MacをL2TP/IPsecのVPNサーバー化、テザリング接続のMacBook AirからVPN接続: あれやこれや備忘録

2012年1月24日 (火)

MacをL2TP/IPsecのVPNサーバー化、テザリング接続のMacBook AirからVPN接続

元々Snow LeopardにはVPNサーバー機能があるのだがユーザーインタフェースが実装されていない。VPN Activatorを使えばこのL2TP/IPsecのVPNサーバー機能を有効にすることが出来る。

VPN Activatorを設定するとともに、外部からVPN接続するためのパケットをMacBook Proにフォワードするようにルーターに設定すること。RT57iの場合は静的マスカレードをポート番号がUDP 500,1701,4500を、宛先がMacBook ProのIPアドレスで設定すれば良い。これは他のルーターも同様。この機能をポートフォワードとかポートマッピングと書いている機種もあるがほぼ同内容の設定をすれば良いだろう。
VPN ActivatorにはPPTPサーバー機能も実装されているので、PPTPサーバーとしても使用する場合にはTCPの1723を同様に設定する（PPTPはYAMAHAルーターで行うので1723は設定していない）。

一回VPN ActivatorでVPNサーバー機能を有効にしてしまえば、その後Macを再起動しても有効のままとなる。無効にするためには再度VPN Activatorを起動してオフにする必要がある。

iPhoneの設定ではL2TPを選択してアカウントはUser nameに設定した値を、パスワードはPasswordに設定した値を、シークレットにはShared Secretに設定した値を入力する。その他はPPTP接続用の設定と同じ。

PPTP・L2TP/IPsecのいずれでもテザリング時の動作は以下のとおり。

テザリングしている状態でiPhone（テザリングサーバー）からVPNを張ることも出来るが、その場合はMacBook Air（テザリングクライアント）からVPN内にアクセスすることは出来ない。VPN内にアクセス出来るのはiPhone（VPNクライアント）のみ。
これはテザリングがモデムとして動作する機能であって、ルーター機能ではないからだ（だからBluetoothやUSB接続経由でもテザリング共有が可能）。WiFi経由で接続しているからほぼルーターとして動作しているように見えるだけ。
VPN接続しているiPhoneからwww.apple.comにアクセスしたとする。この場合、経路はiPhone→VPN経由→LANのルーター→ルーターが接続しているプロバイダ→apple.comとなる。
同時にこの状況でiPhoneにテザリング接続しているMacBook Airからwww.apple.comへアクセスすると、MacBook Air→iPhone→キャリア（つまり3G回線）→apple.comとLANを経由しない。

MacBook Air（テザリングクライアント）からLAN内にVPNでアクセスするためには、iPhoneとテザリングで接続した後に、MacBook Air（VPNクライアント）からVPNを張る必要がある。
この場合はVPN経路を張っているのはMacBook AirなのでIPhoneはLANにアクセスすることは出来ない。
MacBook Airはインターネットに接続する際にはVPNを抜けてルーター経由でアクセスし、iPhoneは直接3G回線からインターネットにアクセスすることになる。

どちらの接続方法でもインターネットには両端末とも接続出来るが、LANに接続出来るのはどちらか1台ということになる。
どうしてもテザリング中のiPhoneとMacBook Airの両方からLANに接続したければ、iPhoneからVPN接続をすると同時に、MacBook AirからもVPN接続をすることになる。この場合1つの3G回線上に2つのVPNを張ることになるので、反応（伝送効率）は悪くなる。

VPNクライアントとしてMacBookの代わりにiPadを利用する際も同様。

VPN接続したMacBook Airから画面共有を使ってMacBook Proに接続するためには画面共有.app（Screen View.app）を使用する。画面共有.appは/System/Library/CoreServices/に格納されているが、Finderの[接続 ]-[サーバへ接続…]で「vnc://xxx.xxx.xxx.xxx（xxx.xxx.xxx.xxxはMacBook ProのIPアドレス）」を設定すると画面共有.appが起動して接続を行う。
MacOSはMac間の名前解決にBonjourを使用しているため、vnc://macbookproのようにLAN上で接続するような名前を指定した接続は出来ない。