『内部からのSSL証明ドメインへのアクセス方法』のクチコミ掲示板

[たてしな藍]

自宅のにてダイナミックドメインを取得し、SSL証明書をインストールしWEBサーバとMAILサーバを立ち上げています。
なので、外部からアクセスする場合はhttps://でのアクセスが可能なのですが、内部からそれらにアクセスしようとする場合外部ドメイン名でアクセスするとネームの解決が出来ずに接続出来ず、さらにはローカルIPで接続しようとすると、証明書が間違っているので安全ではないと警告が出ます（⇒もちろん無視して接続は出来るのですが毎回警告されるので面倒)
そこで下記の事を試してみたのですがうまくいかないので簡単な方法があればご教授いただけませんか？


＜試した事＞
●名前の解決に自前でDNSを立ち上げてみた→しかし、このTPLinkのルーターではDHCPでIPを割り振る時にDNS情報も送ろうとすると同じIPアドレス層に置いたDNSは指定出来ないと言われる(ルーターが192.168.1.1の時、DNSは192.168.1.2に置くなど、同じ層には配置すると指定出来ない)

●自宅ネットワーク上で自前のMAILサーバを利用する端末が複数台あるので、1台1台直接DNSを設定してみた

●ローカルIPアドレスで接続してセキュリティー無しで接続して使ってみた


＜結局何がしたいか＞
内部の端末(ＬＡＮ接続のＰＣやＷＩＦＩ接続のスマホ)からも外部ドメインでアクセス出来るようにしたいという事です。



※自宅ではないのですが、某所でも同じような構成を構築していて、その時はNETGEARのルーターでDHCP設定に普通に同じ階層に立てた自前DNSを指定出来たので内部からも外部ドメインでSSL接続出来ました。
せっかく買ったTP-ｌｉｎｋのルーターを変えたくない為、このルーターを使用して何か方法はないでしょうか？

書込番号：24011024

[ムアディブ]

自前でローカルに建ててないので実績があるわけじゃないですが、、、

>その時はNETGEARのルーターでDHCP設定に普通に同じ階層に立てた自前DNSを指定出来たので内部からも外部ドメインでSSL接続出来ました。

で、

>●自宅ネットワーク上で自前のMAILサーバを利用する端末が複数台あるので、1台1台直接DNSを設定してみた

で解決しない理由が分からないんですが、このときのDNSは

>●名前の解決に自前でDNSを立ち上げてみた

このサーバを指してますか?
あるいは、nslookupしたときに本当にこのローカルDNSサーバにアクセスに行ってますか?

って辺りかなぁ。

まぁ、どうしてもDHCPでないとダメだと言うなら (考えにくいですが) DHCPサーバも建てちゃうんですかね。

書込番号：24011043

[たてしな藍]

お返事ありがとうございます。

PC端末１台１台に直接ＤＮＳ設定をすれば、その端末は外部ドメインでも接続出来ます。
ただ利用端末の中にはスマホ等もあり台数が結構あるので、今後の端末増減などを考えて
出来ればＤＨＣPで自動にしておきたいです。
他にどうしても手が無い場合はムアディブさんの仰る通りDHCPサーバを立てるしかないでしょうかね..
接続端末の管理をビジュアル的にTP-linkのこのルーターで管理していたものでこのまま利用出来れば助かります。
別に立ててもいいのですが、極力必要のないサーバは立てたくなかったもので。。

書込番号：24011086

[Excel]

ワタクシ、クワシクは調べたりはしていないんっすけど・・・、
たんに、「自宅内で」開くだけってことならばっすね、「FireFox」ブラウザでやると、

「警告: 潜在的なセキュリティリスクあり」画面で、
「詳細情報」「危険性を承知で続行」
ってすると、「サーバー証明書」が、自動的に保存されて、「次からは」単純にひらけるんでないのかしら。

余計なことは、なーんもいらないみたいっすよ。(^^)v

「安全な接続ができませんでした」
「接続中止: 潜在的なセキュリティ問題」
https://support.mozilla.org/ja/kb/secure-connection-failed-error-message?as=u&utm_source=inproduct

だけんど、ケッコー、いい加減かもしれないっす。(;^_^A

書込番号：24011293

[Excel]

んでも、端末、いーっぱいあるんっすよね・・・やっぱダメかしら。(*_*;

書込番号：24011302

[たてしな藍]

＞Excelさん
＞ムアディブさん

お返事ありがとうございます。
ブラウザはPCで使用する場合Chromeのみなんです。。Chomeの場合は開いても毎回警告が出るので困ってました(面倒で汗)
そして、一番困ってるのは実はスマホからの接続なんですよ。
スマホで自前のMAILサーバを使う時にアカウント設定時、popやsmtpにドメインを設定すると接続は外部からでないといけないし（４G接続）、WIFI接続では繋がらない。
逆に直接ローカルIPでpopやsmtpを設定してしまうと、WIFIからは繋がれど外出した時に外部からは使えない。。
それとメールの場合どうしてもPOP995やSMTP587で接続したいのでやはり外からも家の中でも常に証明書登録しているドメイン接続をしたかったのです。

