Synology NASでVPNサーバーを構築し、外部からLANに安全アクセスする手順【L2TP/IPSec対応】

masao — Wed, 05 Jan 2022 10:34:48 +0000

VPNは、Virtual Private Network（バーチャルプライベートネットワーク）の略で、直訳すると「仮想専用線」となります。Synology NASに「VPN Server」を設定すると、インターネット側のPCやスマートフォン・タブレット等のVPNクライアントで仮想専用線接続することができます。これにより、インターネット側のクライアントからローカルLAN内のリソースにアクセスすることが出来ます。ローカルLAN内のWindowsPCやVMM（Virtual Machine Manager）の仮想マシン等にインターネット側からデスクトップ接続することが出来ます。また、セキュリティに不安のあるフリーWifi等で接続したときに、VPN回線に接続させることで、通信が暗号化されることにより、セキュリティを向上させることが出来ます。

以下の記事で「Synology NAS」とは何かや、基本的な設定方法や活用手段についてを纏めて紹介しています。

参考　Synology NAS 入門

Synology NASについて

サーバに興味を持ち、Youtubeやインターネットで情報を収集していました。自力で一から自作機やサーバー機の中古を入手してサーバOS（Linux）をインストールして環境構築するのもよいですが、市販されているNASでもかなりのことができることを知り、値段もお手頃であるためSynologyのNASを入手することとしました。

本記事では、Synology NASで使用可能な「VPN Server」について紹介しています。

前提　本記事でのDSM(OS)バージョンは、Synology DSM 7.0 を用いています。

追記　本記事では、L2TP/IPSecによるVPN設定について記載していますが、WindowsPCで接続できなくなる事例が発生したため、WindowsPCについてはOpenVPNによる接続設定に変更しました。以下の記事にて紹介しています。

Synology VPN ServerによるOpenVPNでのWindowPC接続手順まとめ

Synology VPN Serverで、L2TP/IPSec VPNサーバを設定して、クライアント（Windows PCやIOSデバイス）のVPN接続を活用していましたが、WindowsPCの接続がエラーとなり接続できなくなりました。Windows Updateの影響が想定されますが、対策としてOpenVPNでの接続に切り替えることとしました。

1.VPN(Virtual Private Network)とは
2.VPN Serverの設定
3.ルーターのポートフォワーディング設定
4.クライアントPC (Windows)でのVPNクライアント接続
5.IOSデバイスでのVPNクライアント接続
6.まとめ

1.VPN(Virtual Private Network)とは

VPNは、Virtual Private Network（バーチャルプライベートネットワーク）の略で、直訳すると「仮想専用線」となります。

Synology NASにはVPNサーバ機能が備わっています。VPNサーバを設定すると、インターネット側からモバイルデバイス（PCやスマホ、タブレット）のVPNクライアントから自宅ネットワークにVPN回線経由で接続することが出来ます、これらのモバイルデバイスは自宅ネットワーク内で接続したときと同様に、自宅内のリソースにアクセスすることが出来ます。

インターネット側のモバイルデバイスから自宅内のWindowsPCにリモートデスクトップすることが出来る。
インターネット側からはアクセスできない、ネットワーク機器の管理画面にアクセスすることが出来る。
NASの共有フォルダアクセスは、インターネット側からは直接参照できないが、VPN接続を行うことにより、自宅ネットワーク内で接続した状態と同様になるため、共有フォルダアクセスも可能となる。

2.VPN Serverの設定

DSMコンソールにログインし、［パッケージセンター］より［VPN Server]をインストールします。

メインメニューより［VPN Server］をクリックし、VPN Serverの設定画面を表示します。
以下の項目を設定します。

VPN Serverの設定　＞　L2TP/IPSec
VPNサービスの管理　＞　特権

[L2TP/IPSec]の設定画面にて、「L2TP/IPSec VPNサーバを有効にする」にチェックを入れる。
事前共有キー（パスワードみたいなものです）を入力する。（クライアントから接続するときに入力が必要なので入力内容を覚えておきます。）

入力完了したら［適用］をクリックして設定内容を保存する。

なお、PPTPはセキュリティに難ありなので使用しないことを推奨します。

[特権]の管理画面にて[L2TP/IPSec]にチェックを入れる。
VPN接続を許可したいユーザアカウント毎に個別にチェックを入れる。
入力完了したら［適用］をクリックして設定内容を保存する。

