📢 Webサイト閉鎖と移転のお知らせ
このWebサイトは2026年9月に閉鎖いたします。
新しい記事は移転先で追加しております。（旧サイトでは記事を追加しておりません）
| (同じ利用者による、間の2版が非表示) | |||
| 237行目: | 237行目: | ||
ファイアウォールルールをWireGuardサーバに追加するため、/etc/wireguard/wg0.confファイルの最下行に、以下に示す設定を追記する。<br> | ファイアウォールルールをWireGuardサーバに追加するため、/etc/wireguard/wg0.confファイルの最下行に、以下に示す設定を追記する。<br> | ||
sudo vi /etc/wireguard/wg0.conf | sudo vi /etc/wireguard/wg0.conf | ||
<br> | |||
<syntaxhighlight lang="ini"> | |||
# /etc/wireguard/wg0.confファイル | # /etc/wireguard/wg0.confファイル | ||
| 248行目: | 249行目: | ||
PreDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE | PreDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE | ||
PreDown = ip6tables -t nat -D POSTROUTING -o eth0 -j MASQUERADE | PreDown = ip6tables -t nat -D POSTROUTING -o eth0 -j MASQUERADE | ||
</syntaxhighlight> | |||
<br> | <br> | ||
<code>PostUp</code>キー値は、WireGuardサーバが仮想VPNトンネルを開始するときに実行される。<br> | |||
上記の例では、3つのufwルールとiptablesルールが追加される。<br> | 上記の例では、3つのufwルールとiptablesルールが追加される。<br> | ||
<br> | <br> | ||
| 262行目: | 264行目: | ||
*: このルールは、マスカレードを設定して、wg0 VPNインタフェースから侵入してくるIPv6トラフィックを書き換えて、WireGuardサーバのパブリックIPv6アドレスから直接発信されているように見せかける。 | *: このルールは、マスカレードを設定して、wg0 VPNインタフェースから侵入してくるIPv6トラフィックを書き換えて、WireGuardサーバのパブリックIPv6アドレスから直接発信されているように見せかける。 | ||
<br> | <br> | ||
<code>PreDown</code>キー値は、WireGuardサーバが仮想VPNトンネルを停止するときに実行される。<br> | |||
これらのルールは、<code>PostUp</code>キー値の逆で、VPNが停止された時にVPNインターフェイスの転送ルールとマスカレードルールを元に戻す働きをする。<br> | |||
<br> | <br> | ||
どちらの場合も、VPNに適したIPv4ルールとIPv6ルールを含むか含まないか、設定を編集する。<br> | どちらの場合も、VPNに適したIPv4ルールとIPv6ルールを含むか含まないか、設定を編集する。<br> | ||
例えば、IPv4のみを使用しているのであれば、<code>ip6tables</code>コマンドで行を除外することができる。<br> | |||
逆に | 逆に IPv6のみを使うのであれば、<code>ip6tables</code>コマンドだけを含むように設定を編集する。<br> | ||
<br> | <br> | ||
<code>PreDown</code>キー値の<u>ufw 〜</u>と記述している設定は、IPv4とIPv6のネットワークの組み合わせに関係なく存在する必要がある。<br> | |||
<br> | <br> | ||
WireGuardサーバのファイアウォール設定の最後は、WireGuard UDPポート自体とのトラフィックを許可することである。<br> | WireGuardサーバのファイアウォール設定の最後は、WireGuard UDPポート自体とのトラフィックを許可することである。<br> | ||
また、WireGuardサーバの/etc/wireguard/wg0.confファイルでポートを変更しなかった場合、デフォルトで使用されるポートは<code>51820</code>である。<br> | |||
もし、別のポートを使用する場合は、必ず<code>ufw</code>コマンドを実行して、該当ポートを置き換えること。<br> | |||
<br> | <br> | ||
また、SSHのポートを開放すること。<br> | |||
sudo ufw allow 51820/udp | sudo ufw allow 51820/udp | ||
sudo ufw allow OpenSSH | sudo ufw allow OpenSSH | ||
| 304行目: | 306行目: | ||
ファイアウォールルールを設定した後、WireGuardサービス自体を起動してピア接続をリッスンすることができる。<br> | ファイアウォールルールを設定した後、WireGuardサービス自体を起動してピア接続をリッスンすることができる。<br> | ||
<br> | <br> | ||
==== 構築 ステップ6 : WireGuardサーバーの起動 ==== | ==== 構築 ステップ6 : WireGuardサーバーの起動 ==== | ||
WireGuardは、組み込みのwg-quickスクリプトを使用して、systemdサービスとして実行するように設定できる。<br> | WireGuardは、組み込みのwg-quickスクリプトを使用して、systemdサービスとして実行するように設定できる。<br> | ||
| 664行目: | 667行目: | ||
<br> | <br> | ||
WireGuardサーバからピアの設定を完全に削除する場合は、削除するピアの公開鍵を正しく置き換えて、以下に示すコマンドを実行する。<br> | WireGuardサーバからピアの設定を完全に削除する場合は、削除するピアの公開鍵を正しく置き換えて、以下に示すコマンドを実行する。<br> | ||
sudo wg set wg0 peer < | sudo wg set wg0 peer <ピアの公開鍵の内容> remove | ||
# 実行例 | # 実行例 | ||
sudo wg set wg0 peer PeURxj4Q75RaVhBKkRTpNsBPiPSGb5oQijgJsTa29hg= remove | sudo wg set wg0 peer PeURxj4Q75RaVhBKkRTpNsBPiPSGb5oQijgJsTa29hg= remove | ||
<br> | <br> | ||
通常、ピアの設定を削除する必要がある場合は、そのピアがもう存在しないか、暗号化キーが漏洩または変更された場合のみである。<br> | <u>※注意</u><br> | ||
そうでない場合は、設定を残しておいたほうがよい。<br> | <u>通常、ピアの設定を削除する必要がある場合は、そのピアがもう存在しないか、暗号化キーが漏洩または変更された場合のみである。</u><br> | ||
そのように運用することにより、ピアはその都度キーや<code>allowed-ips</code>を追加しなくても、VPNに再接続できるようになる。<br> | <u>そうでない場合は、設定を残しておいたほうがよい。</u><br> | ||
<u>そのように運用することにより、ピアはその都度キーや<code>allowed-ips</code>を追加しなくても、VPNに再接続できるようになる。</u><br> | |||
<br><br> | <br><br> | ||