『ＶＰＮについて』のクチコミ掲示板

[メロンホッパー]

色々調べましたがわからないのでＶＰＮの設定について質問させてください。

ds216jにてＶＰＮサーバーのアプリにて設定を行いました。L2TPの接続をしたいと考えています。
自宅ルーターのポートも３つ（番号忘れましたが）開けましたし、事前共有キーを設定し、ローカルネットワークにてはＶＰＮ接続できることを確認できています。
しかし、外出先にてＶＰＮ接続を試みると、『Ｌ２ＴＰ−ＶＰＮサーバーが応答しませんでした。もう一度接続してください。それでも問題が解決しない場合は設定をかくにんし管理者に問い合わせてください』とエラーが出てしまいます。

何度設定のし直し、またＶＰＮサーバーのアンインストール、インストールをしても改善されない為、ご教授願えればなと思います。

書込番号：21431031

[雪割桜]

文字通り、設定が合っているかの確認ですね。

接続先のIPアドレスは合っているか？
開けているポートは合っているか？
ルータでVPNパススルーの設定はできているか？
ルータでファイアウォールが動いていないか？
プロバイダで通信に制限がかかっていないか？

思い当たるのはこれくらいです。

ローカルだと、パケットが引っかかるところがないので、設定に不備があっても動いてしまいます。
なので、ローカルで動いても、外部で動くとは限りません。

書込番号：21431186　スマートフォンサイトからの書き込み

[Excel]

わたくしも、雪割桜さんと同意見でございます。

こういう時には、自分では「こうなっているはずだ」という先入観は禁物です。
セキュリティ上問題ない部分に関しては、こう設定しましたというところを教えてください。
差し支えない範囲で、実際にこう設定されているという設定画面の画面コピーを上げていただくとより確実ではあります。

岡目八目とももうします。
自分では見えなくなっていることが、他人はあっさり気が付いてしまうということがよくあります。

書込番号：21431293

[LsLover]

『自宅ルーターのポートも３つ（番号忘れましたが）開けましたし、事前共有キーを設定し、ローカルネットワークにてはＶＰＮ接続できることを確認できています。
　しかし、外出先にてＶＰＮ接続を試みると、『Ｌ２ＴＰ−ＶＰＮサーバーが応答しませんでした。もう一度接続してください。それでも問題が解決しない場合は設定をかくにんし管理者に問い合わせてください』とエラーが出てしまいます。』

先ず、DS216jのIPアドレスは、常に同一（固定）のIPアドレスで設定されているのでしょうか?

以下の注意点は、確認されたのでしょうか?
特に、「UDP 1701、500、4500 番ポートがオープンになっていること」を確認できていますか?

L2TP/IPSec
注意：
■L2TP/IPSec を使用するには、Synology NAS が DSM 4.3 以降を起動しているか確認してください。

注意：
■VPN に接続する場合、VPN クライアントの認証および暗号化設定が VPN Server で指定した設定と同じにならなければなりません。そうしなければ、クライアントが正常に接続できません。
■Windows、Mac OS、iOS、Android オペレーティング システムで起動するほとんどの L2TP/IPSec クライアントに対応するために、デフォルトの MTU は 1400 に設定されています。複雑なネットワーク環境の場合は、小さい MTU が必要となるかもしれません。タイムアウトエラーが続いたり、接続が安定しなかったりする場合は、MTU サイズを小さくしてみてください。
■Synology NAS のポート転送とファイヤーウォール設定、およびルーターをチェックして、UDP 1701、500、4500 番ポートがオープンになっていることを確認してください。
■一部のルーターには L2TP または IPSec VPN サービスが組み込まれているため、1701、500、4500 番ポートが使用中になっている場合があります。VPN Server が正常に作動するように、ルーターの管理インターフェイスで内蔵の L2TP または IPSec VPN サービスを無効にして、VPN Server の L2TP/IPSec が機しておく必要があるかもしれません。VPN パススルー接続に対応するルーターをご使用になることをお薦めします。
https://originwww.synology.com/ja-jp/knowledgebase/DSM/help/VPNCenter/vpn_setup

