VPN サーバーの更新

最近の様々なセキュリティインシデントのニュースを見ていると，今はただ優先順位が高いところ・狙う価値が高いところが攻撃を受けているだけで，そのうち自分のサーバーもやられるなぁ，という気しかしないので，急ぎ VPN サーバーを更新しました．

 

自宅には CPU オンボードの低消費電力 PC で組んだサーバーが複数台ありますが，中途半端に色々使われてしまっていることと，使ってないマザーボードをはじめとする PC パーツもありますが，メモリが高すぎる現在において新しいサーバーを建てる気にもなれないことから，自宅に転がっていた Raspberry Pi 4 で新規に作り直すことにしました．

 

Raspberry Pi であれば，本当は AES 等のハードウェアアクセラレーターの搭載されている Raspberry Pi 5 がより良いんでしょうが，値段が高すぎた（8GB RAM で 3.6 万円，16 GB RAM で 6.3 万円）ので断念しました．

コンセプト

コンセプト，というほどのことでもないですが，だんだんとこういったことに時間が取れなくなってきているので，メンテナンス性を重視しました．

 

具体的には，

	Ubuntu Server + strongSwan で構築し，クライアントとなる Windows や Android 側は追加アプリは不要
	初期設定は cloud-init にまとめ，再構築の手作業を最小化
	予備のディスク (microSD カード) も焼いておき，Raspberry Pi でよくあるディスク破損が起きたときは SD カードを差し替えるだけで復帰
	SD カードへの書き込みは最小化し，ログなどは別に流す
	unattended-upgrades でセキュリティ更新を自動適用し，必要なら早朝に再起動させる
	OS がハングした時のためにハードウェアウォッチドッグを有効に

といった具合です．

 

なお，strongSwan を選択したことについては，いまも若干悩んでいます．

本当は Tailscale のほうが，自宅のポートを開けなくても良い，であったり，多層的な防護を入れやすい，であったりするので，自宅インフラとしてはより適しているとは考えているのですが，今回はクライアント側の都合などから strongSwan にしています．

通信速度（実測）

VPN 経由でのインターネットアクセスと自宅 NAS アクセスの速度を計測しました．

 

わりといい感じの速度が出たので良かったです．

NAS アクセスのボトルネックはどこかで調べようと思っています．

その他の付随作業と今後

セキュリティの不安が大きいので，今回の作業と同時に，別の用途で公開していた様々な SSH の口をすべて閉じました．

VPN が適切に機能すれば，SSH を直接インターネットに公開する必要はなくなりますが，もし VPN 自体が壊れると，それを外出先から復旧させる手段がなくなってしまうのが難しいところです（上記の通り，ハードウェアウォッチドッグタイマーなども入れているが，気休め程度）．

 

また，不正アクセスの検知や通知などの仕組みを，急いで入れていきたいです（今はファイアウォールが設定されている程度なので．）．