ALLOW       Anywhere (v6)

◯認証局と鍵

参考URL : ubuntu 20.04 LTS serverにOpenVPNをインストール

# make-cadir /etc/openvpn/easy-rsa

# vi /etc/openvpn/easy-rsa/vars
---
set_var EASYRSA_REQ_COUNTRY     "JP"
set_var EASYRSA_REQ_PROVINCE    "Ehime"
set_var EASYRSA_REQ_CITY        "Matsuyama"
set_var EASYRSA_REQ_ORG         "Emboma"
set_var EASYRSA_REQ_EMAIL       "takami@emboma.jp"
set_var EASYRSA_REQ_OU          "ISMS Camera"
---
# cd /etc/openvpn/easy-rsa
# ./easyrsa init-pki
# ./easyrsa --vars=./vars build-ca
Passphrase  : {パスフレーズ}
Common Name : openvpn.ismscam.emboma.jp ＊ダミーです
# ./easyrsa gen-dh
# ./easyrsa build-server-full server nopass
# cd pki
# cp ca.crt private/ca.key issued/server.crt private/server.key  /etc/openvpn

◯kernel 転送

# vi /etc/sysctl.conf
---
net.ipv4.ip_forward=1
---
# sysctl -p /etc/sysctl.conf

◯OpenVPN

　NAT配下から確実にブロックされないのはtcp/80
　少し遅くなるのでOpenVPNデフォルトの1194/udpにする

# vi /etc/openvpn/server.conf
---
port 1194
proto udp
#port   80
#proto  tcp
server 10.40.0.0 255.255.240.0
push "route 10.40.0.0 255.255.240.0"
push "dhcp-option DNS 8.8.8.8"
# クライアントIP固定化、相互通信用のクライアント別設定ディレクトリ
client-config-dir ccd
#--
dev tun
ca   ca.crt
cert server.crt
key  server.key
dh     none
auth   SHA512
cipher AES-256-GCM
tls-version-min 1.2
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384
reneg-sec 60
keepalive 10 120
user  nobody
group nogroup
persist-key
persist-tun
ifconfig-pool-persist /var/log/openvpn/ipp.txt
status /var/log/openvpn/openvpn-status.log
log    /var/log/openvpn/openvpn.log
verb 3
# ta.keyをクライアントも持つと対DoS性能が上がるらしい
# 共有ファイルを減らすため利用しない
#tls-auth ta.key 0 # This file is secret
---
# systemctl start oepnvpn@server

◯クライアントを固定IPにする

# mkdir /etc/openvpn/ccd
# vi /etc/openvpn/ccd/{MA-X300の名前}
※server_ipはserver.confのserverで指定したアドレスの先頭
※client_ipは以後順次設定する
---
#             client_ip  server_ip
ifconfig-push 10.40.0.2  10.40.0.1
---

◯アクセス方法

固定グローバルIPを持つismscam_rを踏み台にしてMA(Linux)のismscamにsshする設定

~/.ssh/config
Host ismscam_r # クラウド上のサーバ
    HostName {固定グローバルIP}
    IdentityFile ~/.ssh/{固定グローバルIPを持つLinuxサーバの鍵ファイル}
    User ubuntu
    Port 22
    IdentitiesOnly yes
    HostKeyAlgorithms +ssh-rsa
    PubkeyAcceptedAlgorithms +ssh-rsa

Host ismscam # MA-X320
    HostName 10.40.0.2 ＊OpenVPNで設定した固定プライベートIP
    IdentityFile ~/.ssh/{MA(Linux)の鍵ファイル}
    User user1
    Port 22
    LocalForward    8080 192.168.25.28:8080 # MAの管理I／F
    LocalForward    8081 192.168.25.28:80   # MAのWebアプリ
    ProxyCommand ssh ismscam_r -W %h:%p
    IdentitiesOnly yes
    HostKeyAlgorithms +ssh-rsa
    PubkeyAcceptedAlgorithms +ssh-rsa

＊ssh接続

$ ssh ismscam

＊MAのWebアプリ

ssh ismscamした後、
http://localhost:8081

＊MAの管理I/F

ssh ismscamした後、
http://localhost:8080

■クライアント(MA(Linux))