L2TP/IPSecクライアント機器は、何をお使いでしょうか?
Windows VISTA以降では、NATトラバーサル機能を有効にするため、レジストリを変更する必要があるようです。

Windows Vista および Windows Server 2008 で NAT-T デバイスの背後に L2TP/IPsec サーバーを構成する方法
https://support.microsoft.com/ja-jp/help/926179/how-to-configure-an-l2tp-ipsec-server-behind-a-nat-t-device-in-windows

書込番号：21431311

[メロンホッパー]

雪割桜様
返信ありがとうございます。
接続先のIPアドレスは合っているか？
→クライアント側のサーバーのことですよね？ここはds216jで設定したDDNSのホスト名そ入れております。

開けているポートは合っているか？
→再度自宅のルーターの設定をみたところ、synologyに記載のあったL2TP用として500,1701,4500のポートは開いてます。

ルータでVPNパススルーの設定はできているか？
→ルーターの設定を確認したところPPTPパススルーにチェックが入ってます（関係ないと思いますがPPPoEパススルーは設定してないです。）

ルータでファイアウォールが動いていないか？
→ルーターのファイアウォールの設定は動かしていません。

また現在下記の設定がONになってます。
IDENTの要求を拒否する
Internet側からのPINGに応答しない
PPPoE1: Internet@Startで応答しない
PPPoE2: FLET'S Access Serviceで応答しない

ルーターはbaffaloのWSR-1166DHP2になります。

プロバイダで通信に制限がかかっていないか？
→プロバイダーはiijmioひかりを使用しており、調べてみたところ、iijmioひかりからVPNの制限はしていないとのことでした。

ご教授頂けると助かります。


Exel様
返信ありがとうございます。
設定画面の画面コピー了解です。まずどこの設定画面からお送りすればよろしいでしょうか。
宜しくお願いします。

LsLover様
返信ありがとうございます。

DS216jのIPアドレスは、常に同一（固定）のIPアドレスで設定されているのでしょうか?
→NASは固定IPアドレスの設定はしております。

特に、「UDP 1701、500、4500 番ポートがオープンになっていること」を確認できていますか?
→再度自宅のルーターの設定を確認しましたが、ポートは設定し、開いております。

L2TP/IPSecクライアント機器は、何をお使いでしょうか?
iphoneとmac book proでの使用を試みております。
サーバーにはds216jで設定したDDNSのホスト名を記入してます。
アカウント＆パスワードはds216Jのアカウント＆パスワードにしており。
事前共有キーもNASで設定した同じ文字列を使用しております。

ご教授お願いいたします。

書込番号：21432187

[雪割桜]

>ルータでVPNパススルーの設定はできているか？
>→ルーターの設定を確認したところPPTPパススルーにチェックが入ってます（関係ないと思いますがPPPoEパススルーは設定してないです。）

多分、これが原因ですね。
やろうとしていることはL2TP/IPSecですが、PPTPは別物です。
また、WSR-1166DHP2では、L2TP/IPSecのVPNパススルーに対応していないみたいです。

書込番号：21432423

[メロンホッパー]

雪割桜様
返信ありがとうございます。

要するにこのルーターではds216jでVPNができないということでしょうか？

書込番号：21432431

[雪割桜]

ちょっと補足です。
仮に、L2TP/IPSecのVPNパススルーができていたとしても、
そもそもVPNサーバーを見つけられていないので、他にも設定に不備があります。
この場合だと、DDNSの名前解決ができているのか気になります。
DDNSに問題がなければ、やはりポート開放に不備があると思われます。

書込番号：21432440

[雪割桜]

時間差で失礼します。

>要するにこのルーターではds216jでVPNができないということでしょうか？

いいえ、理論上は、PPTPを使えば、VPNを構築できます。

書込番号：21432454

[メロンホッパー]

雪割桜様
返信ありがとうございます。
言われた通り、DDNSの見直し（ステータス正常となってます）と、ポート開放の確認（UDP500,1701,4500)を再度行いiphoneにてVPNの接続を試みましたができませんでした。。。

書込番号：21432524

[LsLover]

『また、WSR-1166DHP2では、L2TP/IPSecのVPNパススルーに対応していないみたいです。』

雪割桜さん

メロンホッパーさんのケースの場合、DS216j上のL2TPサーバのWAN側にWSR-1166DHP2を設置している状況のようです。

VPNパススルーについては、VPNクライアント側でNATルータが設定されている場合、このNATルータで「VPNのためのパケットはそのまま通過させるという機能が必要とされ、これがVPNパススルーと呼ばれる。」ということではないのでしょうか?

