SoftEther VPNでLinux録画サーバを外部から接続する方法（Ubuntu・Debian編）

公開日：2015/11/01 最終更新日：2018/02/18

　SoftEther VPNを使ってLinux録画サーバを外部から接続する方法について説明します。この記事では外出先でスマホやPCからChinachu、epgrec UNAの録画予約ができることを最終目標としています。

　IPsec／L2TPにより暗号化されたVPN接続を行うので、比較的安全に外出先から家のLAN環境に接続することが可能になります。一旦VPN接続することができれば、家のLAN環境のあらゆるネットワーク機器にアクセス可能になり非常に便利です。

　本記事でSoftEther VPNサーバーをインストールするOSはUbuntuまたはDebianです。しかし、主な設定はWindowsから行います。これは、設定アプリがWindows用しか用意されていないためです（一応コマンドでも設定可能なようですが…）。Mac OSやLinuxから設定する場合、仮想環境のWindowsやWineを使用して下さい（これらの方法については説明しません）。

　Windowsからの設定方法については、後編の「Linux版SoftEther VPNのIPsec／L2TP設定方法」にて説明します。

1 注意事項
2 SoftEther VPNサーバーのインストール
3 ブリッジインタフェース設定
4 最終確認

注意事項

　最初に注意事項があります。ネットワークの設定を大幅に変更するため、よく理解しないまま進めると最悪の場合ネットワークに繋がらなくなります。

　また、中途半端に作業を投げ出してしまうとネットワークの動作がおかしくなる可能性もあります。ですので、できれば後編の記事まで読んでから試して下さい。

　一応Linux初心者でもなんとなく理解可能なように記事を書いたつもりです。ですが、確実に理解するためにはTCP/IPの基礎知識が必要です。

　家のLAN環境でルーターになんとなく接続して、よく理解しないままインターネットにつないでいる人には多分最後まで進めることは出来ないでしょう。それぐらい難しいと考えて下さい。

SoftEther VPNサーバーのインストール

　SoftEther VPNサーバーのインストールの前に環境を最新の状態にします。以降、先頭がsudoとなっている箇所は、Debianではrootユーザーで実行して下さい。

# sudo apt-get update
# sudo apt-get upgrade

  開発環境を構築していない場合、下記も実行します

# sudo apt-get install build-essential

　SoftEther VPNサーバーを以下のページからダウンロードします。

SoftEtherダウンロードセンター

　選択肢は以下を選んで下さい。もし32bit版のLinuxを使用している場合、CPUは”Intel x86 (32bit)”を選びます。

コンポーネント：SoftEther VPN Server
プラットフォーム：Linux
CPU：Intel x64 ／ AMD64 (64bit)

　本記事投稿時点のファイル名は、”softether-vpnserver-v4.19-9599-beta-2015.10.19-linux-x64-64bit.tar.gz”です。このファイルをLinuxに転送して下さい。

　ファイルを解凍し、ビルドします。

# sudo tar xvzf softether-vpnserver-v4.19-9582-beta-2015.10.06-linux-x64-64bit.tar.gz -C /usr/local
  ※解凍先を末尾の-Cオプションで/usr/local/にしているので注意

# cd /usr/local/vpnserver
# sudo make

  以下、ライセンス契約の同意を3回求められるので、
  全て1を選択します。

    Do you want to read the License Agreement for this software ?
    Did you read and understand the License Agreement ?
    Did you agree the License Agreement ?

  途中、以下のメッセージが表示されればOKです。

    'カーネル系' のチェック中...
                  [合格] ○
    'メモリ操作系' のチェック中...
                  [合格] ○
    'ANSI / Unicode 文字列処理系' のチェック中...
                  [合格] ○
    'ファイルシステム' のチェック中...
                  [合格] ○
    'スレッド処理システム' のチェック中...
                  [合格] ○
    'ネットワークシステム' のチェック中...
                  [合格] ○