Synology NASキット 2ベイ DS225+ クアッドCPU搭載 2GBメモリ搭載 2.5GbE-NIC スタンダードユーザー向け DiskStation

Synology

Amazon

Rakuten

Synology NASキット 2ベイ DS223 クアッドコアCPU 2GBメモリ搭載ミドルライトユーザー向け国内正規代理店品電話サポート対応品 DiskStation

Synology

Amazon

Rakuten

Seagate IronWolf 3.5インチ 4TB 内蔵ハードディスク HDD CMR 6Gb/s 256MB 5400rpm ST4000VN006/EC

SEAGATE

Amazon

Rakuten

Western Digital ウエスタンデジタル WD Red 内蔵 HDD ハードディスク 4TB SMR 3.5インチ SATA 5400rpm キャッシュ256MB NAS メーカー保証3年 WD40EFAX-EC 【国内正規取扱代理店】

ウエスタンデジタル

Amazon

Rakuten

【NAS用拡張メモリ】Synology D4NESO-2666-4G [DDR4-2,666-SODIMM / 4GB / Synology NAS専用] 国内正規代理店品

Synology

Amazon

Rakuten

3.ルーターのポートフォワーディング設定

VPNクライアントからSynology NASのVPN Serverへの接続要求をNASに転送するようにルータの設定を行います。詳細な設定方法は［ルーターのポートフォワーディング設定］を参照してください。

4.クライアントPC (Windows)でのVPNクライアント接続

Windows11の例となります。
［スタート］＞［設定］＞［ネットワークとインターネット］＞［VPN］と選択し、VPNの設定画面にて［VPNを追加］を選択。

以下の項目を入力（選択）します。

VPNプロバイダ　＞　Windows(ビルトイン)を選択
接続名　＞　覚えやすい任意の接続名を入れます
サーバ名またはアドレス　＞　Synologyサーバにアクセスするドメイン名（DDNSホスト名を設定するで設定したもの）を入力します。
VPNの種類　＞　「事前共有キーを使ったL2TP/IPSec」を選択
事前共有鍵　＞　事前共有鍵（VPN Server設定で入力したもの）を入力します。

サインイン情報の種類　＞　「ユーザ名とパスワード」を選択。
ユーザ名(オプション）　＞　アクセスするユーザアカウントを入力します。
パスワード(オプション）　＞　ユーザアカウントのパスワードを入力します。

すべて入力完了したら「保存」で設定内容を保存します。

［スタート］＞［設定］＞［ネットワークとインターネット］＞［ネットワークの詳細設定］と選択し、関連設定の［ネットワークアダプターオプションの詳細］を選択。
VPNのアダプタアイコンを右クリックしてプロパティを表示し、［セキュリティ］タブを選択。

以下の項目を入力（選択）します。

次のプロトコルを許可する　＞　ラジオスイッチを選択する。
チャレンジハンドシェイク認証プロトコル（CHAP）＞　チェックを入れる。
Microsoft CHAP Version 2 ＞　チェックを入れる。

すべて完了したら［OK］で設定内容を保存します。

上記に加え、WindowsではデフォルトでVPNサーバがルータの奥にある場合はVPNクライアントからの接続ができない仕様であるため（詳細はここを参照）設定を変更するため以下のレジストリ変更を行う必要があります。（注：レジストリ変更は危険を伴うため細心の注意が必要です。）

［スタート］＞［検索するにはここに入力します］欄にregeditと入力し、検索結果として出てきた［レジストリエディタ］アイコンをクリック。

レジストリエディタが起動したら、［HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent］を探し、以下のDWORD値（32ビット）の値を２に修正します。もしDWORD値がなければ、PolisyAgentを右クリックして［新規］＞ DWORD値（32ビット）を選択して、値を追加後、値のデータを２に修正します。
［AssumeUDPEncapsulationContextOnSendRule］

上記を設定後、PCをいったん再起動します。（注：再起動が必須です。）

上記を設定したら、タスクバーの左端のネットワークアイコンをクリックして［VPN］をクリックし、表示されたVPNダイアログから接続名を選択して［接続］を選択するとVPN接続が実行されます。