VPNパススルー 【 VPN pass-through 】
インターネットとLANの境界に位置するルータには、グローバルIPアドレスとプライベートIPアドレスを変換するNATなどの機能でLAN内のマシンからインターネットへの接続を仲介するが、LAN内のマシンが外部のネットワークとVPNを構成して通信を行いたい場合、NATなどのアドレス変換が行われるとVPN通信がうまくいかない場合が多い。

このため、VPNのためのパケットはそのまま通過させるという機能が必要とされ、これがVPNパススルーと呼ばれる。VPNにはIPsecやPPTP、L2TPなどのプロトコルが使われるが、VPNパススルーを行うためには基本的にはこれらに個別に対応する必要があるため、どのプロトコルのパススルーに対応しているか確認する必要がある。
http://e-words.jp/w/VPN%E3%83%91%E3%82%B9%E3%82%B9%E3%83%AB%E3%83%BC.html

RTシリーズのIPsec&IKE&VPN&...に関するFAQ
VPNパススルー(IPsecパススルー)に対応していますか？
一般に、VPNパススルー、またはIPsecパススルーと呼ばれている機能は、 NATの壁を貫通してVPNを張る仕組みです。 もっと技術的に書くと、 NATの内側(プライベートアドレス空間)にあるルータや端末が、 NATの外側とVPNを構成するときに、 その通信(IKEパケットとESPパケット)をNATで変換する仕組みをさします。
RTシリーズでは、1台のルータ、もしくは1台の端末について、 VPNパススルーに対応します。
http://www.rtpro.yamaha.co.jp/RT/FAQ/IPsec/faq_2_k.html

利用例1
本機器に接続した複数のIPsec機器/PPTPクライアントから、1つのIPsec機器/PPTPサーバーに接続する場合。
（例）自宅からインターネット経由で会社のネットワークにアクセスする場合など
「利用例1」の構成のように、複数のIPsec機器から1台のIPsec機器に接続してIPsecパススルーをご利用になる場合は、本機器の「IPsecパススルー機能」を「使用する」に設定する必要があります。
http://support.eonet.jp/connect/net/multi_bbr/eo-rt100/fun/vpn.html

書込番号：21433889

[LsLover]

メロンホッパーさん

『iphoneとmac book proでの使用を試みております。』

iPhoneとMac Book Pro側のNATルータにもWSR-1166DHP2を使用されているのでしょうか?

書込番号：21433901

[LsLover]

『再度自宅のルーターの設定を確認しましたが、ポートは設定し、開いております。』

一旦、DS216jのIPアドレスをDMZに設定（DMZアドレスにDS216jのIPアドレスを入力）しては、如何でしょうか?
この設定後、DS216jのVPNサーバに正常に接続できた場合には、ポート開放の設定に不具合があるかと思います。

DMZ（P43）
DMZのアドレス：ポート変換テーブルに設定されていないパケットの転送先IPアドレス
を設定します。（RIPプロトコル（UDPポート番号520）のパケットは、転送されません）

http://manual.buffalo.jp/buf-doc/35020918-04.pdf

書込番号：21433980

[雪割桜]

＞LsLoverさん
私の解釈では、WSR-1166DHP2の後ろにDS216jがいると解釈しています。
となると、WSR-1166DHP2でNAPTがかかるので、VPNを貼るには、VPNパススルーが必須と解釈しています。

>メロンホッパーさんのケースの場合、DS216j上のL2TPサーバのWAN側にWSR-1166DHP2を設置している状況のようです。
この一文の意味がよくわかりません。
L2TPサーバのWAN側とは何でしょうか？

