概要

socatでTUN/TAPインターフェースを扱えるらしく、 UDPで転送すれば簡単なVPNが構成できそうだったので、やってみた。 認証も暗号化も行わない。 想定する環境は↓。

サーバ側

サーバ側で↓を行うとUDPの1194番ポートでListenされる。

$ sudo socat udp-listen:1194,reuseaddr,range=192.168.1.2/32 tun:10.0.0.1/24,tun-type=tap,tun-name=tap1,iff-up,iff-promisc

一応↑ではrangeオプションでクライアントのIPからのみ許可するように設定しているが、 セキュリティ的にはよくはない。

そして、この段階ではまだサーバ側にはtap1インターフェースはできていないはず。

クライアント側

サーバ192.168.1.1:1194につなぎに行くように↓を行う。

$ sudo socat udp:192.168.1.1:1194 tun:10.0.0.2/24,tun-type=tap,tun-name=tap1,iff-up,iff-promisc

するとクライアント側にtap1インターフェースが作成された。

$ ip link show tap1
56: tap1: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000
    link/ether ce:2d:c2:a5:12:f0 brd ff:ff:ff:ff:ff:ff promiscuity 1

IPアドレス10.0.0.2/24も付加されている。

$ ip addr show tap1
56: tap1: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 1000
    link/ether ce:2d:c2:a5:12:f0 brd ff:ff:ff:ff:ff:ff promiscuity 1
    tun
    inet 10.0.0.2/24 brd 10.0.0.255 scope global tap1
       valid_lft forever preferred_lft forever

pingをクライアントからサーバへ打つ

この状態でpingをクライアント側からサーバ側10.0.0.1へ打ってみるとpingが返ってくる。

$ ping 10.0.0.1
PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data.
64 bytes from 10.0.0.1: icmp_seq=1 ttl=64 time=2.20 ms
64 bytes from 10.0.0.1: icmp_seq=2 ttl=64 time=0.750 ms
64 bytes from 10.0.0.1: icmp_seq=3 ttl=64 time=0.748 ms

そして、サーバ側にtap1インターフェースが作成されていることがわかる↓。

$ ip addr show tap1
39: tap1: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 1000
    link/ether ee:fe:01:71:e7:87 brd ff:ff:ff:ff:ff:ff promiscuity 1
    tun
    inet 10.0.0.1/24 brd 10.0.0.255 scope global tap1
       valid_lft forever preferred_lft forever

MTUの調整

上記で作成されたtap1インターフェースのMTUをサーバ側とクライアント側の両方で設定しておく。

tapデバイスはイーサネットのフレームも含むため、 L3までに含まれるの各種ヘッダの量は↑である。 したがって、VPNを張りたい経路のMTUが1500の場合、 tap1に設定されるべきMTUは(1500 - 20 - 8 - 18) => 1454と計算できる。

$ sudo ip link set dev tap1 mtu 1454

備考

TUN/TAPのうちTAPにしたかったのは仮想ブリッジに接続したかったからだが、 仮想ブリッジの作成まで記事に含めるのは冗長な気がしたので、 tap1インターフェースに直接IPを振った。

ちなみに、socatはopensslも使えるため暗号化できそうだが、 残念ながらTCPをバインドしてしまって、UDPでは不可能だった。 一方で、openssl s_serverでDTLSを指定するとUDPをバインドすることは確認できたので、 そのうちsocatも対応してくれそうな気がする。

参考

• https://ja.wikipedia.org/wiki/Maximum_Transmission_Unit
• http://www.dest-unreach.org/socat/doc/socat.html#OPTION_MTUDISCOVER
• http://www.mit.edu/afs.new/athena/system/i386_deb50/os-ubuntu-9.04/usr/share/doc/socat/socat-tun.html