VPN/プロトコル選定基準 - Void of Knowledge

Last-modified: 2016-10-02 (日) 01:20:06

VPN/プロトコル選定基準

概要
選定基準
VPNサーバー
VPNプロトコル
参考

概要 †

Point to Point接続な環境向けのVPNプロトコル選定基準です。

選定基準 †

ネットワーク環境になるべく依存したくない
- Windows限定で構わないから、標準クライアントで接続したい
  - SSTP
- 接続クライアントをマルチプラットフォームにしたい
  - OpenVPN
    iOS/OSXのみ、プロファイルをカスタムSSLで作成した場合、専用クライアント不要。
    ほかのOSは、専用クライアントが必要。
IPsec VPNを使いたい
- 全OS標準クライアントで接続したい
  - L2TP/IPsec
- Android限定で構わないから、標準クライアントで接続したい
  - IPsec XAuth
- 接続可能性向上, MOBIKE, iOS/OSXのVPNオンデマンドなどのメリットを享受したい
  - IKEv2
    Androidは専用クライアントのインストールが必要（Android 4.2系はECDSA証明書による認証は失敗する, 5.0系では正常に動く）
    Windowsの標準クライアントはIKEv2フラグメントに対応していないので、クライアント証明書認証をするとIPフラグメントが発生して疎通可能性が下がる。

VPNサーバー †

名称	対応プロトコル	動作環境	セキュリティ	カスタマイズ	扱いやすさ	情報量
SoftEther	EtherIP/IPsec, L2TPv3/IPsec, L2TP/IPsec, OpenVPN, SSTP, SoftetherVPN	Windows, Linux, FreeBSD, Solaris, OSX	△	〇	◎	◎
OpenVPN	OpenVPN	Windows, Linux, FreeBSD, Solaris, OSX	〇	〇	〇	◎
StrongSwan	IPsec XAuth, IKEv2	Windows, Linux, FreeBSD, OSX, Android	◎	◎	△	〇
RRAS	PPTP, L2TP/IPsec, IKEv2, SSTP	Windows	〇	×	×	×

StrongSwanはIKE実装なので、L2TP部分を別に用意すればL2TP/IPsecも実現できます。
個人的には、IKEv2ならStrongSwan。OpenVPNならOpenVPN。L2TP/IPsecやSSTPならSoftEtherがおすすめです。

VPNプロトコル †

名称	デフォルトポート	クライアント	特徴
L2TP/IPsec	UDP500, UDP4500	Windows, OSX, iOS, Android	L2TPをIPsecで暗号化した方式。鍵交換にIKEv1を使う。大抵のOSが標準機能で接続できる。Windowsはレジストリで追加の設定が必要
IPsec XAuth	UDP500, UDP4500	Android	IKEv1時代の拡張認証方式, Androidしか標準クライアントでサポートしているOSがないので、今選ぶ理由はない
IKEv2	UDP500, UDP4500	Windows(7-), OSX, iOS(8-)	IPsecでトンネリング,暗号化した方式。鍵交換にIKEv2を使う。最近のOSは標準機能で接続できる。Windowsの標準クライアントは機能が少し足りなく問題になることも
OpenVPN	UDP1194	OSX, iOS	ポートを1つしか使わないので、443に変更すれば大抵のネットワークから接続できる。iOS/OSX以外は専用クライアントのインストールが必要
SSTP	TCP443	Windows(vista-)	Windowsクライアントしかつなげないのであれば、楽にセットアップできるので選択肢になりえる

個人的には、IKEv2かOpenVPNがおすすめです。

参考 †

仕様 - SoftEther VPN プロジェクト