　ファイルの実行権を変更します。

# sudo chmod 600 *
# sudo chmod 700 vpn*

　続いて起動設定を行います。

# sudo vi /etc/init.d/vpnserver

  起動・停止用のスクリプトの内容（後述）をコピペします。

# sudo chmod +x /etc/init.d/vpnserver
# sudo update-rc.d vpnserver defaults

  Ubuntuの場合)
    # sudo service vpnserver start

  Debianの場合)
    # /etc/init.d/vpnserver start

  "The SoftEther VPN Server service has been started."と警告されますが、
  特に気にしなくて良いです。

# pidof vpnserver

  最後に数字が2つ表示されることを確認します。

　起動・停止用のスクリプトの中身は以下です。ダブルクリックするとスクリプト全体を選択した状態になるのでCtrl+Cでコピーして下さい。

#! /bin/sh
### BEGIN INIT INFO
# Provides:          vpnserver
# Required-Start:    $network $local_fs
# Required-Stop:     $network $local_fs
# Default-Start:     2 3 4 5
# Default-Stop:      0 1 6
# Short-Description: SoftEther VPN Server
### END INIT INFO

PATH=/bin:/usr/bin:/sbin:/usr/sbin
DAEMON=/usr/local/vpnserver/vpnserver

test -x $DAEMON || exit 1

case "$1" in
  start)
	$DAEMON start
	sleep 5

	tap_dev=`/sbin/ip tuntap | awk -F: '{print $1}'`
	if [ -n "$tap_dev" ]; then
		/sbin/brctl addif br0 $tap_dev
	fi
    ;;
  stop)
	$DAEMON stop
    ;;
  restart)
    $0 stop
    sleep 3
    $0 start
    ;;
  *)
    echo "Usage: /etc/init.d/vpnserver {start|stop|restart}"
    exit 1
    ;;
esac

exit 0

ブリッジインタフェース設定

　SoftEther VPNでIPsec／L2TPによるVPN接続をする場合、ブリッジインタフェースが必要になります。インターネット側からSoftEther VPNサーバーに接続すると仮想インタフェースにIPアドレスを割り当てます。その仮想インタフェースと物理インタフェース（Ethernet）との通信の橋渡しをするのがブリッジインタフェースです。

　設定に必要なパッケージをインストールし、ブリッジインタフェースを作成します。

# sudo apt-get install bridge-utils

　続いてネットワークインタフェースの設定を変更します。下記の例は、LANに接続している物理インタフェースが”eth0”の場合にブリッジインタフェースの”br0”を追加しています。

# sudo vi /etc/network/interfaces

変更前)
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
  address 192.168.0.1
  netmask 255.255.255.0
  network 192.168.0.0
  broadcast 192.168.0.255
  gateway 192.168.0.254
  dns-nameservers 192.168.0.254

変更後)
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet manual

auto br0
iface br0 inet static
  address 192.168.0.1
  netmask 255.255.255.0
  network 192.168.0.0
  broadcast 192.168.0.255
  gateway 192.168.0.254
  dns-nameservers 192.168.0.254

bridge_ports eth0
bridge_stp off

　上記で行っているのは、”eth0”の設定を”br0”に置き換え、”eth0”は未設定の状態にしています。設定順序は”eth0”、”br0”の順に行う必要があります。最後の2行はブリッジ設定です。

　上記例は”eth0”に固定IPアドレスを設定している場合ですが、DHCP設定の場合も同様に”eth0”の設定を”br0”に置き換えます。また、通常のインタフェース名は”eth0”ではないと思うので、環境に合わせた名前に全て置き換えて下さい。

　ブリッジインタフェースを”br0”以外に変更したい場合、先ほど作成した”/etc/init.d/vpnserver”の23行目を変更して下さい。

　設定ファイルを保存したらPCを再起動します。再起動後、IPアドレスの設定を確認します。下記のように”br0”にIPアドレスが設定され、”eth0”は未設定のように表示されれば成功です（不要な情報は削っています）。

# ifconfig

br0       Link encap:イーサネット  ハードウェアアドレス 00:11:22:33:44:55
          inetアドレス:192.168.0.1  ブロードキャスト:192.168.0.255  マスク:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  メトリック:1

eth0      Link encap:イーサネット  ハードウェアアドレス 00:11:22:33:44:55  
          UP BROADCAST RUNNING MULTICAST  MTU:1500  メトリック:1
 
lo        Link encap:ローカルループバック
          inetアドレス:127.0.0.1  マスク:255.0.0.0
          UP LOOPBACK RUNNING  MTU:65536  メトリック:1

