自宅と事務所のLANをつなぐには？ HomeGrid VPNの追加手順とメッシュVPNとの違い
HomeGrid VPNでは、追加したいLAN内のLinux端末で、管理画面から発行したワンライナーを実行して、そのLANをVPNへ取り込めます。アクセスを許可した複数のLANは、接続先を切り替えずに利用できます。
さらに、LAN ACLのマトリクスで「どのデバイスから、どのLANへアクセスできるか」を設定できます。LANをつなぐことと、アクセスを許可することを、それぞれ管理できるのが特徴です。
LAN内のLinux端末を、接続のゲートウェイにする
LANを取り込む際は、そのネットワーク内にあるLinux端末をゲートウェイとして使います。この端末が、VPNとLAN内の機器の間を中継します。
例えば、自宅LAN内のLinux端末をゲートウェイにすれば、そのLANにあるNASなどへのアクセス経路を作れます。LAN内の接続対象機器を、一台ずつSpokeとして登録する方式ではありません。
MacからNASの共有フォルダを開く具体的な手順は、外出先からFinderで自宅NASへアクセスする方法を参照してください。
自宅や事務所のLANに加え、AWS VPC内のLinuxホストなども対象にできます。管理画面の「拠点LAN（VPC）を追加」から、接続したいネットワークを追加します。
追加前に用意するもの
- 接続したいLAN内に配置したLinux端末。
- その端末で管理者権限の操作ができること。
- Spoke登録枠の空き1台分。
LANを取り込むゲートウェイは、Spokeの1台としてカウントされます。 空きがない場合は、不要な登録デバイスを削除するか、Spoke枠を追加購入してからワンライナーを発行してください。
ゲートウェイは通信の中継役です。利用中は、その端末が稼働し、ネットワークに接続している必要があります。
LANを追加する手順
1. 管理画面でワンライナーを発行する
「拠点LAN（VPC）を追加」の「ワンライナーを発行」を選びます。表示されたコマンドは、画面の「コピー」から取得してください。
コマンドには登録用トークンが含まれます。トークンは約1時間で失効し、1回限り有効です。発行後、対象の端末で実行します。
2. 追加したいLAN内のLinux端末で実行する
コピーしたコマンドを、ゲートウェイとして使うLinux端末で管理者権限により実行します。外出先のPCなどではなく、取り込みたいLANの内部にある端末で実行してください。
この記事では取得URLとトークンを掲載していません。実行には、管理画面で発行されたコマンドをそのまま使ってください。
3. 自動検出されたLANを確認する
ワンライナーはローカルのプライベートサブネットを最大5つ自動検出し、VPNへ接続します。AWS認証情報は不要です。
サブネットを明示的に指定したい場合は、発行されたコマンドの末尾に次のような指定を追加できます。
--subnets 192.168.10.0/24,10.20.0.0/24
上記のアドレスは例です。実際に接続するネットワークの値を指定してください。追加後は、管理画面に目的のLANが表示されているか確認します。
LAN ACLで、アクセスできるデバイスを選ぶ
LANを追加したら、ダッシュボードの「LAN アクセス制御」を開きます。ここには実際に操作できるマトリクスがあり、アクセスを許可したい組み合わせのチェックボックスをクリックするだけで設定できます。上の図は、その操作画面を模式化したものです。
マトリクスの行がアクセス元のデバイス、列がアクセス先のLANです。例えば、管理用PCから自宅LANへのアクセスを許可するなら、その行と列が交差するチェックボックスにチェックを付けます。変更可能な項目では、チェックを外すとアクセスを許可しない設定になります。チェックのないデバイスからのアクセスは、実際に遮断されます。
例えば、次のような運用を考えられます。
| アクセス元 | 自宅LAN | 事務所LAN | 検証LAN |
|---|---|---|---|
| 管理用PC | 許可 | 許可 | 許可 |
| 家族の端末 | 許可 | 未許可 | 未許可 |
| 検証用の端末 | 未許可 | 未許可 | 許可 |
これは設定例です。必要なアクセスだけを許可し、利用目的の異なる端末に不要なLANへのアクセスを与えない運用にできます。
ゲートウェイもアクセス元としてマトリクスに表示されます。対応する項目では、別のLANへのアクセスを許可できます。LAN間の通信は方向ごとに確認し、双方のアクセスが必要な場合は、それぞれの方向の許可状態を確認してください。
一方で、「常に許可」となる項目や、配下LANからVPN方向へのアクセスを許可できない項目など、変更できない項目もあります。画面の表示に従って設定してください。
変更はすぐ保存されますが、反映には最大5分かかる場合があります。「反映済み」になるまで同じ項目を続けて切り替えず、反映後に許可した通信と遮断した通信の両方を確認します。
このマトリクスはLAN単位のアクセス制御です。 「NASだけ」「特定ポートだけ」といった機器・サービス単位の制限は、LAN ACLの説明と分けて考える必要があります。
LANへの接続と、インターネットの出口選択は別
HomeGrid VPNでは、許可された複数のLANへのアクセスと、インターネット通信の出口選択を分けて扱います。