＞メロンホッパーさん
どうしても駄目な場合は、LsLoverさんのおっしゃるとおり、DS216jを「一時的に」DMZに置くのも一つの手です。
DMZに置いてVPNサーバに接続できるのであれば、ポートの開放の仕方が間違っているとわかります。

書込番号：21434411　スマートフォンサイトからの書き込み

[LsLover]

添付画像�@	添付画像�A

雪割桜さん

『私の解釈では、WSR-1166DHP2の後ろにDS216jがいると解釈しています。
　となると、WSR-1166DHP2でNAPTがかかるので、VPNを貼るには、VPNパススルーが必須と解釈しています。』

NATについては、以下を参照ください。
サーバ側（グローバルIPアドレス側）では、「WSR-1166DHP2でNAPTがかかる」のようなアドレス変換は発生しません。
以下のページの最初の図（添付画像�@）のように、NATルータのLAN側の送信元アドレス"192.168.0.1"をNATルータのWAN側IPアドレス"100.1.1.1"に置き換えて、サーバへパケットを送信します。
サーバ側からのパケットについては、２番目の図（添付画像�A）のように、宛先IP"100.1.1.1"をLAN側で"192.168.0.1"に変換します。

『>メロンホッパーさんのケースの場合、DS216j上のL2TPサーバのWAN側にWSR-1166DHP2を設置している状況のようです。
この一文の意味がよくわかりません。』

VPNサーバDS216j側のルータWSR-1166DHP2では、IPヘッダが取り除かれますので、WAN側のデータパケットをポート開放（転送）でLAN側の機器に転送されるだけで、「WSR-1166DHP2でNAPTがかかる」という処理は発生しません。

NAT （ Network Address Translation ）
◆NATとは
NAT（Network Address Translation）はIPアドレスを変換する技術です。一般的には、プライベート
　IPアドレスをグローバルIPアドレスに変換する技術とされています。インターネットでは、グローバル
　IPアドレスを使用して構築したネットワークですが、企業ネットワークでは、プライベートIPアドレス
　を使用して構築されたネットワークなので、企業LANネットワークのクライアントPCがインターネット
　接続する場合、プライベートIPアドレスをグローバルIPアドレスに変換（NAT）をする必要があります。
◆NATの特徴
　NATでは一般的にIPパケットのヘッダ内にある送信元IPアドレスを変換します。企業ネットワークでは
　送信元IPアドレスがプライベートIPアドレスなので、NATによってグローバルIPアドレスに変換します。

　NATでは、企業内LANのクライアントPCに割り当てられたIPアドレスを変換してインターネット通信が
　行われることから、セキュリティが向上する利点がある一方、アプリケーションによりNAT変換による
　通信では正常に動作しない問題点もあります。※　L3ではなくL7のデータ部にもIP情報がある場合です。
　【最初の図（添付画像�@）】

　NATでは内部（企業内LAN）ネットワークから外部（インターネット）ネットワークへ、パケットが送信
　される時は、IPパケットのヘッダ内にある送信元IPアドレスが変換されるが、下図のように外部から内部
　へパケット（サーバからの返信パケット）が送信される時は宛先IPアドレスが変換されることになります。
　【2番目の図（添付画像�A）】

http://www.infraexpert.com/study/ip10.html

書込番号：21434580

[雪割桜]

＞LsLoverさん
なるほど、よくわかりました。
スレ主さんのネットワーク環境がわからないので、お互い、全然違うネットワーク図を想像しているみたいです。
私は、スレ主さんのVPNサーバー（DS216j）は家庭内にあって、プライベートIPアドレスが振られていると想定しています。
VPNサーバー（DS216j）にグローバルIPアドレスがあるとは考えていません。

＞メロンホッパーさん
確認ですが、VPNサーバーとなるDS216jは、家庭内にあって、プライベートIPアドレスが振られていますでしょうか？
ルータは、WSR-1166DHP2で間違いないでしょうか？
仮にその場合、再三の確認となりますが、
１．DDNSに登録しているドメインの名前解決を行った時、自宅ルータのグローバルIPアドレスを取得できているか？（nslookupコマンドなどで確認できます）
２．ポートは開いているか？（ルータの設定を確認するだけでなく、外部からポートスキャンしてみてください）
３．WSR-1166DHP2では、L2TP/IPSecパススルーに対応していないので、仮に１と２をクリアしてもL2TP/IPSecで通信できません。
４．L2TP/IPSecではなく、PPTPを使用して、VPNを構築し直してみてください。（DS216jはPPTPにも対応しています）