　次にブリッジ設定を確認します。”STP enabled”が”no”であること、”interfaces”に物理インタフェースの名前があることを確認して下さい。

# brctl show

bridge name     bridge id               STP enabled     interfaces
br0             8000.001122334455       no              eth0

最終確認

　以上でLinux側の基本的な設定は完了です。今までの説明で下記の確認事項に問題ないことを再度確認して下さい。一つでも駄目だとこれから先の設定は絶対にうまく行きません。

pidof vpnserverの実行結果で数字が2つ表示される
br0インタフェースが作成できている
br0インタフェースにIPアドレスが設定されている
ブリッジ設定の”STP enabled”が”no”である
ブリッジ設定の”interfaces”に物理インタフェースの名前がある

　次はWindowsにSoftEther VPNサーバー管理マネージャをインストールして最後まで設定を行います。後編の「Linux版SoftEther VPNのIPsec／L2TP設定方法」の記事で説明を続けます。

Comment

青島若葉より:

2015年12月16日 07:52

大変、参考にさせて頂いています。
順調に構築していましたが、ブリッジ設定の部分で躓いております。
ifconfigの部分でハードウェアアドレス（ＭＡＣアドレスともいうのでしょうか）がｂｒ0とeth0で違うものが出てきます。そのためか、接続がいかなかったり遅かったりしています。
brctl showでもbridge idがeth0のものではなくｂｒ0やｔａｐと同じものです。

とあるサイトではＬＡＮカードを1枚増設しなければいけないとかありますが、この場合は1枚のままでいけるのでしょうか？
詳しく教えていただければ幸いです。

返信
- yoki より:
  
  2015年12月17日 06:33
  
  青島若葉様＞
  
  とあるサイトは私も参考にした記憶があります。
  増設の代わりがブリッジインタフェースの追加に相当するので、
  LANカードの増設は必要ありません。
  実際に試した環境ではLANの接続口は1つだけのPCで確認しています。
  
  確認ですが、現状の環境はどうなっていますか？
  2枚目のLANカードを増設していますか？
  br0のハードウェアアドレス（＝MACアドレス）と同一のものが、
  `ifconfig -a`の実行結果で表示されるものの中に存在しますか？
  
  返信
  - 青島若葉より:
    
    2015年12月17日 07:10
    
    yoki 様＞
    返信ありがとうございます。
    現状は、まだＬＡＮカードの増設はしておりません。
    実行結果は次のとおりです。（不要と思われる情報は消し、一部変更し伏せてあります）
    br0 Link encap:イーサネットハードウェアアドレス 00:ｘｙ:70:99:30:a0
    inetアドレス:192.168.ｘｘ.ｙｙブロードキャスト:192.168.ｘｘ.255 マスク:255.255.255.0
    eth0 Link encap:イーサネットハードウェアアドレス 90:1ａ:0e:3b:49:ec
    lo Link encap:ローカルループバック
    tap_vpn Link encap:イーサネットハードウェアアドレス 00:ｘｙ:70:99:30:a0
    このように、br0とtap_vpnでは同じもののbr0とeth0では違うアドレスになっています。
    
    これで何かわかりますでしょうか？
    
    返信
    - yoki より:
      
      2015年12月17日 09:00
      
      青島若葉様＞
      
      最初に聞き忘れていましたが、Linux OSの種類（Ubuntu 14.04等）を教えて下さい。
      また、VMwareなどの仮想環境に構築されてないですよね？
      
      通信がおかしくなる原因は
      ARPテーブル、ルーティングテーブルなども含めて調べないと分からないと思うので、
      それらはそちらで調査して頂くしかないです。
      
      過去、色々なLinux OSで試しましたが、
      br0とeth0のMACアドレスはいつも同じだった記憶があります。
      そもそも、わざわざ設定しないかぎり
      MACアドレスはいずれかの物理的なインタフェースと同一になると思います。
      