◯OpenVPNインストール

# apt install openvpn easy-rsa

◯クライアント鍵ファイルをサーバ上で作成する

server # cd /etc/openvpn/easy-rsa
server # ./easyrsa build-client-full {MA-X300の名前} nopass
…パスフレーズをいれる
server # mkdir /etc/openvpn/client/{MA-X300の名前}
server # cp pki/issued/{MA-X300の名前}.crt pki/private/{MA-X300の名前}.key \
            /etc/openvpn/client/{MA-X300の名前}

◯クライアント設定ファイルをサーバ上で作成する

server # cd /etc/openvpn/client
server # vi client-base.conf
---
client
dev tun
proto udp
remote {固定グローバルIP} 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
key-direction 1
cipher AES-256-GCM
auth   SHA512
# user,groupはnobodyだとfailoverできないので設定しない
# user  nobody
# group nogroup
verb 3

◯鍵ファイルを含んだ設定ファイルを作成するスクリプト

server # vi mkovpn.bash
---
#!/bin/bash
ca_path=/etc/openvpn/easy-rsa/pki
key_path=/etc/openvpn/easy-rsa/pki/private
crt_path=/etc/openvpn/easy-rsa/pki/issued
if [ $# -ne 2 ]; then
       echo "mkovpn.sh BASE CLIENT" 1>&2
       exit 1
fi
base=$1
target=$2
cat $base
echo '<ca>'
grep -A 30 'BEGIN CERTIFICATE' "$ca_path/ca.crt"
echo '</ca>'
echo '<key>'
cat "$key_path/$target.key"
echo '</key>'
echo '<cert>'
grep -A 30 'BEGIN CERTIFICATE' "$crt_path/$target.crt"
echo '</cert>'
---
server # ./mkovpn.bash client-base.conf {MA-X300の名前} > client-{MA-X300の名前}.conf
server # mv client-{MA-X300の名前}.conf /etc/openvpn/client/{MA-X300の名前}

※{MA-X300の名前}.key/crtはコピーしたファイルではなく
　元の/etc/openvpn/easy-rsa/pkiを使っている
※client-{MA-X300の名前}.confをMA-X300の/etc/openvpnにコピーする
　＊.key、＊.crtファイルはMA-X300にコピー不要

◯クライアントでOpenVPNを起動する

サーバ側と違いログは/var/log/syslogに出力される

client # systemctl enable openvpn@client-{MA-X300の名前}
client # systemctl start openvpn@client-{MA-X300の名前}

◯MA-X300のFirewall設定

MA-X300でOpenVPNのtun0をLANとして許可しておく。WebUIでは設定できないので注意
下記設定はWebUIの[ネットワーク関係]-[Firewall設定]-[Zone設定]に相当するが、
tun0とbr+は表示されない

# vi /etc/awall/private/zone.json
---
{
  "description": "Base zones",
  "zone": {
    "LAN": {
      "iface": [
        "ppp100",
        "br+",
        "tun0"     ※この行追加
      ]
    },
    "WAN": {
      "iface": [
        "eth0",
        "ppp0",
        "ppp1",
        "eth1",
        "wlan0",
        "wwan0"
      ]
    }
  }
}

◯[ネットワーク関係]-[Firewall設定]-[Filter設定]で下記を設定する

httpはWebUI用

1	WAN	Router		            ssh		        	ACCEPT	  
2	WAN	Router		            icmp		    	ACCEPT	  
3	WAN	Router	10.40.0.1/32	http		    	ACCEPT	  
4	WAN	Router	10.40.0.1/32		 TCP	8080	ACCEPT	  
5	WAN	Router	192.168.0.0/16		 TCP	8080	ACCEPT

◯TIPS

WebUIで上記のhttp許可なく適用するとWebUIにアクセスできなくなる
sshまたはコンソールでログインして以下を実行すれば一時的にWebUIにアクセスできる
のでfilter設定をする

# iptables -P INPUT ACCEPT
# iptables -F INPUT