なお、DS216jにグローバルIPアドレスが振ってあるなら、想定と異なるので、１〜４をすべて無視し、ネットワーク環境を詳しく書いてみてください。

書込番号：21435139

[LsLover]

『再度自宅のルーターの設定を確認しましたが、ポートは設定し、開いております。』

実際にインターネット側からUDPパケットを送出して、VPNサーバ側で正しくLAN上でUDPパケットが到達しているか確認した方が宜しいかと思います。

UDPはTCPと異なりコネクションを張るという概念がないので、ポート確認は面倒な手順が必要のようです。

UDPポートチェックツール
https://www.akakagemaru.info/port/udp_port.html

書込番号：21435269

[メロンホッパー]

ポート確認	ルーターポート開放設定	VPNパススルー設定	DDNS

皆さま返信ありがとうございます。

現在のds216jの環境は

NCU--------------ルーター（wsr-1166dhp2）----------- ds216j となります。
　　　　　　　　　　　　　　　　　　　　 l
----------- mac book , iphone


ポートが確実に開いているか確認してくださいとのことでしたので、ポート確認したら閉じてると表示されてしまいました。（添付）
しかし、ルーターの設定ではポートを開放しております（添付）
またVPNパススルー画面も添付します（添付）

ds216jにはプライベートIPアドレスを設定しており、　コントロールパネルの外部アクセス、DDNSタブの外部アドレスはグローバルIPアドレスが書かれております。

これはやはりポートが開いていないためVPNを構築できていないということで間違いないのでしょうか？
ルーターの設定で開いたつもりだったのですが、なぜ開いていないのかがわかりません。

ご教授お願いいたします。

書込番号：21439073

[LsLover]

『これはやはりポートが開いていないためVPNを構築できていないということで間違いないのでしょうか？
　ルーターの設定で開いたつもりだったのですが、なぜ開いていないのかがわかりません。』

機種は異なりますが、設定方法は参考になるかと思います。
繰り返しとなりますが、UDPはTCPと異なりコネクションを張るという概念がないので、ポート確認は面倒な手順（UDPポートチェックツール）が必要のようです。

WZR-1166DHP2 ポート開放
ポート開放手順

以上で作業完了です、こちらのUDPポート開放チェック(*1)で手動ポート19132又は10800と入力して回線チェックで手動ポート利用可とあればオンラインで楽しむことが出来ます。
https://www.akakagemaru.info/port/1166dhp2-portfw.html

*1
UDPポートチェックツール
https://www.akakagemaru.info/port/udp_port.html

因みに、添付画像（2/4）によれば、WebDAVや設定画面へのTCPポート開放も設定されているようですが、
TCPポート番号：5005
TCPポート番号：5006
TCPポート番号：80
などは、添付画像(1/4）のサイトで確認して開放されているのでしょうか?

書込番号：21439690

[宮のクマの雅]

＞メロンホッパーさん

こんにちは。

[21439073]にアップされてた「ルーターポート開放設定」を拝見しましたが、
UDP 1701、500、4500 番ポートの開放設定は確認できますが、
ESP（50番プロトコル）のフォワード設定が確認できません。

追加で、「任意」のプロトコル番号50番をNASに向けてください。
（TCPやUDPの50番ポートじゃないですよ）

書込番号：21445776

[メロンホッパー]

＞LsLoverさん
＞宮のクマの雅さん

返信ありがとうございます。また連絡が遅くなってきまい申し訳ございません。プロバイダーの変更でいま家にネット環境がなくなってしまい、1/5に再開通予定ですのでその際ご指示いただいたこと行い、再度投稿させていただきます。宜しくお願いします。

書込番号：21459413　スマートフォンサイトからの書き込み

[メロンホッパー]