      念のためどこかでbr0のMACアドレスを設定していないか確認してもらえますか。
      rootユーザーになって下記を実行した結果を教えて下さい。
      
      Ubuntuの場合)
      sudo -i -u root
      
      Debianの場合)
      su –
      
      find /etc -type f | xargs grep -n “br0のMACアドレス”
      
      次に/etc/network/interfacesの記述を以下の様に変更しても改善しませんか？
      
      auto lo
      iface lo inet loopback
      
      auto eth0
      iface eth0 inet manual
      
      auto br0
      iface br0 inet static
      address 192.168.0.1
      netmask 255.255.255.0
      network 192.168.0.0
      broadcast 192.168.0.255
      gateway 192.168.0.254
      dns-nameservers 192.168.0.254
      bridge_ports eth0
      pre-up ifup eth0
      post-down ifdown eth0
      bridge_stp off
      
      改善しない場合、
      ブリッジ設定を消すとeth0のMACアドレスは
      設定を消す前のeth0とbr0のどちらに一致しますか？
      
      もうひとつ、
      ifconfigで表示されるMACアドレスの先頭3バイトはベンダーコードです。
      下記のURLでeth0とbr0で一致するものはあるでしょうか？
      http://www.vor.jp/oui/oui.html
      どのベンダーに一致したかを教えていただかなくても結構ですが、
      解決の糸口にはなるかもしれません。
      
      返信
青島若葉より:

2015年12月20日 02:43

yoki 様＞
素早い返答をありがとうございます。
年末年始は会社が多忙な為、返信が遅くなることをお許しください。

使用OSはUbuntu 14.04で仮想環境にはしてありません。
ｒｏｏｔユーザーになって実行した結果ですが、自分のやり方が悪いのか特に変わりはしませんでした。
試しにＴＡＰなどの設定を消し単純な固定IPにしたらwindowsクライアント設定にも入り込めたので、ＴＡＰを作成する際に何かが悪さをしているとも思えますがどうでしょうか？
ちなみに、ＭＡＣアドレスはｅｔｈ０はマシンのメーカーの物でbr0はリストの中には存在しませんでした。

1ヶ月後にはサーバーを完成させることが目標としていますので、よろしくお願いします。

返信
- yoki より:
  
  2015年12月22日 01:05
  
  青島若葉様＞
  
  こちらで改めてSoftEther VPN接続時の状態を調べた所、
  eth0とbr0のMACアドレスが異なることが分かりました。
  正確に書くと、vpnserver起動前はeth0とbr0のMACアドレスは同じですが、
  起動後に異なります。
  どうやら、起動時にbr0のMACアドレスを設定し直しているようです。
  そのため、MACアドレスの食い違い自体は全く問題ありません。
  私自身誤った認識をしていました。
  申し訳ありません。
  
  「接続がいかなかったり遅かったり」と言う現象に絞って
  調査するのが良いと思います。
  tap作成や設定に問題があるかどうかは不明ですが、
  とりあえずログを確認してみて下さい。
  最初に書くべきでしたが、すっかりログの存在を忘れていました。
  SoftEtherをインストールしたディレクトリの下にログディレクトリがあります。
  packet_log、security_log、server_logの3種類です。
  スマホなどから接続してみて、接続がおかしい時のログを見てみて下さい。
  以下の様にすればリアルタイムでログを見ることができます。
  
  sudo tail -f server_log/vpn_20151222.log
  
  返信
  - 青島若葉より:
    
    2015年12月25日 06:19
    
    yoki 様＞
    MACアドレスが異なる事が正解であったとのことで、samba共有なども不具合を起こしていたので思い切ってクリーンインストールしてみたところ、正常に動く様になりました。
    今思えば、vpnサーバーのwindowsクライアント設定でブリッジの部分をサーバー機と全く同じアドレスにしてた気がします。
    現在は外部からも正常に接続が出来る様になりました。
    解決出来て良かったです。
    ありがとうございました。
    
    返信
青島若葉より:

2016年1月8日 05:43

解決できたかと思いましたが再び失礼します
改めて確認したところ、この外から接続したらｃｈｉｎａｃｈｕなどサーバー機そのものには接続できるものの、同一ネットワーク内にある他のNASには接続できないのと、ＶＰＮ経由でのWEB閲覧が出来ないのですが、これはｌｉｎｕｘの制限というものにあたるのでしょうか？それとも自分の設定に間違いがあるのでしょうか。

