Elastic Compute Service:CentOS 7インスタンスでPPTP VPNサーバーとPPTP VPNクライアント間の接続を設定するにはどうすればよいですか。

背景情報

ポイント・ツー・ポイント・トンネリング・プロトコル (PPTP) は、VPNで使用するためにポイント・ツー・ポイント・プロトコル (PPP) に基づいて開発されたネットワーク・トンネリング技術である。 PPTPサーバーにダイヤルアップしてPPP接続を確立し、PPTPネゴシエーションを実行してクライアントとサーバー間にトンネルを作成し、PPPネットワーク制御プロトコル (NCP) ネゴシエーションを実行してVPNのIPアドレス範囲からクライアントにIPアドレスを割り当てます。 割り当てられたIPアドレスを使用して、VPN内で通信できます。 このようにして、インターネット経由でVPNへの安全なトンネルまたは接続を確立できます。

PPTP VPNサーバーの設定

PPTP VPNサーバーとして使用するCentOS ECSインスタンスに接続し、次の手順を実行してPPTP VPNサーバーを設定します。 ECSインスタンスへの接続方法については、「インスタンスへの接続」をご参照ください。

PPTPの設定

1. PPTP VPNサーバーをインストールします。

   前提条件で準備したECSインスタンスで次のコマンドを実行して、PPTP VPNサーバーをインストールします。

   yum install -y ppp pptpd

2. PPTPデーモン (pptpd) の設定ファイルを変更します。

   IPアドレスをPPTP VPNサーバーのクライアントに割り当てることができるCIDRブロックを指定します。 これにより、サーバーに接続された各デバイスが一意のIPアドレスを取得できるようになります。

   1. vim /etc/pptpd.confコマンドを実行して設定ファイルを開き、次の設定をファイルに追加します。

      localip 192.168.0.1
      remoteip 192.168.0.230-238

      説明

      • localipパラメーターには、PPTP VPNサーバーのアドレスを指定します。 ほとんどの場合、サーバーのプライベートIPアドレスを指定することをお勧めします。 実際のビジネスシナリオに基づいてlocalipパラメーターを設定します。

      • remoteipパラメーターには、PPTP VPNサーバーのクライアントにIPアドレスを割り当てるCIDRブロックを指定します。 IP競合を防ぐには、CIDRブロックのIPアドレスが他のデバイスで使用されていないことを確認します。 実際のビジネスシナリオに基づいてremoteipパラメーターを設定します。

   2. 設定ファイルの内容を確認してください。 次の図は、上記の設定を追加した後の設定ファイルの内容を示しています。

      

3. ドメインネームシステム (DNS) 設定を構成します。

   PPTP VPNサーバーに接続されているクライアントがドメイン名を解決できるようにするには、DNSサーバーを追加します。

   1. vim /etc/ppp/options.ppt pdコマンドを実行して /etc/ppp/options.ppt pdファイルを開き、次の設定をファイルに追加します。

      ms-dns 223.5.5.5
      ms-dns 223.6.6.6

      説明

      223.5.5.5および223.6.6.6は、Alibaba CloudパブリックDNSサーバーのIPアドレスです。 ビジネス要件に基づいて、ms-dnsを他のDNSサーバーのIPアドレスに設定できます。

   2. ファイルの内容を確認してください。 次の図は、上記の設定を追加した後のファイルの内容を示しています。

      

4. ユーザーを作成します。

   クライアントID認証用のユーザーを作成します。 クライアントがPPTP VPNサーバーに接続されると、サーバーはクライアントのID認証を実行して、許可されたユーザーのみがダイヤルアップまたはネットワーク接続を介してシステムにアクセスできるようにします。

   1. vim /etc/ppp/chap-secretsコマンドを実行して、pptpdプロセスのユーザー名とパスワードを設定します。 ビジネス要件に基づいて、<Username> pptpd <Password> <IP address> 形式のアカウントを /etc/ppp/chap-secretsファイルに追加します。 項目をスペースで区切り、各行にアカウントを1つだけ追加します。

      説明

      例: テストpptpd 123456 * 。 アスタリスクのワイルドカード文字 (*) は、すべてのIPアドレスを示します。

      test pptpd 123456 *

   2. ファイルの内容を確認してください。 次の図は、上記の設定を追加した後のファイルの内容を示しています。

5. 最大伝送ユニット (MTU) を変更します。

   MTUは、ネットワークパフォーマンスの最適化、セグメントの削減、データ伝送効率の向上に使用されます。

   1. vim /etc/ppp/ip-upコマンドを実行して /etc/ppp/ip-upファイルを開き、次の設定をファイルに追加してMTUを変更します。

      ifconfig ppp0 mtu 1472

   2. ファイルの内容を確認してください。 次の図は、上記の設定を追加した後のファイルの内容を示しています。

6. PPTPを開始します。

   次のコマンドを実行してPPTPを起動し、システム起動時にPPTPを起動するように設定します。

   systemctl start pptpd
   systemctl enable pptpd.service

IP転送の有効化

システムがIP転送を実行できるようにするには、次の手順を実行します。

1. 次のコマンドを実行して、IP転送を有効にします。

   echo "net.ipv4.ip_forward = 1" >>/etc/sysctl.conf

2. sysctl.conf設定ファイルの内容を確認してください。 次の図は、上記の設定を追加した後の設定ファイルの内容を示しています。

3. 設定を有効にするには、sysctl -pコマンドを実行します。

iptablesファイアウォールの設定

iptablesファイアウォールを使用して、受信および送信ネットワークトラフィックを制御するルールを構成できます。 たとえば、インターネットアクセス用に単一のIPアドレスを共有するように複数のコンピューターを構成できます。

1. ファイアウォールを無効化します。

   systemctl stop firewalld
   systemctl mask firewalld

2. iptablesサービスをインストールします。

   yum install -y iptables-services
   

3. iptablesサービスを起動し、システム起動時に開始するようにサービスを設定します。

   systemctl start iptables
   systemctl enable iptables

4. PPTP接続を許可するルールを追加します。

   # Accept new TCP connection requests on port 1723.
   iptables -I INPUT -p tcp --dport 1723 -m state --state NEW -j ACCEPT 
   
   # Allow the Generic Routing Encapsulation (GRE) protocol. The IP protocol number of GRE is 47.
   iptables -I INPUT -p gre -j ACCEPT
   

5. iptables転送ルールを追加して、送信元アドレスのマスカレードを実装します。 192.168.0.0/24を、IPアドレスがPPTP VPNクライアントに割り当てられるCIDRブロックに置き換えます。

   iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE

6. NAT転送ルールを追加して、クライアントCIDRブロックからのパケットの送信元IPアドレスを特定のパブリックIPアドレスに変換します。 192.168.0.0/24を、IPアドレスがPPTP VPNクライアントに割り当てられるCIDRブロックに置き換えます。 XXX.XXX.XXX.XXXを、PPTP VPNサーバーが存在するECSインスタンスのパブリックIPアドレスに置き換えます。

   iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to-source XXX.XXX.XXX.XXX

7. 設定を保存します。

   service iptables save

8. iptablesサービスを再起動します。

   systemctl restart iptables

PPTP VPNクライアントの設定

よくある質問