趣味のプログラム工房

2016年12月

Sophos 無償のUTM・ファイアウォール製品！

最近、仕事でUTM製品について調べていたのですが、、、Sophosで無償のUTM（ソフトウェア）があるのを知り自宅に導入してみよう！と思った次第です。
OSイメージが提供され、仮想マシンや物理マシン等で動かすことができます。

無償であるSophos UTM Home Editionを導入しようと、Sophosのサイトへ行ったところ、Sophos XG Firewall Home Editionなんて製品もあるんですが、、、どっちがいいの？と。

名称的には、UTM＞Firewallなわけですが、はっきりしたことは結局わからなかったのですが、どうも、Sophos XG Firewallの方が新しそう。
それに、Sophos XG Firewall自体もFirewallだけというわけでなくUTM製品ということで、Sophos XG Firewallの方を導入することにしました。

その為に、今回、「GIGABYTE　GA-H170M-D3H」、「Celeron G3900」、
さらに、LANポートを追加するため「AREA ジーノ2世 ギガビットLANカード」を準備しました。（ブリッジモードで動かすため、NICが最低2つ必要）
今回、VirtualBox（ホストはLinux Mint）の仮想マシンとして動かすので、
物理ポートは1つで、ハブでLANとWANの線を分ければもよかったかもしれませんが、、いろいろ怪しいので、正攻法でNIC二つとしました。
別途ハブを準備するのも面倒ですし。

というわけで、次回、インストールです。


2016年12月04日

---

VirtualBoxにSophos XG Firewallを導入

無償の仮想アプライアンス製品「Sophos XG Firewall」を自宅のサーバの
Linux MintのVirtualBoxに入れてみることにしました。

対象のマシンには物理的に、LANポートが２つあるので、
LAN側のポートをport1、WAN側のポートをport2として、仮想マシンを設定。
port1はブリッジ接続でホストとゲストで共用。
port2もブリッジですがホストでは無効にして、仮想マシン側(Sophos XG Firewall側)のみ使用。

あとは、Sophos XG Firewallのインストール。


インストール後は、WEBの管理画面から設定をしていくのですが、
デフォルトのIPアドレスが「172.16.16.16」に設定されており、使いにくいため、コンソールで、先にネットワークの設定をします。
初期パスワードは[admin]。

アドレスについては、当初、LAN側も、WAN側も同じ、192.168.1.0/24にしようと思ったのですが、うまくいかなかったので、結局FWをルータ代わりにして、ネットワークを分けることにしました。


IPアドレスの設定完了後、WEB画面へアクセスして、ウィザードに従い初期設定。
今回は、ブリッジモードで設定しています。
基本これで動くはず！
だったのですが、動かない。インターネットに出れない。

ファイアウォールの設定でNATを入れると通るということから、
うーん、、、まさか！と思って、ルータに対し、192.168.2.0へのルーティングを設定したらうまくいきました。
これくらいのルーティング自動的に設定されないんだ、、、。
あとは、ポリシーの微調整ですね。
マルウェアスキャンは、FTPとHTTPを設定、HTTPSを入れると、いろいろなサイトで動きが怪しくなるのでやめました。

まあ、そんな感じでしょうか。

回線速度も（1時14分現在）でインターネットとの接続で72Mbps出ており、速度ダウンはない印象。
とりあえず、しばらくこれで運用してみよう。
2016年12月05日

---

Sophos XG FirewallでVPN接続

外出先から家のネットワークへつなぐため。Sophos XG FirewallでVPNの設定をしてみました。

とりあえず、androidで使うことを想定して、L2TP/IPSecを設定、、しようと思いましたが、よくわからない。IPSec接続もさっぱり。
というわけで、結局OpenVPNによる「SSL VPN」で行うことにしました。

これは、設定が簡単で、クライアント側の設定も「User Portal」から設定ファイルをダウンロードして、OpenVpnでインポートするだけ。
の、はずなのですが微妙にうまくいかない。

WAN側（インターネット）には普通にアクセスできるのですが、LAN側にはアクセス不可というわけのわからない状況。
ルーティングもちゃんとできているはずだし、原因不明。
いろいろ試してみたのですがお手上げ！

というわけで、最終的にはSophos XG Firewallによる、VPNは断念。


ホストのLinux Mint側にて、「Softether VPN」による、VPNを組むことにしました。
とりあえず、それで目的は達成できましたが、、、Sophos XG FirewallのVPNの使いにくい！　以上！

次
Linux MintでSoftether VPN
2016年12月11日

---

Linux MintでSoftether VPN

--前回までの話。
Linux MintにVirtualBoxをインストール
ゲストOSとして「Sophos XG Firewall」をインストール。
Sophos XG FirewallでVPNサーバを構成しようとしたが上手くいかず断念。


というわけで、ホストの方に「Softether VPN」を入れることにしました。
目的はOpenVPNによるandroidスマホからの接続です。
インストール手順は、、ここでは省略。
インストール後、Softether VPNの設定自体は、ManagerをインストールしたWindowsマシンから行います。


当初、ローカルブリッジの設定にて、「物理的な既存のLANカードとのブリッジ接続」を行っていたのですが、上手くいかず断念。
仮想NATとか、構成してみたのですがどうやってもうまくいかず。

その後、ローカルブリッジの設定を「新しいtapデバイスとのブリッジ接続」で構成し、やはり、仮想NATとかを構成したり試行錯誤したのですがやっぱり思うようにいかず。
うーん、、、
そのあと、参考にしたのが
http://www.jifu-labo.net/2015/11/softether_ubuntu/
ひょっとしてブリッジインタフェースにIPの設定が必要なのか？
ということで、「新しいtapデバイスとのブリッジ接続」で作成された仮想ブリッジに対しIPアドレスを設定してみました。（仮想ブリッジ名はifconfigで確認できます。）
すると、、、おっ！こいつ、、動くぞ！

「Softether VPN」側の設定としては、VPNのクライアント側は別セグメントのアドレスを割り当てているので、SecureNAT機能を有効にして、仮想DHCPサーバを設定。
ただし、NAT変換は不要なので、SecureNAT機能を有効にしつつも、設定としては仮想NATは無効。
デフォルトゲートウェイには、上記で設定した仮想ブリッジのアドレスを設定。
正解かはわかりませんが、今のところこれで正常に動いています。
2016年12月19日

---