何度もすみません。よろしくお願いします。

返信
- yoki より:
  
  2016年1月8日 08:51
  
  青島若葉様＞
  
  正しく設定されている場合、同一ネットワーク内の他のNASにも接続可能です。
  もちろん、VPN経由でのWEB閲覧も可能です。
  私の環境ではAndroidとWindows 8.1で上記の動作確認をしています。
  
  IPアドレスの割当に何らかの問題があるのではないでしょうか？
  IPアドレスに何を割り当てられたかは、
  クライアント側のスマホやPCで確認するか、
  SoftEtherのインストールディレクトリ内に生成されたログで確認して下さい。
  以下はコマンドの実行例です。
  
  sudo vi security_log/VPN/sec_20160108.log
  
  返信
deco より:

2017年3月19日 15:24

ブリッジインターフェースの設定のところで困っています
osはubuntu16.04です
自分の環境ではもともと

# interfaces(5) file used by ifup(8) and ifdown(8)
auto lo
iface lo inet loopback

auto eno1
iface eno1 inet static
address 192.168.10.100
netmask 255.255.255.0
network 192.168.10.0
broadcast 192.168.10.255
gateway 192.168.10.1
dns-nameservers 192.168.10.1

でipアドレスを固定しているのですが

auto eno1
iface eno1 inet manual

auto br1
iface br1 inet static
address 192.168.10.100
netmask 255.255.255.0
network 192.168.10.0
broadcast 192.168.10.255
gateway 192.168.10.1
dns-nameservers 192.168.10.1

bridge_ports eno1
bridge_stp off

に変更すると、ubuntuからインターネットに接続できなくなります
ubuntuから同じパソコンのchinachuやlan内の他pcからchinachu
は問題なく接続できます

cat /etc/resolv.confコマンドをうつと
変更前はnameserverが表示されるのに、変更後は表示されません。
どうしたらいいかアドバイスおねがいいたします

返信
- yoki より:
  
  2017年3月20日 06:08
  
  deco様＞
  
  単純にresolv.confにnameserverを追加する方法は駄目ですか？
  
  —–
  # sudo vi /etc/resolv.conf
  以下を追加
  
  nameserver 192.168.10.1
  —–
  
  PC再起動で追加した内容が消えてしまうのなら
  別の方法を考えないと駄目ですが、
  とりあえずそれで試してみて下さい。
  
  返信
  - deco より:
    
    2017年3月20日 11:25
    
    yoki様＞
    
    ありがとうございます。resolv.confにnameserverを追加したところインターネットに接続できました。
    しかしご指摘の通りPC再起動で消えてしまいます・・・
    
    返信
    - deco より:
      
      2017年3月20日 11:46
      
      /etc/resolvconf/resolv.conf.d/baseに
      nameserver 192.168.10.1を追加して
      何回か再起動したところ、今のところ再起動後もインターネットに繋がれてます
      まだ安心はできませんが、アドバイスありがとうございました
      
      返信
      - yoki より:
        
        2017年3月20日 18:14
        
        deco様＞
        
        解決できて良かったです。
        しかし、何かこう少し消化不良な感じです。
        
        /etc/network/insterfaces の “dns-nameservers” の記述は、
        resolvconfパッケージをインストールしておかないと反映されないようです。
        ですが、/etc/resolvconf ディレクトリがあると言うことは
        インストールされているはです。
        
        調べてみたら似たような書き込みがUbuntu日本語フォーラムに上がってました。
        
        https://forums.ubuntulinux.jp/viewtopic.php?id=17345
        
        上記では/etc/resolvconf/resolv.conf.d/tailが悪さをしていたようです。
kamome より:

2017年7月7日 12:31

大変参考になりました。
ところでこれら設定でラズパイが同一ホームネットワーク内にあるときはPCにインストールしたSoftEtherVPNクライアントからラズパイに接続出来るのですが、ラズパイを遠方に設置してラズパイと接続した３G無線端末を介してホームネットワークからは接続出来ません。接続するにはどうしたらよろしいでしょうか。アドバイスいただけたら助かります。
ホームネットワークのポートは443、500,992,1701,4500,5555、開放済みです。
VPNサーバ管理画面のローカルブリッジ設定では「新しいtapデバイスとのブリッジ接続にクリックをいれ、新しいtapデバイス名蘭にもvlanと入力しています.