＞LsLoverさん
遅くなり申し訳ございません。
再度設定をしましたが、UDPがどうしても開放されません。
貼っていただいたURL通り設定してますが（ただタブをTCPからUDPに変更するだけなので）ポート開放サイトでグローバルIPをいれポート番号を入れても閉じているとなります。
教えて頂いたポート開放exeはmacでは使えないのでポート開放サイトを使ってます。
ちなみに同サイトで他のTCPチェックをしたら開放されているとなっています。

＞宮のクマの雅さん
遅くなり申し訳ございません。
ESP　５０　開放とのことですが、添付写真でよろしいんでしょうか。
ちなみにこの設定を反映させてもなおVPN接続ができません。

書込番号：21516859

[LsLover]

『再度設定をしましたが、UDPがどうしても開放されません。』

FAQを検索して見ましたが、何もヒットしませんでした。

https://help.iijmio.jp/app/answers/list/search/1/kw/%E3%83%9D%E3%83%BC%E3%83%88%E9%96%8B%E6%94%BE%E3%80%80UDP/search/1/session/L3RpbWUvMTUxNjEzOTI2NC9zaWQvNEI4MVFXQ24%3D

VPNクライアントは、どこの回線を使用してInternetに接続しているのでしょうか?

書込番号：21433980に従ってDS216jをDMZに置いて、VPNサーバに接続できるか確認しては如何でしょうか?

http://bbs.kakaku.com/bbs/K0000862886/SortID=21431031/#21433980

書込番号：21517150

[メロンホッパー]

＞LsLoverさん
返信ありがとうございます。
DMZにds216JのIPを登録、設定反映させ、クライアント（iphone)で接続を試みましたができませんでした。
iphoneは先日インターネットのプロバイダーをbiglobe光に変えたついでにbiglobe モバイルに変更しております。
iphoneのL2TP設定画面ではサーバーはDDNSのホスト名、アカウントとパスワードはsynologyログインのアカウントとパスワード。シークレットはds216jのVPN serverで設定したシークレットを使用し、すべての信号を送信をONにしております。
他になにか考えられる原因はありますか教えていただけると助かります。

書込番号：21517961

[LsLover]

『DMZにds216JのIPを登録、設定反映させ、クライアント（iphone)で接続を試みましたができませんでした。
　iphoneは先日インターネットのプロバイダーをbiglobe光に変えたついでにbiglobe モバイルに変更しております。』

SIMを変更しないとVPN接続できないようです。

【お知らせ】「BIGLOBEモバイル」サービスの名称変更について
2017年9月28日 掲載
従来のサービス名称：BIGLOBE LTE・3G
新しいサービス名称：BIGLOBEモバイル
http://support.biglobe.ne.jp/news/news577.html

【お知らせ】「BIGLOBE LTE・3G」「BIGLOBE 3G」IPアドレス付与方式の変更について
IPアドレス付与方式の変更について
現在、お客さまの利用機器には「グローバルIPアドレス」が付与されていますが、2017年1月中旬より、これを順次「プライベートIPアドレス」へ変更します。
■実施時期
2017年1月中旬
http://support.biglobe.ne.jp/news/news519.html

BiglobeのSIMでInternet接続はできるがVPN接続できない
http://ict-kuwa.net/tech/shared_ip/

VPNはルーターのパススルーを使っていないか確認を
VPN（virtual private network）を利用しているユーザーが，キャリア・グレードNATを使うインターネット接続サービスに移行する場合も要注意です。こうしたユーザーは，ファイアウォールなどのゲートウエイ装置で「VPN/IPsecパススルー」という機能を有効にして，VPNのトラフィックを通過させるのが一般的です。

　ところが，キャリア・グレードNATを介してインターネットに接続するようになると，VPN/IPsecパススルーでブロードバンド・ルーターを通過できても，再度プロバイダ側で実施するNATがあるため，結果的にはやはり通信できなくなります。キャリア・グレードNATには，VPNパススルー機能はありません。

　このためユーザーは，IPsecを利用する場合には，IPsecのパケットをUDPパケットにカプセル化して送る「NAT Traversal」を利用するといった対策が必要になります（図2）。
http://itpro.nikkeibp.co.jp/article/COLUMN/20090304/325917/?rt=nocnt

書込番号：21518066