Raspberry Pi + VPS で自宅グローバル IP の変更自動検知をやった話 konn-san.com

アカウント名、パスワード、ホスト名、SSHの設定

セキュリティホールになるので、アカウント名やホスト名を初期から変更する。 以下では admin という（ザルな）名前にデフォルトアカウント名が変更されているものとする。 この辺、完全にただの Debian なので、この辺りを参照してよしなにすれば良い：

SSH の設定はまあ、適当にいつものように /etc/ssh/sshd_config をいじってやれば良い。 まじで Debian なので、RasPi 特有の書いておくべきことがほとんどないね。

ファイアウォール

念のため、ローカルのネットワークからしかアクセスを受け入れなくする。 ローカルIPの範囲が 192.168.0.0/24 のときは以下のようにすれば良い：

$ sudo apt-get install ufw            # iptables とか知らないので簡単な ufw を使う
$ sudo ufw default DENY               # デフォルトではあらゆる接続を拒否する
$ sudo ufw allow from 192.168.0.0/24  # 同一ネットワーク内からの接続のみ許可

更新鍵の生成

次に、Dynamic DNS で更新の際に使う鍵一式を生成する。 日本語で読めるリソースだと、秘密鍵を生成する方法の記事ばかりがヒットする。 しかし、 nsupdate のクエリが TLS などの暗号化を用いているセキュアなものなのか、調べた限り良くわからなかったので、大事を取って公開鍵方式の鍵を使うことを考える。

まず、次のようにして鍵を生成する（vpn.home.example.com の部分は自分の独自ドメインになる）：

$ pwd
$ dnssec-keygen -T KEY -a RSASHA256 -b 2048 -n HOST vpn.home.example.com
Generating key pair.................................................................
....................................+++ ............................................
....................................................................................
...................+++
Kvpn.home.example.com.+008+12345

するとワーキングディレクトリに Kvpn.home.example.com.+008+12345.key および Kvpn.home.example.com.+008+12345.private という鍵対が生成される。 +以下は生成する度にちがうようで、最後の12345の部分がどうも ID 扱いになるらしい。 この二つのファイルは、nsupdate で呼び出す時に必要になるので捨ててはいけないし、バレたら更新出来るようになってしまうので、絶対に秘匿する必要がある。

次に、ゾーンの設定をする。次の内容を /etc/bind/named.conf.local に追記する：

zone "home.example.com" {
     type master;
     file "home.example.com.zone";
     update-policy {
       grant vpn.home.example.com. name vpn.home.example.com. A;
     };
};

これで、「ゾーンの具体的な設定は /var/cache/bind/home.example.com.zoneを参照」「vpn.home.example.com を動的に書き換えられるのは、上の .zone ファイルで指定された鍵を持っている人のみ」という意味になる。

今度は /var/cache/bind/home.example.com.zone を弄ることになるが、鍵の設定はこのゾーンファイルに書くことになるので、先程生成した公開鍵の内容をメモっておく：

$ cat Kvpn.home.example.com.+008+12345.key
vpn.home.example.com. IN KEY 512 3 8 ABCDEFGHIJKLMNOPQRSTUVWXZ...=

これを踏まえて、home.example.com のゾーンの設定をしていく。 ここでは、VPN サブドメインの設定、VPN設定の更新鍵の設定と自前BINDへのアドレスの設定を行う。

$TTL 86400      ; デフォルトの生存期間（1日）
home.example.com    IN SOA  dns.home.example.com. root.home.example.com. (
          2019031009 ; シリアル番号、日付＋二桁のユニークIDにする。
          3600       ; 更新間隔 (秒、ここでは 1 時間)
          900        ; リトライ間隔 in 秒 (15 minutes)
          604800     ; 有効期限 (1 week)
          3600       ; 最小の生存期間 (1 hour)
          )
          NS      dns.home.example.com.   ; VPS で動かす BIND へのドメイン
$ORIGIN home.example.com.

; vpn.home.example.com に紐づけられた鍵
vpn       KEY     512 3 8 (ABCEDFGHIJKLMNOPQRSTUVWXYZ=...
                          ...=
                          ) ; key id = 12345
$TTL 3600       ; 1 hour
vpn       A       1.2.3.4   ; 初期状態の自宅グローバルIP

$TTL 86400      ; 1 day
dns       A       999.999.999.999   ; さくらVPSの固定IP

上の root.home.example.com はメールアドレスを表現するらしく、この場合一つ目の . を置き換えて [email protected] が連絡先メールアドレスとして登録されることになる（らしい）。 上の .key ファイルの IN 以後の3つの数字が、ここでの vpn KEY 以後の括弧前の 512 3 8 に相当するので、写しておく。 括弧内は、最後にスペース区切りで書かれているハッシュ値をうつす。

括弧内では改行等が効くらしく、ABCDEFGHIJKLMNOPQRSTUVWXZ...=部分はスペースごとに改行・インデントすると読みやすい。 ; 以後はコメントになる。

さくらドメインネームサーバの設定

さくらの会員メニューにログインする：

「契約サービスの確認」＞「ドメインの確認」と飛んで、ページ最下部の「ドメインメニュー」をクリック。 「ネームサーバとゾーンの管理」から、今回設定したいドメインの欄の「ゾーン編集」を選び、「変更」に飛ぶ。

まず、DNSサーバへのサブドメインを設定する。 以下のように入力し、「新規登録」をクリックする。

ここで続けて home サブドメインを設定しようとすると上手くいかないことがあるので、一旦「データ送信」を選ぶ。 今度は今設定した DNS サーバに home.example.com 以下を委譲する設定を以下のようにし、「新規登録」→「データ送信」をする。

ファイヤウォールまわりの設定

VPS で特にファイヤウォールを動かしていないなら、上の設定だけで問題ない。 しかし、常識的に考えて VPS も UFW によるファイヤウォールで守られている筈なので、このままだとDNSサーバにアクセスできない。 そこで、まず53番ポートを開けておく：

$ sudo ufw allow 53
ルールを追加しました
ルールを追加しました (v6)

この作業を怠っていたので、1時間くらい「設定合ってる筈なのに何も動かない……」となって泣いた。 また、BIND9はデフォルトでランダムなポートにフォールバックするようになっているらしく、このままだとまだ動かないので、BINDを53番ポート固定にしておく必要がある。 以下のように、/etc/bind/named.conf.options の options{ } 節の末尾に 53 番ポートに固定する設定を加える：

options {
  ...
  query-source address * port 53;
}

BIND9 起動

$ sudo systemctl start bind9

これで多分 VPS 上の DNS は無事動き始める筈である。 設定が上手くいっていることを確かめるため、nsupdate を VPS 上で呼んでみよう。 先程キーを生成したディレクトリに行って、以下を実行してみる。

[vps]
$ nsupdate -k Kvpn.home.example.com.+008+12345.private <<EOF
server 999.999.999.999
update add vpn.home.example.com. 3600 IN A 1.2.3.4
send
quit
EOF

特に何も言われなければ成功。3600 の部分はキャッシュが何秒残るかを表している。

DNS設定が浸透するまでにちょっと時間がかかるので、外部からのアクセスが出来るようになるには、少し待つ必要があるかもしれない。