I: はじめに

表１．通信の種類と性格
　　 　

１: 専用線を導入（公官庁・銀行・企業向け） LAN・ 専用線 ・LAN	安全（◎）・安定（◎）・低速・極高価
２: VPN専用装置を導入（企業向け） LAN・VPN装置・ファイアウォール -- インターネット -- ファイアウォール・VPN装置・LAN	安全（○）・安定（○）・高速・高価
３: VPN機能付BBルータ を導入(ＳＯＨＯ向け) LAN・VPN機能付BBルータ -- インターネット -- VPN機能付BBルータ・LAN	安全（△）・安定（○）・高速・手が届く価格 機器の価格と性能によって速度とセッション数が決まる
４: OS実装のソフトを使いPPTPパススルールータを使う（個人向け） LAN (VPN Client)・ルータ -- インターネット -- ルータ・LAN (VPN Server)	安全（△）・安定（○）・高速・廉価・面白い NAT を越えるためセッション数 1 、 DIY でやれば費用は無料

２００１年１２月末現在、米国内で販売されている個人・家庭用の VPN サーバ機能付き BB Routerの価格は 300.00 - 170.00 米ドル程度にまで下がっているようですが、スループットはルータが内蔵するマイクロプロセッサに依存する為 600Kbps 前後 と言われています。

II: 低コストかつフレキシブルなインターネットVPN

現行の OS には単独で VPN が構築できるようにセキュリティ・プロトコルを実装しているものがあり ます。こうしたものを利用すれば VPN 装置を導入することなく、最低限のコストでVPN環境が構築出来 ます。ただし、安定性は OS に左右されますが W2K や WXP は相当に安定性を増して来ており、実用 可能です（２００５年７月１４日現在）。

III: Windows を用いた 双方向 Pass-Through PPTP 接続の設定方法

１：クライアント PC (W2K/XP Pro)
スタート・設定・コントロールパネル・ネットワークとダイアルアップ接続・新しい接続の作成・ネットワークの接続ウィザードの開始・ 次へ・インターネット経由でプライベートネットワークに接続する・次へ・最初の接続にダイアルしない・次へ・接続先のアドレス（相手 ルータの Global IP Address を入れる)・・・　後は指示に従っていけば完了します。

２：クライアント側ルータ
Bフレッツ100Mbps用 NTT製レンタルのB-PON型 HA 加入者回線終端装置 (B-ONU) と Linksys社製(Cisco Systems) の FTTH/ADSL Firewall Router、モデル：BEFSR41C-JP V2 (BB ルーター)、 を使用しました。 この機種は IP マスカレードパススルー（PPTP and/or IPSec）の設定が極めて容易でありまた SmileCAM の画像をUL & DL に成功した実績があります。FTTH の場合は実質固定ですが、ADSL の WAN 側 IP アドレスは 頻繁に変わるのでDynDNS.org等でDDNS の設定を行い、変わるたびに
クライアントソフトで自動更新するようにします。静的IP マスカレード転送はWAN側 1723ポートに到達したTCPをPPTPサーバの1723ポートに転送するように設定します。B'フレッツに変更したら WAN 側 IP アドレスは実質固定になりましたが、ルーター設定は以前のままで使用しています。

３：サーバ側ルータ
CATV 30Mbps Modem に繋がる Linksys社製(モデル BEFSR41C-JP V2) BB ルーターに同様の設定を行いました。JCOM 側はそのポリシーに より実質固定に近いですが、念のため同様に DDNS の設定を実行してあります。

４：サーバ PC (W2K Pro)
スタート・設定・コントロールパネル・ネットワークとダイアルアップ接続・新しい接続の作成・ネットワークの接続ウィザードの開始・ 次へ・着信接続を受け付ける・・・　後は指示に従っていけば完了します。

なおこのシステムで、クライアント・サーバ間に ISDN MN128SOHOSL10 x 2 を用いたダイアルアップ VPN 接続を行い、VNC を用いサーバ 側 PPTP クライアントプログラムを DDNS 経由で既接続クライアント機に対して実行したところ、既接続クライアント側にも着信接続が 確認されました。その後帰宅して、サーバ側（子羊-JCOM）からクライアント側（ADSL)に PPTP 接続を確認しました。両側に PPTP パス スルールータが設置されていれば機器の相性にもよりますが、どちら側からでも繋がることが確認されました。

図１．OSI ネトワーク階層・ VPN 関連プロトコル・ソフトウェアの関係

	OSI ネットワーク階層	VPN 関連プロトコル	VPN ソフトウェア
1	アプリケーション層	SSH	OpenSSH
2	プレゼンテーション層
3	セッション層
4	トランスポート層	TCP, UDP	CIPE, VTun, Zebedee
5	ネットワーク層	IP, IPSec	pipesec, FreeS/WAN, W2K・WXP（実装）
6	データリンク層	PPTP , L2F, L2TP	PoPToP, W2K・WXP（実装）
7	物理層

