Windows の受信 VPN と OpenVPN ホスト：五分で選ぶ

Windows は、オペレーティングシステム以外に何もインストールしなくても VPN 接続を受け入れられます。これは、所有する二台のマシンが半日だけトンネルを必要とするときには本当に役立ちます。ただし、役立つのはおおよそその程度の期間です。組み込みリスナーには固定のプロトコル一覧があり、クライアントごとのポリシーはなく、誰かが閉じてしまう可能性のあるデスクトップに依存しています。それと、ルーター上の端点、そして OpenVPN ホストのどれを選ぶかは、好みではなく三つの条件で決まります。

組み込みリスナーの実体

着信接続ウィザードは、ワークステーションを小さなリモートアクセス端点に変えます。どのローカルアカウントがダイヤルインできるか、アドレスをどう配布するか、どのプロトコルを有効にするかを選びます。PPTP に加え、エディションと証明書の作業が対応する場合は L2TP/IPsec または SSTP です。

それがではないものは、ポリシーの層です。ユーザーごとの経路割り当てはなく、サーバーが強制する分割トンネルもなく、トンネルとワークステーション自身のネットワーク ID の分離もありません。接続したクライアントは、ワークステーションと同じセグメントに着地し、そのセグメントのファイアウォール規則の下に置かれます。

検討すべきはこの最後の点です。ワークステーション自身のポート、共有、ブラウザーは、アカウントを持つ誰からも到達できるようになり、そのアカウントは、すでにできることすべてを備えたローカルの Windows アカウントです。

決めるのは三つの条件

アクセスをどれだけの期間維持する必要があるか、何人が必要とするか、そしてネットワークがそもそもそのプロトコルを届けられるかを尋ねてください。

答えが一台のマシン、一人の人間、そしてルーターを自分で制御するネットワークでの数時間であれば、組み込みリスナーは釣り合っています。アクセスが一か月にわたって再起動を生き延びる必要がある場合、別々の資格情報を持つ五人の同僚に提供する場合、または着信接続を受け取れないモバイルネットワークから使う場合は、そうではありません。プロトコルがポートではなく IP プロトコル 47 を必要とする場合、Windows が何をサポートしていても、ネットワークが配送を拒否することがあります。

この三つの答えで、議論の大部分は一度に消えます。残りは実装の詳細です。

ルーター上の端点が勝つ場面

ルーターで終端するトンネルは、常時アクセスに自然に向いています。ルーターはすでに常に起動しており、別の拠点へのサイト間トンネルを運べ、ルーターが利用者の使うプロトコルを提供していれば、クライアント側に何もインストールする必要はありません。

制約はファームウェアです。消費者向けルーターは仕様が許すものの一部しか対応していないことが多く、VPN 対応をうたう製品でも、計画したとおりのプロトコルが入っていないことがあります。製品ファミリーではなく、インストール済みファームウェアの機能一覧を確認してください。

OpenVPN ホストが勝つ場面

常時起動の小さなマシン上の OpenVPN サーバーは、混在するクライアント、別々の資格情報を持つ複数の利用者、そして外向きに都合のよいポートが一つあるかどうかが動作と遮断の分かれ目になるネットワークに向いています。クライアントごとにプロファイルを発行し、主要なプラットフォームすべてで動作し、クライアント側からは通常の外向きアプリケーションとして振る舞います。

同時に所有者も必要とします。証明書を更新し、ホストの更新を適用し、クライアントが接続できないときにログを読む人が要ります。その人がいなければ、自己ホストの端点は、本当に重要になる日まで静かに劣化していきます。

アクセスを約束する前に経路を確認する

Windows リスナーが失敗する最も一般的な理由は認証ではありません。経路です。PPTP は着信 TCP 1723 と GRE を必要とし、GRE はポートではなくプロトコル 47 であり、多くのルーターはポートしか転送しません。着信接続をまったく許可しないアクセス網もあります。この一つの事実が、どの Windows 設定よりも多くのネットワークで組み込みリスナーを排除します。

アカウントを設定する前に経路を試してください。失敗の候補が三つではなく一つになります：

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

一行目のポートが閉じているのは転送か事業者の問題で、Windows の問題ではありません。三行目は OpenVPN を選んだ後に行う確認で、待ち受ける UDP ポートが一つあるだけでプロトコルの問題全体が置き換わります。

どの選択肢を取るにしても、PPTP を長期的な取り決めとしてインターネットに面したままにしないでください。その認証と暗号化は時代遅れです。そして本当の必要性が一つのウェブアプリケーションなら、リバースプロキシはどの VPN よりも小さい答えです。