おはようございます！マネジメントオフィスいまむらの今村敦剛です。
この３連休、事務所のネットワーク環境をいろいろ触っていました。外部からVPN接続しようと試みていたのですが、JCOM貸与ルータ HUMAX HG100R-02JG対してはどうも外部からのVPN接続はできないようです。
JCOM貸与ルータ HUMAX HG100R-02JGに対しては外部からVPN接続できない
結論から言うと、管理画面でVPN設定の画面があるのですが、この設定はどうもHUMAX HG100R-02JGから他のVPN装置に対するIPsec VPNの設定であり、外部からHUMAX HG100R-02JGへのVPN接続はできないようです。
今回試みたのは、DDNSを使って公衆ネットワークからHUMAXへとアクセスするやり方です。HUMAXにはDDNSの設定画面がありますので（DynDNSとNo-IPの２つ）、今回はDynDNSを使ってやってみました。これ自体はうまくいき、DynDNSで設定したドメインに対してpingを打つことで、HUMAXのWAN側までpingが通ることを確認しました。
ところが問題はVPNの設定です。管理画面でVPN(IPsec)設定の画面がありますし、調べてみるとIKEv1に対応しているようです。WindowsのVPN設定で、登録したDynDNSドメインを設定し、IKEv1で接続しようとしますが、HUMAX側ではVPNユーザの設定をする機能がありませんし、証明書発行の機能もありません。仕方なく「認証なし」で突破を試みましたが、エラーにより弾かれてしまいます。ここでHUMAXをVPNサーバにして外部からアクセスする方法を断念しました。
HUMAX配下にVPNルータを設定して２重ルータで運用を試してみる
そこでまずやってみた解決策は、HUMAX配下（LAN側）にVPNルータを設定して２重ルータとして運用する方法です。
ちょうど当社のネットワークとしては、HUMAX配下にブリッジモードとしてASUSのRT-AX3000（VPNサーバ機能付き）を設置していました。RT-AX3000をルータモードにして、HUMAXのポートフォワーディング機能とDMZの設定をすれば、RT-AX3000からVPN接続できるのでは？と考えて早速やってみました。（つまり下記のようなネットワークを組みたかったわけです）
ところがRT-AX3000のWAN側（HUMAXのLAN側ネットワーク）のIPアドレスを固定（静的IP）にすると、なぜかHUMAXとRT-AX3000が通信しません。DHCPでHUMAXが割り振るIPアドレスを自動取得するとうまくいくのですが、それでも通信が切れることが何度かおき、かなり不安定でした。接続が出来ている間にHUMAXのポートフォワーディング機能とDMZの設定をしましたが、それでもうまくVPNが張れません。技術的には可能だと思うのですが、僕の知識・技術不足も原因だと思います。まあもっともポートフォワーディングの設定がうまく出来たとしても、ルータ間の接続が不安定であれば意味はないのですが。（これはルータの相性の問題かもしれません。RT-AX3000をブリッジ接続している限りでは安定はしているのですが…）
最後の手段はVPNAzureとSoftEtherによるVPN構築
上記の手段がダメだったので、他になにか手はないか……と考え、最後にはVPNAzureとSotfetherによるVPN構築に行き着きました。VPNAzureとは無料のクラウド型 VPN サービスであり、ルータ設定不要でNAT越えができるというすばらしいサービスです（それどころかルータにグローバルIPが付与されていなくてもOK）。一方SoftEtherとは仮想 LAN カードおよび仮想 HUB を実装することにより、簡易的なレイヤ 2 VPN を構築することができるソフトウェアのことです。まあVPNサーバのソフトといってもいいでしょうか。
なんでこんなことができるの？と昔のネットワークの知識しかない僕は疑問に思うのですが、VPNサーバにしたLAN内の端末が常時、クラウド側に対してTCP接続するようになっていて、外部からアクセスする端末はクラウドをめがけてVPNを張るからのようですね。
https://www.vpnazure.net/ja/より引用
で、結論としては、これで無事当事務所の環境でも、VPNが構築できて、外部からのアクセスが可能になりました😊ただ、VPNAzureを使う場合はSSTPというマイクロソフト仕様のVPNプロトコルを使う必要があるので、iOSやAndroid端末からVPN接続しようとすると、有料のアプリ（といっても300円くらい）の物が必要になりますけどね。
VPNAzureとSoftEtherの導入については、また別記事で紹介したいと思います。