V: トンネリングについて

元の LAN に関するルーティング情報はカプセル化・暗号化されて VPN データ部分に内包されるので、普通のルーターは情報を読み出す 事が出来ずルーティングが出来ません。パケットは迷子になりネゴシエーションは失敗します。ルーターにVPN 機能をインストールする 事によってルーティングが可能となり、ネゴシエーションが成功してハンドシェイクが成立します。

図２．PPTP パケットの構造

VPN データ

========

>>>>>

５： データ ４： IP, IPX, NetBEUI ヘッダ ３： PPP ヘッダ ２：GRE ヘッダ

１： 配送ヘッダ

IV: 両端に W2K Pro を用いたリモートアクセス Pass-through PPTP VPN の構築

Apr 13 13:08:34 hayashi kernel: Packet log: input ACCEPT eth1 PROTO=6 xx.xx.xx.xx:61152 xx.xx.xx.xx:1723 L=48 S=0x00 I=978 F=0x4000 T=113 SYN (#7)
Apr 13 13:08:34 hayashi kernel: ip_masq_gre(): creating GRE masq for 192.168.xx.xx -> xx.xx.xx.xx CID=C000 MCID=1BDF
Apr 13 13:11:32 hayashi httpd[2696]: connect from 192.168.xx.xx
Apr 13 13:11:38 hayashi httpd[2700]: connect from 192.168.xx.xx

クライアント側のルータは UPnP 対応ファームにアップデートして、UPnP・マスカレードパススルー・マスカレードタイマの設定を行う と通信が出来ますが、タイマが最短の 5分 に設定してあってこの間は排他が効いて他のマシンは切断されます。　これはサーバからの 切断ログです。

Apr 26 15:07:49 hayashi kernel: Packet log: input ACCEPT eth1 PROTO=6 xx.xx.xx.xx:60748 xx.xx.xx.xx:1723 L=48 S=0x00 I=26639 F=0x4000 T=113 SYN (#8)
Apr 26 15:07:49 hayashi kernel: ip_masq_gre(): creating GRE masq for 192.168.xx.xx -> xx.xx.xx.xx CID=0 MCID=53DF
Apr 26 15:07:57 hayashi kernel: ip_masq_pptp_tcp(): CALL_DISCONNECT_NOTIFY xx.xx.xx.xx -> xx.xx.xx.xx CID=0 MCID=DF53

この例では、図３のようにもとの IP, IPX, NetBEUI データと PPP ヘッダは暗号化されて GRE ヘッダでカプセル化され、新しい PPTP 用 の IP ヘッダと PPP ヘッダを付加されて発信側ルータを通過してインターネットに出ます。　そして Global IP で指定された着信側 ルータに到着し内部の VPN サーバに転送されて、配送ヘッダ、GRE ヘッダを脱ぎ捨てて暗号が解読され、着信先 LAN に入ります。　 NetBEUI が両端にインストールされ、かつ「着信接続」・プロパティ・ネットワーク・NetBEUI プロトコル・プロパティ に「呼び出し元に ローカルエリアネットワークへのアクセスを認める」にチェックを入れると、「コンピュータの検索」で PC2 を参照出来るようになります。 WXP を VPN クライアントとして PPTP VPN 接続が成立した時の クライアント PC のログ はこの様になります。

なお、ipconfig で確認するとクライアント・サーバ共に NIC は１枚挿しで複数の IP アドレス取得が成立し稼動しています。 しかし、 VPN サーバがリースした VPN アドレスと LAN アドレス間のルーティングが出来ないために、VPN クライアントから LAN アドレスに ping を打っても unreachable となります。

図３．リモートアクセス Pass-Through PPTP VPN の概念図

発信元クライアント PC	(Bフレッツ側ルータ)	(CATV側ルータ)	VPN サーバ (着信先 PC1)	着信先 PC2
VPN: 192.168.90.101 Eth: 192.168.60.**		WAN Global IP --> Eth: 192.168.70.**	VPN: 192.168.90.100 Eth: 192.168.70.**	Eth: 192.168.70.**

PPP ヘッダ

VPN

IP ヘッダ

VPN

GRE ヘッダ

VPN

暗号化された PPP ヘッダ（PPP スタブ）

VPN

Ethernet

暗号化された IP, IPX, NetBEUI データ

VI: 実効速度

通信回線の LAN-WAN 間公称速度、実効速度はで表１のようになりました。

表１．通信回線の LAN-WAN 間公称及び実効速度（2004年7月5日現在）

	キャリア	公称上り速度（実効）	公称下り速度（実効）
1	CATV	2Mbps (1.7Mbps)	30Mbps (21.0Mbps)
2	B'flets	100Mbps (6.3Mbps)	100Mbps (43.5Mbps)

