【Sophos】AWSに構築したVPNサーバ経由で社内PCにリモートアクセスするにはIPマスカレードを有効にする

植木和樹

2017.06.14

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

こんにちは植木和樹＠上越妙高オフィスです。クラスメソッドではリモートワークが盛んで、多くの人が自宅やコワーキングスペースで仕事をしています。特に台風の日は交通機関の乱れが予想されるため自宅勤務に切り替え、作業を行なう方が多いようです。

ただリモートワーク中でも、どうしても社内のデスクトップPC等にアクセスしなくてはならないケースがあります。そのため会社ではVPNサーバーを用意し、リモートから接続することで作業ができるようにしてあります。

背景

これまでVPNサーバーは本社サーバー室に設置していました。しかし諸々の事情によりリプレースを行なうことにしました。

VPNサーバーの保守切れ
社員数が多くなりリモート接続ユーザーも増えた（ライセンス、パフォーマンスが足りない）
物理サーバーだとメンテナンスが現地にいるメンバーしかできない（年一回のビル停電など）

そこでリプレースと合わせてAWS上にVPNサーバーを構築することにしました。VPNサーバーにはいろいろな案件で実績のあるSophos UTMを利用しました。

リモートからはSSL-VPNクライアントを起動しAWS上のVPNサーバーに接続します。その後社内PCにリモートデスクトップなどで接続すると、AWSと各拠点を繋げているVPN経由でアクセスできるという仕組みです。

環境構築

Sophos VPNサーバーの構築とVPNクライアントの設定については、過去のブログを参照してください。

【AWS】統合脅威管理「Sophos UTM」を使ってiPhoneからVPCへIPsec-VPN接続する

接続上の問題と解決方法

上記ブログの設定だけだと社内PCにはアクセスできません。SSL-VPNクライアントから社内PCには届くのですが、社内PCからSSL−VPNクライアントへ折り返しの返事ができないためです。

この問題はSophosの管理画面でIPマスカレード(IP Masquerade)を有効にすれば解決し、通信できるようになります。

IPマスカレードを有効にすることで、SSL-VPNクライアントからSophos VPNサーバーを経由して出ていく時のIPアドレスが、Sophos VPNサーバーのプライベートIPアドレスに変換されるためです。

通信できない理由

SSL-VPNクライアントと社内PCが通信できない理由は、先述したとおり「SSL−VPNクライアントがどこにいるか分からない」ためです。 VPN接続時にSophosからクライアントに払い出される仮想IP（10.242.0.0/24)宛の通信を適切に届けてあげる必要があります。

必要設定1: Sophos仮想IPアドレス(10.242.0.0/24)宛の通信をどうにかSophosに届ける

社内ネットワークでSophos仮想IPアドレス(10.242.0.0/24)をVPN越しにAWSへルーティングすれば良い気もしますが、それではうまく行きません。 AWSのVirtual Private Gateway(VPG)は 10.242.0.0/24 というネットワークを知らないためです。VPGが知っていて扱えるのはあくまでもVPCのネットワークアドレス(10.0.0.0/16)のみになります。

Sophos VPNサーバーの構築手順の中で、サブネットのルートテーブルとして 10.242.0.0/24 → SophosインスタンスのENI という設定は行いましたが、Virtual Private Gatewayではサブネットのルートテーブルは参照しません。

そのためSSL-VPNクライアントをSophosサーバーのIPアドレスとして通信をさせる必要があります。VGWが分かるネットワークのIPアドレスに変換するわけです。IPマスカレードを使うとSophos仮想IPアドレス 10.242.0.0/24 をSophosのIPアドレス（10.0.0.100/32）に「擬態」させることができます。