家族や知人の使用する端末の台数が多いのですが、とりあえずは手動でスマホのWIFI設定をDNSだけ自前のDNSを指定してあげました。
これで一応はスマホをWIFIに接続した場合でもpopやsmtpへドメイン指定での接続が出来る為セキュリティーを保ったまま４GとWIFIの切り替えを気にしないで使えるようになりました。

最終的には、近いうちにDHCP立てて自動的に自前のDNSアドレスを配布し、自前DNSで当ドメインの正引きを．．それ以外はプロバイダのDNSで再帰クエリ―を解決する流れで設定します。これで端末のクライアント側は無設定で接続出来るようにしたいと思います。

※ブラウザの方は実は信頼済みサイトへの登録などでローカルIP（192.168.1.2等）を登録して警告をスルー出来たらいいなぁ・・なんて思っていたのですが、調べても出来なかった為ここで聞いてみました。
それにしても、Acrher AX6000は同セグメントにはDNSが置けないとは(訂正：置く事は出来るけど同セグメントのDNSは指定出来なかった)・・ルーターではよくある事なのでしょうか？？

書込番号：24011406

[LsLover]

『出来ればＤＨＣPで自動にしておきたいです。』

ということであれば、Archer AX6000のDHCPサーバを利用するところですが、

『●名前の解決に自前でDNSを立ち上げてみた→しかし、このTPLinkのルーターではDHCPでIPを割り振る時にDNS情報も送ろうとすると同じIPアドレス層に置いたDNSは指定出来ないと言われる(ルーターが192.168.1.1の時、DNSは192.168.1.2に置くなど、同じ層には配置すると指定出来ない)』

と不要なチェックにより、LAN内のDNSサーバが登録できないのであれば、自前でDHCPサーバを立ち上げる必要があるかと思います。

書込番号：24011424

[羅城門の鬼]

>●名前の解決に自前でDNSを立ち上げてみた→しかし、このTPLinkのルーターではDHCPでIPを割り振る時にDNS情報も送ろうとすると同じIPアドレス層に置いたDNSは指定出来ないと言われる(ルーターが192.168.1.1の時、DNSは192.168.1.2に置くなど、同じ層には配置すると指定出来ない)

もしもレンタルのHGWがあって、ルータ機能を持たせられるのなら、
HGW側のセグメントにDNSサーバを置いてみてはどうですか。

書込番号：24012262

[たてしな藍]

＞羅城門の鬼さん

お返事ありがとうございます。
実はau光回線なので、レンタルのルーターを使用していて現在は下記のような構成です

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 (192.168.1.2固定)
　　　　　　　　　　　　　　　　　　　　　　　 　　 　　　　　 　　　　　 　　　　　　　　　┏ 自前DNS+WEBサーバ+MAILサーバ
ONU ━ Aterm BL900HW　　━　　　　　　　　　　　AX6000　　　　　　　　　　　┻ 各端末
　　　　　DHCP(192.168.0.1)　　　　(192.168.0.2固定)/DHCP(192.168.1.1)　　　（192.168.1.100〜）


実はずいぶん前に下記の構成で一度試したんですが

　　　　　　　　　　　　　　　　　　　　(192.168.0.3固定)
　　　　　　　　　　　　　　　　 　┏ 自前DNS+WEBサーバ+MAILサーバ
ONU ━ Aterm BL900HW　　┻　　　　　　　　　AX6000　　　　　　　　　　━ 各端末
　　　　　DHCP(192.168.0.1)　　(192.168.0.2固定)/DHCP(192.168.1.1)　　（192.168.1.100〜）


その時に何か問題があって（急ぎで試した為よく覚えてない）途中で構築やめました
時間があったら、もう一度別セグメントにサーバを移して試してみようかと思います。

書込番号：24012693

[LsLover]

横から申し訳ありません。

『　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 (192.168.1.2固定)
　　　　　　　　　　　　　　　　　　　　　　　 　　 　　　　　 　　　　　 　┏ 自前DNS+WEBサーバ+MAILサーバ
ONU ━ Aterm BL900HW　　━　　　　　　　　　　　AX6000　　　　　　　　　　　┻ 各端末
　　　　　DHCP(192.168.0.1)　　　　(192.168.0.2固定)/DHCP(192.168.1.1)　　　（192.168.1.100〜）
』

BL900HWの[静的ルーティングエントリ追加]で、以下の設定をされているのでしょうか?

