携帯にxperia acroを使ってるんですが、自宅PC(NASとか）へのアクセスのために、pptpを使って
vpn接続した場合、十数分ぐらいで切断されてしまいます。
どうも、androidにpptpバグがあるっぽいandroid 2.3.7だと直ったようですが手元のxperia acroは、2.3.3・・・。次に携帯買うときはspモードかもしれないし、その場合pptpサポートされませんし・・・。ので、pptpの代わりにL2TP/IPsecを使うことにしました。
１万以下で買えるルータでL2TP/IPsec使えるものがなさそうなので、
余っていた昔のノートPC(Let’s note T2)にソフトウェアルータ(vyatta)をインストールして、
ネットワーク組みました。記録のため、ここに書いときます。
vyattaのネットワーク構成
- eth2からpppoeでプロバイダに接続
- eth0から自宅内LANに接続
- zoneをinside, local-zone(=vyatta), outsideに分けてfirewall設定
- outside -> local-zoneの通信は、ssh, L2TP/IPsecのみ許可
- DDNS更新サービスを起動することで、グローバルIPが変わっても同一ドメイン名でoutsideからアクセスできるようにする（事前にDynDNSにドメイン作った）
- DNSは、Google Public DNS(8.8.8.8, 8.8.4.4)
ネットワークを図にすると以下の通りです。
xperia acroから、グローバルIP(私はapnにmopera使ってます）でL2TP/IPsec vpn接続＆通信はできました。とりあえず動いたから満足した。
vyattaの設定として、nat-traversal有効(かつ、udp 4500開放)にしてあるので、たぶんspモード(ローカルIP付与されたxperia acro)でもつながるでしょう。
設定内容は以下の通り。MACとか見せたくないので、[dummy]に編集してあります。
$ show configuration
firewall {
all-ping enable
name inside_to_vyatta {
default-action drop
rule 1 {
action accept
protocol all
}
}
name outside_to_vyatta {
default-action drop
rule 1 {
action accept
protocol all
state {
established enable
related enable
}
}
rule 20 {
action accept
destination {
port ssh
}
protocol tcp
state {
new enable
}
}
rule 30 {
action accept
destination {
port 500
}
protocol udp
state {
new enable
}
}
rule 40 {
action accept
destination {
port 4500
}
protocol udp
state {
new enable
}
}
rule 50 {
action accept
destination {
port 1701
}
ipsec {
match-ipsec
}
protocol udp
state {
new enable
}
}
rule 60 {
action accept
protocol esp
state {
new enable
}
}
}
name to_inside {
default-action drop
rule 1 {
action accept
protocol all
state {
established enable
related enable
}
}
}
name to_outside {
default-action drop
rule 1 {
action accept
protocol all
}
}
name vyatta_to_inside {
default-action drop
rule 1 {
action accept
protocol all
}
}
}
interfaces {
ethernet eth0 {
address 192.168.1.1/24
description INSIDE
duplex auto
hw-id [dummy]
smp_affinity auto
speed auto
}
ethernet eth1 {
duplex auto
hw-id [dummy]
smp_affinity auto
speed auto
}
ethernet eth2 {
description OUTSIDE
duplex auto
hw-id [dummy]
pppoe 0 {
default-route auto
mtu 1492
name-server auto
password ****************
user-id [dummy]
}
smp_affinity auto
speed auto
}
loopback lo {
}
}
service {
dns {
dynamic {
interface pppoe0 {
service dyndns {
host-name [dummy]
login [dummy]
password ****************
}
}
}
forwarding {
cache-size 150
listen-on eth0
system
}
}
nat {
rule 1 {
outbound-interface pppoe0
type masquerade
}
}
ssh {
disable-password-authentication
port 22
protocol-version v2
}
}
system {
config-management {
commit-revisions 20
}
console {
}
host-name vyatta
login {
user ssh-forward {
authentication {
encrypted-password ****************
plaintext-password ****************
public-keys [dummy] {
key ****************
type ssh-dss
}
}
level operator
}
user vyatta {
authentication {
encrypted-password ****************
public-keys [dummy] {
key ****************
type ssh-dss
}
}
level admin
}
}
name-server 8.8.8.8
name-server 8.8.4.4
ntp {
server 0.vyatta.pool.ntp.org {
}
server 1.vyatta.pool.ntp.org {
}
server 2.vyatta.pool.ntp.org {
}
}
package {
auto-sync 1
repository community {
components main
distribution stable
password ****************
url http://packages.vyatta.com/vyatta
username ""
}
}
syslog {
global {
facility all {
level notice
}
facility protocols {
level debug
}
}
}
time-zone GMT
}
vpn {
ipsec {
esp-group ESP-GW {
compression disable
lifetime 3600
mode tunnel
pfs enable
proposal 1 {
encryption 3des
hash sha1
}
proposal 2 {
encryption aes128
hash sha1
}
}
ike-group IKE-GW {
lifetime 28800
proposal 1 {
dh-group 2
encryption 3des
hash sha1
}
proposal 2 {
dh-group 2
encryption aes128
hash sha1
}
}
ipsec-interfaces {
interface pppoe0
}
logging {
log-modes all
}
nat-networks {
allowed-network 0.0.0.0/0 {
exclude 192.168.1.0/24
}
}
nat-traversal enable
site-to-site {
}
}
l2tp {
remote-access {
authentication {
local-users {
username [dummy] {
password ****************
}
}
mode local
}
client-ip-pool {
start 192.168.1.90
stop 192.168.1.99
}
dns-servers {
server-1 8.8.8.8
}
ipsec-settings {
authentication {
mode pre-shared-secret
pre-shared-secret ****************
}
ike-lifetime 3600
}
mtu 1280
outside-address [dummy]
outside-nexthop [dummy]
}
}
}
zone-policy {
zone inside {
from outside {
firewall {
name to_inside
}
}
from vyatta {
firewall {
name vyatta_to_inside
}
}
interface eth0
interface l2tp+
}
zone outside {
from inside {
firewall {
name to_outside
}
}
from vyatta {
firewall {
name to_outside
}
}
interface eth2
interface pppoe0
}
zone vyatta {
from inside {
firewall {
name inside_to_vyatta
}
}
from outside {
firewall {
name outside_to_vyatta
}
}
local-zone
}
}