PPTP サーバーのソースを表示

[[Category:Virtual Private Network]]
[[en:PPTP server]]
[[ru:PPTP server]]
[[zh-cn:PPTP server]]
{{Related articles start}}
{{Related|PPTP クライアント}}
{{Related articles end}}
[[Wikipedia:PPTP|Point-to-Point Tunneling Protocol]] (PPTP) は仮想プライベートネットワークを実装するための手段です。PPTP は PPP パケットをカプセル化する TCP や GRE トンネルを使ってコントロールチャンネルを使用します。

このエントリでは Arch で PPTP サーバーを作成する方法を示します。

{{Warning|PPTP プロトコルは性質上、セキュアではありません。詳しくは http://poptop.sourceforge.net/dox/protocol-security.phtml を参照。}}

== インストール ==

[[公式リポジトリ]]の {{Pkg|pptpd}} を[[インストール]]してください。

== 設定 ==

{{Tip|設定例が {{ic|/usr/share/doc/pptpd}} ディレクトリに存在します。}}

典型的な設定は以下のようになります:

{{hc|/etc/pptpd.conf|
# See man pptpd.conf to get more information about this file

# pppd options file. By default, /etc/ppp/options is used
option /etc/ppp/options.pptpd

# Server IP in local network
localip 192.168.1.2

# IP address ranges used to assign IPs to new connecting clients
# Here we define two ranges for our 192.168.1.* subnet: 234-238 and 245
remoteip 192.168.1.234-238,192.168.1.245
}}

それから pppd の options ファイルを作成してください。この例では {{ic|/etc/ppp/options.pptpd}} になります:

{{hc|/etc/ppp/options.pptpd|
# Read man pppd to see the full list of available options

# The name of the local system for authentication purposes
name pptpd

# Refuse PAP, CHAP or MS-CHAP connections but accept connections with
# MS-CHAPv2 or MPPE with 128-bit encryption
refuse-pap
refuse-chap
refuse-mschap
require-mschap-v2
require-mppe-128

# Add entry to the ARP system table
proxyarp

# For the serial device to ensure exclusive access to the device
lock

# Disable BSD-Compress and Van Jacobson TCP/IP header compression
nobsdcomp
novj
novjccomp

# Disable file logging
nolog

# DNS servers for Microsoft Windows clients. Using Google's public servers here
ms-dns 8.8.8.8
ms-dns 8.8.4.4
}}

{{Note|ファイルのパース時に問題が発生しないように、上記のファイルの最後の行は空行にしてください。}}

そしてユーザーを認証するための認証情報を記述したファイルを作成します:

{{hc|/etc/ppp/chap-secrets|
# <username> <server name> <password> <ip addresses>
user2    pptpd    123    *
}}

上記の場合、ユーザー名が ''user2'' でパスワードが ''123'' で認証されます。

sysctl 設定ファイル {{ic|/etc/sysctl.d/30-ipforward.conf}} を作成してカーネルのパケット転送を有効化し、サブネットにアクセスできるクライアントに接続できるようにします ([[インターネット共有#パケット転送の有効化]]も参照):

{{hc|/etc/sysctl.d/30-ipforward.conf|2=
net.ipv4.ip_forward=1
}}

最後に sysctl に設定の変更を反映させてください:

 # sysctl --system

=== iptables ファイアウォールの設定 ===

iptables の設定を変更して PPTP クライアントからアクセスできるようにします:

{{bc|
# Accept all packets via ppp* interfaces (for example, ppp0)
iptables -A INPUT -i ppp+ -j ACCEPT
iptables -A OUTPUT -o ppp+ -j ACCEPT

# Accept incoming connections to port 1723 (PPTP)
iptables -A INPUT -p tcp --dport 1723 -j ACCEPT

# Accept GRE packets
iptables -A INPUT -p 47 -j ACCEPT
iptables -A OUTPUT -p 47 -j ACCEPT

# Enable IP forwarding
iptables -F FORWARD
iptables -A FORWARD -j ACCEPT

# Enable NAT for eth0 и ppp* interfaces
iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE
iptables -A POSTROUTING -t nat -o ppp+ -j MASQUERADE
}}
{{Note|"eth0" はサーバーに接続するときに使用する実際のイーサネットインターフェイスに置き換えてください。}}
新しい iptables のルールを保存するには:

 # iptables-save > /etc/iptables/iptables.rules

詳細は [[Iptables]] を読んでください。

=== UFW ファイアウォールの設定 ===

ufw の設定を変更して PPTP クライアントがアクセスできるようにします。

{{ic|/etc/default/ufw}} のデフォルトの転送ポリシーを変更してください:

{{hc|/etc/default/ufw|2=
DEFAULT_FORWARD_POLICY="ACCEPT"
}}

そして {{ic|/etc/ufw/before.rules}} を編集して、ヘッダの後、*filter 行の前に以下のコードを追加します:

{{hc|/etc/ufw/before.rules|
# nat Table rules
*nat
:POSTROUTING ACCEPT [0:0]

# Allow traffic from clients to eth0
-A POSTROUTING -s 172.16.36.0/24 -o eth0 -j MASQUERADE

# commit to apply changes
COMMIT
}}

pptp のポート 1723 を開きます:

{{bc|
ufw allow 1723
}}

ufw を再起動して変更を適用してください:

{{bc|
ufw disable
ufw enable
}}

== サーバーの起動 ==

{{ic|pptpd.service}} を使って PPTP サーバーを[[systemd#ユニットを使う|起動・有効化]]してください。

== トラブルシューティング ==

他のサービスと同じように、エラーを調査するときは [[Systemd#トラブルシューティング]] を見てください。

=== クライアント側で Error 619 が発生する ===

{{ic|/etc/pptpd.conf}} 内の {{ic|logwtmp}} オプションを探してコメントアウトしてください。このオプションが有効になっている場合、クライアントの接続と切断を記録するのに ''wtmp'' が使われます。

 #logwtmp

=== pptpd[xxxxx]: Long config file line ignored ===

{{ic|/etc/pptpd.conf}} の最後の行に空行を追加してください [http://sourceforge.net/p/poptop/bugs/35/]。

=== ppp0: ppp: compressor dropped pkt ===

クライアントからサーバーに接続する際にこのエラーが表示される場合、以下のスクリプトを {{ic|/etc/ppp/ip-up.d/mppefixmtu.sh}} に追加してください:

 #!/bin/sh
 CURRENT_MTU="`ip link show $1 | grep -Po '(?<=mtu )([0-9]+)'`"
 FIXED_MTU="`expr $CURRENT_MTU + 4`"
 ip link set $1 mtu $FIXED_MTU

スクリプトに実行可能属性を付与:

 # chmod 755 /etc/ppp/ip-up.d/mppefixmtu.sh

参照: [http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=330973]