[静的ルーティングエントリ追加]
▶宛先IPアドレス：192.168.1.0/24
▶ゲートウェイ：192.168.0.2
https://www.aterm.jp/function/guide23/web-data/j-all/bl/k/8w_m30.html

書込番号：24012734

[LsLover]

図が崩れてしましましたので、訂正します、申し訳有りませんでした。

【誤】
『　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 (192.168.1.2固定)
　　　　　　　　　　　　　　　　　　　　　　　 　　 　　　　　 　　　　　 　┏ 自前DNS+WEBサーバ+MAILサーバ
ONU ━ Aterm BL900HW　　━　　　　　　　　　　　AX6000　　　　　　　　　　　┻ 各端末
　　　　　DHCP(192.168.0.1)　　　　(192.168.0.2固定)/DHCP(192.168.1.1)　　　（192.168.1.100〜）
』
【正】
『　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 (192.168.1.2固定)
　　　　　　　　　　　　　　　　　　　　　　　 　　 　　　　　 　　　　　　　　　　　　　 　┏ 自前DNS+WEBサーバ+MAILサーバ
ONU ━ Aterm BL900HW　　━　　　　　　　　　　　AX6000　　　　　　　　　　　┻ 各端末
　　　　　DHCP(192.168.0.1)　　　　(192.168.0.2固定)/DHCP(192.168.1.1)　　　（192.168.1.100〜）
』

書込番号：24012746

[羅城門の鬼]

>時間があったら、もう一度別セグメントにサーバを移して試してみようかと思います。

そうですね。
この構成だと一応はAX6000の制限を回避できるはずですので。

書込番号：24012787

[たてしな藍]

＞LsLoverさん

お返事ありがとうございます。

＞BL900HWの[静的ルーティングエントリ追加]で、以下の設定をされているのでしょうか?

今は出先なもので、自宅に帰って確かめてみないとわかりませんが、もしかしたらその設定はしていないかもしれません。
確か、DMZサーバとして192.168.0.2を指定しただけかも。

書込番号：24012794

[たてしな藍]

＞羅城門の鬼さん
＞LsLoverさん

そういえば、前に別セグメントにDNSを置いて試した時に、BL900HWルーターとAX6000ルーター
それぞれに静的ルーティング設定をした覚えが無いです．．多分（急いでて疎覚えなので少し曖昧です）
新たにDHCPを立ち上げるよりこちらの方が確実に思えてきました！

書込番号：24012829

[LsLover]

『確か、DMZサーバとして192.168.0.2を指定しただけかも。』

ルーチングテーブルを考慮すると、BL900HWの設定で[静的ルーティングエントリ追加]の設定する方が良いのではと思います。。

『時間があったら、もう一度別セグメントにサーバを移して試してみようかと思います。』

『　　　　　　　　　　　　　　　　　　　　(192.168.0.3固定)
　　　　　　　　　　　　　　　　　 　┏ 自前DNS+WEBサーバ+MAILサーバ
　ONU ━ Aterm BL900HW　　┻　　　　　　　　　AX6000　　　　　　　　　　━ 各端末
　　　　　DHCP(192.168.0.1)　　(192.168.0.2固定)/DHCP(192.168.1.1)　　（192.168.1.100〜）』

このケースの場合でも、「自前DNS+WEBサーバ+MAILサーバ(192.168.0.3固定)」でも、StaticRouteを設定する必要があります。
# route add 192.168.1.0 255.255.255.0 192.168.0.2 eth0

書込番号：24012838

[たてしな藍]

＞ムアディブさん
＞Excelさん
＞羅城門の鬼さん
＞LsLoverさん

時間がなくてDNSサーバの移転作業が遅くなりました。
一応、別のセグメントに移してから再設定してみたところ無事に外部（インターネット）からも
内部（自宅内ネットワーク）からもドメインでの接続を確認できました。
これで安心してWebサーバ、Mailサーバ共SSL接続が出来るようになりました。

ですが、ここで謝らせて頂きます。。
やはりルーターでDHCP時に同セグメントに設置したDNSを指定出来ないような制限はおかしいと思い、
設定を見直していたところDHCPの設定のところで普通に同セグメントにあるDNSを指定する事が出来ました。
ずっと勘違いしていたのはAX6000のDHCP設定ではなく、WAN側の設定のDNS設定を自動取得か手動設定かで
無理やり内部のDNSサーバを手動設定しようとしておりました。。出来るわけがないわけです。。

こんな初歩的なミスでお騒がせしましたが、このルーターでも安心してサーバーを外部及び内部に公開でき、
どちらからもSSL接続可能だという事をお知らせします。
私のようにうっかりミスをする方は居られないと思いますが、もしつまづいてる方がおられましたら安心して下さい。簡単に出来ます。

ここでお答え頂いた方々、本当にお騒がせしました。ありがとうございました！

※あ、と内部からもドメイン指定でSSL接続をしたい方は、正引き設定をした自前DNSの用意とドメインの証明書のインストールはしっかりして下さいね。一応。

書込番号：24020532

[LsLover]

『このルーターでも安心してサーバーを外部及び内部に公開でき、
　どちらからもSSL接続可能だという事をお知らせします。』

問題が解決できたようで何よりです。

書込番号：24020726

[羅城門の鬼]

>一応、別のセグメントに移してから再設定してみたところ無事に外部（インターネット）からも
内部（自宅内ネットワーク）からもドメインでの接続を確認できました。
これで安心してWebサーバ、Mailサーバ共SSL接続が出来るようになりました。

解決出来たようで良かったですね。

書込番号：24021312