返信
- yoki より:
  
  2017年7月7日 21:17
  
  kamome様＞
  
  回答の前に、
  このコメント欄に書かれた内容は
  メールで私宛に通知が来るようになっています。
  お問い合わせからの送信は必要ありません。
  
  ネットワーク構成は以下で合ってますか？
  
  PC(VPNクライアント)－－－インターネット－－－3G無線端末－－－ラズパイ(VPNサーバ)
  
  お使いの3G無線端末が何なのか分かりませんが、
  この端末は常時インターネット接続で外部からアクセス可能なものですか？
  本記事で説明している方法ではグローバルIPを使用する必要があるため、
  無線端末のインターネット側のIPが
  無線端末の会社内のローカルIPになっているとおそらく駄目です。
  その場合でも記事内では無効にしたVPN Azureを有効にすると使えるかもしれません。
  私は使ったことがないので良く分かりませんが……。
  
  あと、ポート開放以外にポートフォワード設定も適切に行う必要があります。
  
  返信
  - kamome より:
    
    2017年7月7日 22:56
    
    早速のご回答ありがとうございます。
    ネットワーク構成はその通りです。無線端末はNTT　DOCOMO　のL-03Dでmopera.netに接続します。今はこの構成でVPN接続か出来るかどうか試しているところですので、常時は繋がっていません。うまくいけば将来外部から常時アクセスが出来るようにするつもりです。
    無線端末のIPアドレスを見ますと（ppp0)接続の都度変化しています。
    VPN　Azureは有効にしてあります。
    アドバイスいただいた中の「ポートフォワード設定」につきましては、知識不足でどのようにすべきか全く解りません。可能であればその要領をアドバイス賜れるものか、あるいはネット上にその解説が有るなどであればご紹介いただければ幸甚です。
    夜分のご回答感謝します。
    
    返信
    - yoki より:
      
      2017年7月8日 09:04
      
      kamome様＞
      
      VPN Azureを使う場合はポート開放が不要らしいので、
      ポートフォワード設定も必要ないかもしれません。
      
      http://www.vpnazure.net/ja/
      
      VPN Azureの設定方法は上記ページぐらいしかなさそうです。
      
      記事冒頭にも書きましたが最低限のTCP/IPの知識を身に着けてから
      設定したほうが良いと思います。
      知識不足のままどこかに書かれている通りに設定しても
      分からない事が増えるだけで良いことはありません。
      大きな書店ならコンピュータのネットワークのコーナーに
      TCP/IPの基礎知識的な本はたくさんありますので
      出来ればそこから挑戦してみて下さい。
      知識不足でテストで良い点を取ろうとするのは土台無理な話です。
      急がば回れです。
      
      返信
      - kamome より:
        
        2017年7月9日 05:59
        
        yoki様
        
        よくわかりました。
        ついつい先走って失敗してしまいます。
        読まなければならない本が解りましたので、
        スタートラインに戻って挑戦します。
        ありがとうございました。
mtk より:

2018年4月24日 00:13

こんばんは。VPNサーバを立てたいと思って頑張っていたのですが、インストールしようとバイナリを実行すると、
/usr/bin/ld: lib/libz.a(inffast.o): relocation R_X86_64_32S against `.rodata.str1.1′ can not be used when making a shared object。 -fPIC を付けて再コンパイルしてください。
と大量に出てインストールができません。環境はDebian9 、CPUはC2Q Q8400です。

返信
- yoki より:
  
  2018年4月27日 02:44
  
  mtk様＞
  
  バイナリの実行の意味が良く分からないのですが、
  makeですか？vpnserverの起動のことですか？
  
  libz.aがインストールされていないのが原因かもしれません。
  とりあえず以下を実行して再度試してみて下さい。
  
  apt-get install zlib1g-dev
  
  返信
  - mtk より:
    
    2018年4月27日 15:59
    
    あ、makeです！
    インストールしてためしてみます。
    
    返信