【設定ガイド】PacketiX VPNのセキュリティ診断で指摘されやすい項目とその対応方法

みなさん、こんにちは。ぷらっとホームテクニカルサポートです。

PacketiX VPNをご利用の企業・組織様から、セキュリティ診断（脆弱性診断）ツールを実行した際に、指摘される項目があるとのお問い合わせが増えております。

今回は、よくお問い合わせいただく指摘事項とその背景、対応方法についてまとめてご紹介します。

RC4-MD5等、古い暗号化アルゴリズムが使用可能になっている

PacketiX VPNは、バージョン間の互換性を保つ形でアップデートを重ねているため、古いバージョンのクライアントからも接続できるように、RC4-MD5のような古い暗号化アルゴリズムも有効な状態になっています。

管理ツールの「暗号化と通信関係の設定」で設定できるのは、あくまでServer-Client間で優先的に使用するアルゴリズムの指定のみです。

この設定を変更しても、接続してくるクライアント側のソフトウェアが別のアルゴリズムを使用して接続してきた場合、サーバー側はそのアルゴリズムで応答します。

つまり、管理ツール上の設定だけで古いアルゴリズムを無効化することはできない、という点にご注意ください。そのため、現状、PacketiX側の設定でこの点について対応することはできません。

デフォルトの状態では、PacketiX VPNが自動生成した自己署名証明書が使用されているため、セキュリティ診断では「自己証明書が使用されている」として検出されます。

必要に応じて、認証局が発行した正式な証明書に入れ替えることが可能です。

管理ツールの「暗号化と通信関係の設定」内にある「サーバー証明書」の設定箇所から、正式な証明書への入れ替えを行ってください。

設定ファイルの以下の該当箇所を編集し、インポートすることで無効化できます。

declare ServerConfiguration
bool Tls_Disable1_0 false
bool Tls_Disable1_1 false

上記の”false”をそれぞれ”true”に変更してインポートしてください。

ご注意ください
設定ファイルをインポートする際、サービスの再起動が発生し、既存の接続がすべて切断されます。作業のタイミングにはご注意ください。

近年は、セキュリティ診断の推奨事項として、サーバー証明書の有効期間を短く設定する運用が求められるケースが増えています。

その場合、証明書を頻繁に更新する必要が出てきますが、「自動化できないか」というご相談もよくいただきます。

PacketiX VPNにはvpncmdコマンドが用意されており、このコマンドを使って証明書の更新を行うスクリプトを作成することで、自動化が可能です。

具体的なコマンド仕様については、以下のSoftEther公式マニュアルの「ServerCertSet」コマンドの項目をご参照ください。

▼SoftEther VPN マニュアル – 6.3.20 “ServerCertSet”：VPN Server の SSL 証明書と秘密鍵の設定

※補足：vpncmdコマンドは柔軟な設計となっており、リモートからの接続や、対話式だけでなくコマンドラインのオプションで指定して実行することも可能です。

こちらもSoftether公式マニュアルをご参照ください。

証明書の自動取得方法については、証明書発行機関にご確認ください。

自動取得した証明書を指定したスクリプトを作成してcronなどで自動実行させるイメージとなります。

具体的なコマンドの内容を参考例として記載します。

vpncmd /server (VPN ServerのIPアドレス or ホスト名) /password:(管理パスワード) /cmd ServerCertSet /loadcert:(証明書ファイル名) /loadkey:(秘密鍵ファイル名)

セキュリティ診断ツールの結果は、必ずしも即座に「危険」を意味するわけではなく、PacketiX VPNの仕様上、意図的に互換性を保つための設定になっている項目も多くあります。対応をご検討の際は、それぞれの項目がなぜ検出されているのかを理解した上で、必要な範囲で設定変更を行うことをおすすめします。

ご不明な点や、他にも確認されたい内容がございましたら、シリアル番号をご確認の上、どうぞお気軽に問い合わせ窓口、またはsupport@plathome.co.jpまでお問い合わせください。