VPN のボトルネックが ADSL 上り 992Kbps から CATV 1.7Mbps に改善したので VPN でファイル転送に要する時間が半分に短縮しました。理論値と だいたい合致しています。
また、 Line Speed tester と言うソフトを 使用して各種 ISP から DL 速度を測定した結果は下表の通りです。ボトルネックが CATV の下り 公称8Mbps であった時代の測定値です。

表２．Line Speed Tester で測定した下り実効速度（2003/01/08 AM6:30-9:30 測定）

PC JCOM-CATV(下り8M) 2K P3-1Ghz dual XP Ce-1Ghz 98SE Ce-1.1Ghz OS による速度差 isp-ASAHI 3.6 / 3.5 (Mbps) 3.5 / 3.5 (Mbps) 2.7 / 2.5 (Mbps) 98SE / XP = 73% 2K = XP isp-Hi-Ho 4.5 / 4.3 (Mbps) 4.4 / 4.4 (Mbps) 1.8 / 1.9 (Mbps) 98SE / XP = 42% 2K = XP

OS の違いが速度差に表れる。

PC ACCA(OCN)-ADSL(下り12M) XP P3-733Mhz XP Ce-1Ghz XP Ce-950Mhz 98SE P2-450Mhz OS による速度差 isp-ASAHI 3.0 / 3.0 (Mbps) 3.0 / 3.0 (Mbps) 3.0 / 3.0 (Mbps) 2.3 / 2.3 (Mbps) 98SE / XP = 77% isp-Hi-Ho 3.0 / 3.0 (Mbps) 3.0 / 3.0 (Mbps) 3.0 / 3.0 (Mbps) 1.7 / 1.7 (Mbps) 98SE / XP = 57%

OS が同じだと CPU クロック差は無視できる。

VPN サーバ機のスペックは W2K Faith Inspire Dual P3_1GHz 、RAM_512MB ；反対側 IIS サーバ機の スペックは WXP MSI Single Celeron_1GHz 、RAM_512MB であり、IIS のルートフォルダに適当な大きさ の JPEG 画像を置き反対側にダウンロードして Line Speed Tester を用い、 ADSL-->CATV の速度を計測 しました。また、 Dual P3_1Ghz 機に VPN と IIS を走らせ CATV-->ADSL の速度を計測しました。
　　 　　 　　 　

表３．Pass-Through PPTP の スループット （2003年1月10日16:30 現在）	１回目	２回目	３回目	４回目	５回目
ADSL --> CATV (Kbps) Ce_1G to P3_1G_dual	741	728	729	680	725
CATV --> ADSL (Kbps) P3_1G_dual to Ce_1G	950	982	981	968	970
CATV --> ADSL (Kbps) P3_1G_dual to P3_733M	917	934	990	891	934

１．　J-COM のルータ使用に関する条件：　平成14年2月から自由化・許可制となり、届け出ると新たにドメイン名が付与された。しかし与え られた（ホスト名・ドメイン名）で ping が通らず、WAN 側 IP アドレスを逆引きすると全く異なる（ホスト名・ドメイン名） が表示される事実を報告すると、何を使っても良い事になり実質的に ACCA/OCN と同条件。期待できるサポートは WAN 側接続確認まで。

２．　ACCA/OCN のルータ使用に関する条件：　月500円のモデムレンタル料さえ払っていれば、ブリッジ接続、他機種への交換は自由。 期待できるサポートは WAN 側接続確認まで。

VII: 制限事項

２．　Windows VPN が稼動中は、その PC 上のその他 TCP/IP 通信（メール、ウェブ閲覧など）は不通になります。

３．　静的IPマスカレード転送はWAN側 well-known port に到達した全てのTCPをPPTPサーバの1723ポートに転送するように設定 します。 設定がうまく行くと１セッションの制限は有るものの365日24時間あたかも専用線で繋がったように快適な2拠点間双方向 PPTPトンネルが完成します。

４．　WXP は NetBEUI がサポートされない ので、必要な場合は自分で CDROM からインストールします。これでローカルエリア接続・プロパティ・プロトコルに NetBEUI が追加 されます。しかし、VPN のダイアルアップ・プロパティ・ネットワークに NetBEUI は追加されません。

VIII: IPSec について

また、 LinkSys ルータには IPsec ゲートウェイ機能が標準で内蔵されており、設定が正しければ IPsec 接続が成立するはずです が、これも成功しておりません。原因として、CATV 側ルータの MAC アドレス偽称、CATV 内部のフィルタリング等により IKE 認証が 阻害される為と推定しています（２００４年７月２１日現在）。

E-mail to Dr. Hayashi @ 林整形外科