自宅LANと事務所LANを利用するために、その都度Gridを出口として選び直す必要はありません。LANへのアクセス範囲は、LAN ACLで設定します。
インターネット通信の出口を変更したい場合は、「Grid の設定」の一覧で、出口にしたいGridの「出口にする」を選択します。現在選択されているGridには「出口」と表示されます。
LAN ACLは「どのLANへアクセスできるか」、出口選択は「どのGridからインターネットへ出るか」の設定です。
メッシュVPNとの違いは、LANを取り込む際の設定作業
メッシュVPNでも、LAN全体へのアクセスやLAN同士の接続は実現できます。ただし、端末同士をつなぐ設定に加え、LANを取り込むためのゲートウェイや経路、アクセス制御を設定する場合があります。
製品や構成によっては、IP転送の有効化、サブネット経路の指定や承認、LAN側の経路設定などを行います。例えば、メッシュVPN製品の一つであるTailscaleのLinux向け公式資料でも、こうした設定手順が説明されています。サブネットルーターの設定例、拠点間接続の設定例
LANを取り込む手順を読むと、思ったより設定する項目があると感じるかもしれません。IP転送、経路の指定や承認、構成によってはLAN側の経路設定まで。端末同士の接続に加えて、LAN全体を使えるようにするための設定が必要になる場合があります。
HomeGrid VPNでは、管理画面で発行したワンライナーをLAN内のLinux端末で実行し、サブネットの自動検出とVPNへの接続を進められます。その後、LANへのアクセス許可をマトリクスで設定します。
Linux端末とSpoke枠の空きを用意したら、管理画面でコマンドをコピーして、端末に貼り付けて実行。続いて、LAN ACLでアクセスを許可したい組み合わせにチェックを入れます。サブネットの自動検出を使う通常の追加手順なら、コマンドの貼り付け・実行と画面上のクリックで設定を進められます。
アクセス許可は、「この端末から、このLANへ」という組み合わせにチェックを入れる操作です。マトリクスで許可範囲が見えるので、設定内容も確認しやすくなっています。準備ができていれば、コマンドの貼り付け・実行とクリックで進められます。「え、これだけでいいの？」と感じるような操作の手軽さが特徴です。設定の反映後は、許可した端末からアクセスできることと、未許可の端末からはアクセスできないことを確認すれば、一通りの追加作業が完了です。
クラウド間接続も、各ネットワーク内に用意したLinux端末へ、発行したコマンドを貼り付けて実行する流れです。必要なアクセス許可はLAN ACLで設定します。オンプレミスのLANとクラウドのネットワークを、同じ操作の流れで追加できます。
| 比較する作業 | HomeGrid VPN | メッシュVPNでLANを接続する場合の設定例 |
|---|---|---|
| LANを取り込む端末 | LAN内のLinux端末をゲートウェイにする | サブネットルーターなどのゲートウェイを用意する |
| サブネットの指定 | 最大5つを自動検出。明示指定も可能 | 接続対象のサブネットや経路を設定する |
| 導入操作 | 管理画面で発行したワンライナーを実行 | クライアント導入、転送設定、経路設定など |
| アクセス制御 | デバイス×LANのマトリクスで許可 | アクセス制御ポリシーを設定 |
メッシュVPN側の設定例は、上記の公式資料を参考にしています。必要な作業や自動化の範囲は製品・OS・構成によって異なり、すべてのメッシュVPNで同じ手順が必要になるわけではありません。
HomeGrid VPNの特徴は、LANを追加する操作と、アクセス範囲を決める操作がまとまっていることです。手順を分かりやすくしながら、接続を許可する範囲も画面で確認できます。
拠点が増えても、同じ操作でLANを追加できる
拠点間VPNは、最初の2拠点をつなぐだけなら管理できても、3拠点、5拠点、10拠点と増えるにつれて、接続先や経路、アクセス許可の確認対象が増えます。
全拠点間を個別につなぐフルメッシュ構成では、接続ペアは拠点数をNとしてN(N−1)/2です。10拠点なら45組になります。ただし、これは接続関係の数であり、手動設定の回数や常時稼働するセッション数を表すものではありません。メッシュVPN製品には、接続や経路管理を自動化するものもあります。
HomeGrid VPNでは、新しいLANを追加するたびに、既存の各拠点とのトンネル設定を個別に作る必要はありません。追加するLAN内のLinux端末でワンライナーを実行し、必要なアクセスをLAN ACLで許可します。
アクセス許可の設計と通信確認は必要ですが、利用者は拠点ごとの接続設定を組み立てる作業を減らせます。自宅、事務所、クラウドのネットワークを、同じ操作の流れで追加できる点も使いやすさにつながります。
まず一つのLANを追加し、許可と遮断を確かめる
最初は一つのLANを追加し、管理用の端末からアクセスできることを確認しましょう。続いて、アクセスを許可していない端末からは接続できないことも確認します。
接続先を増やす際も、LANを追加する手順と、アクセス範囲を設定する手順を同じ流れで進められます。自宅、事務所、検証環境をつなぎながら、端末ごとに使えるLANを整理する用途に活用できます。