Linux コンテナ/VPN の使用

提供: ArchWiki
2015年11月29日 (日) 18:56時点におけるKusakata (トーク | 投稿記録)による版 (ページの作成:「Category:セキュリティ Category:仮想化 en:OpenVPN in Linux containers pt:Linux Containers {{Related articles start}} {{Related4|AirVPN}} {{Related...」)
(差分) ← 古い版 | 最新版 (差分) | 新しい版 → (差分)
ナビゲーションに移動 検索に移動

関連記事

この記事ではセキュア・プライベートなインターネット利用の"キルスイッチ"として Linux Containers を使って OpenVPN を動作させるように設定する方法を説明します。VirtualBoxQEMU などの完全な仮想化を使うよりもリソースのオーバーヘッドを最小限にして低性能のデバイスでも動かすことができるというメリットがあります。

LXC よりも楽な抽象化として systemd-nspawn があり設定方法のウォークスルーが OpenVPN systemd container tutorial にあります。

コンテナの設定

Linux Containers の基本的な設定と理解が必要になります。この記事では読者がベースとなる LXC のセットアップを既に作っていて操作できる状態になっていることが前提です。初心者は Linux Containers の記事を読んで下さい。

LXC の設定

OpenVPN とインターネットプログラムの両方を動かして VPN を通して LXC の中からホストシステムと対話できるようにするため、コンテナの設定を変更して複数のセクションを記述する必要があります。

例えば、lxc の名前が "playtime" なら以下が完全な設定になります:

/var/lib/lxc/playtime/config
# Template used to create this container: /usr/share/lxc/templates/lxc-archlinux
# Parameters passed to the template:
# For additional config options, please look at lxc.container.conf(5)

lxc.rootfs = /var/lib/lxc/playtime/rootfs
lxc.utsname = playtime
lxc.arch = x86_64
lxc.include = /usr/share/lxc/config/archlinux.common.conf

## network
lxc.network.type = veth
lxc.network.link = br0
lxc.network.flags = up
lxc.network.ipv4 = 192.168.0.3/24
lxc.network.ipv4.gateway = 192.168.0.1
lxc.network.name = eth0

## systemd within the lxc
lxc.autodev = 1
lxc.hook.autodev = /var/lib/lxc/playtime/autodev
lxc.pts = 1024
lxc.kmsg = 0

## for openvpn
lxc.cgroup.devices.allow = c 10:200 rwm

## mounts
lxc.mount.entry = /mnt/data/inbox mnt/data none bind 0 0
lxc.mount.entry = /var/cache/pacman/pkg var/cache/pacman/pkg none bind 0 0

## for xorg
## fix overmounting see: https://github.com/lxc/lxc/issues/434
lxc.mount.entry = tmpfs tmp tmpfs defaults
lxc.mount.entry = /dev/dri dev/dri none bind,optional,create=dir
lxc.mount.entry = /dev/snd dev/snd none bind,optional,create=dir
lxc.mount.entry = /tmp/.X11-unix tmp/.X11-unix none bind,optional,create=dir
lxc.mount.entry = /dev/video0 dev/video0 none bind,optional,create=file

## for openvpn
lxc.cgroup.devices.allow = c 10:200 rwm
ノート: This example requires the use of the autodev hook which calls the corresponding /var/lib/lxc/playtime/autodev script which users need to create and make executable. For the sake of completeness, this script is provided below. Refer to the Linux Containers article for additional discussion if needed.
/var/lib/lxc/playtime/autodev
#!/bin/bash
cd ${LXC_ROOTFS_MOUNT}/dev
mkdir net
mknod net/tun c 10 200
chmod 0666 net/tun

コンテナの中に必要なパッケージ

ベースシステムに加えて、公式リポジトリから openvpn をインストールする必要があります。ファイアウォールを適切に設定してコンテナの中で使用することが強く推奨されます。コンテナの中にファイアウォールを作る理由は2つあります:

  1. "キルスイッチ"を作って VPN への接続が失敗したときにプライバシーを守る。
  2. 危険なものを除外する。

このガイドでは簡単に設定できる ufw を使いますが、他の方法でもかまいません。

パッケージの設定

OpenVPN

OpenVPN の設定についてはこの記事では扱いません。適切に OpenVPN を設定するために OpenVPN の記事を読むことを推奨します。多くのプライベート VPN プロバイダはそれぞれのサービス用に正しく設定された openvpn.opvn プロファイルを直接ダウンロードできるリンクを提供しています。このガイドの趣旨上、/etc/openvpn/myprofile.conf がその設定を参照します。

コンテナの中で openvpn が機能することを確認してください。openvpn@myprofile.service で openvpn を起動して、問題ないようでしたら、ブート時に起動するように有効化してください。

DNS の漏洩の防止

OpenVPN#DNS の指示に従って /etc/resolv.conf を管理するように openvpn を設定することを強く推奨します。設定していない場合、ホストの DNS サーバーがこのファイルで指定されている場合に DNS が漏洩する可能性があります。

ufw

ufw の設定は OpenVPN#ファイアウォールの設定 で説明されています。記述通りに設定したら、使用するプロトコル (ssh や torrent など) と VPN プロバイダの IP アドレスまたは IP アドレスの範囲を追加で定義します。どちらも、プライベートプロバイダから取得できます。

ノート: The following needs to be executed as the root user; the "#" sign prefixing these commands per standard wiki notation has been omitted to allow for a clean copy/paste into a terminal.

まず deny ポリシーを設定してから通過させるサービスを allow してください:

ufw default deny outgoing
ufw default deny incoming
ufw allow ssh
ufw allow 1194
ufw allow out 1194
ufw allow out on tun0 from any to any
ufw allow in on tun0 from any to any

そして VPN サーバーの IP アドレスまたは範囲を追加します。IP アドレスごとに2つのエントリが必要になります。以下の例は、説明のための偽の IP アドレスです。

ufw allow in from 50.120.10.200 to any
ufw allow out from 50.121.10.200 to any

最後に、VPN の接続と関係なくアクセスを許可する内部 LAN の IP 範囲を追加:

ufw allow from 192.168.0.0/24

ufw を起動してブート時に起動するように ufw.service有効化してください。

# ufw enable

pgl

コンテナの中で pgl を使うことで保護を追加できます。PeerGuardian Linux#コンテナから pgl を実行 を見て下さい。

サービスのテスト

コンテナの中から、(ssh や lxc-attach -n playtime で接続して) ホストマシンの X サーバーにブラウザをエクスポートしてセットアップをテストします:

$ DISPLAY=:0 firefox

"Mozilla Firefox (playtime)" というタイトルでホストの X サーバーに firefox のウィンドウが表示されるはずです。複数のウェブサイトを使って IP アドレスと DND エントリの状態を確認できます。そのようなサイトの一つとして ipleak dot net があります。

この段階で、/etc/openvpn/myprofile.conf の IP と DNS エントリが表示されます。