DS-216JのVPN（L2TP/IPsec）サービス稼働

ヤマハのNVR-500でPPTPによるVPNサーバを稼働していたが、脆弱性問題で停止していた。最近発売されたNVR-510には、L2TP/IPsecのVPN機能がサポートされているらしい。NVR-500は、2011年10月から快調に稼働している（2017年10月30日 Rev. 11.0.36でL2TP/IPSec機能が追加された-喜ばしい！）。
PR-S300SE（NTTフレッツひかり）は、VPN機能が無い。PR-400以降は、L2TP/IPsecのVPN機能が使えるらしいが、PR-S300SEが元気なので変更してもらえそうに無い。。。
DS-216J NAS（ファイルサーバー）を導入した。このDS-216Jには、VPNサービスが提供されている（PPTP, OpenVPN, L2TP/IPsec）。L2TP/IPsecによるVPNを稼働してみることにした。
DS-216JへのL2TP/IPsec VPNサーバー導入方法に詳しく書かれている。

稼働後のCPU負荷状況もそれほど高く無いようだ。VPN接続後、接続端末に付与されるIPは、「10.2.0.1 - 10.2.0.254」の内の一つとなり、DS-216Jでルーティングされることになる。DS-216JのVPN設定は、解説通りの設定で動作確認できた（ホームネットワークのにWiFi接続し、IP指定でiPhoneのL2TP接続で確認）。
ネットワーク構成とL2TP/IPsecパケット通信の流れを図示する。

インターネト上のiPhoneからL2TPでVPN接続を行うと、ヤマハ提供のネットボランチDDNSで名前解決し、ぷらら（ISP）の接続IP（グローバルIP）へ接続する。ぷららへの接続は、ヤマハNVR-500からPPPoEで接続されている。フレッツひかりルータPR-S300SEは、NTT東地域IP網へ接続されおり、ひかり電話とフレッツTVサービスを受けている。ホームネットワーク内の機器やDS-216JのVPNへは、NVR-500でFirewall遮断されている。
iPhoneからDS-216Jまでどのようなパケットが通過するか確認すると

NVR-500上では、ぷららからPPPoE接続で、pp（ポイント・ツー・ポイント インターフェース）にIPsecパケットが渡されることになり、そのまま、DS-216Jへ転送すれば良いことになる。ppとLAN間には、「NAT Descriptor」「In/Out Filter」が存在し、「1:N」（NAPT接続 - ヤマハでは、masquerade）で接続転送する必要がある。L2TP/IPsecのVPNであるが、NVR-500上では、IPsec通信として設定する。
（１）NAT Descriptor（NAPT）設定
NVR-500の標準設定状態では、pp1（ぷららPPPoE接続）は、「masquerade」が設定されている。
IPSec鍵交換のために、IKE（500/udp）をDS-216Jへstatic natする。
IPsec NAT Traversal が必要な接続のために、 IKE NAT-T（4500/udp）をDS-216Jへstatic natする。
ESP（Encapsulated Security Payload）プロトコルをDS-216Jへstatic natする。


（２）セキュリティ・フィルタの設定
pp1のIN方向フィルタに、
IKE（500/udp）を全てのアドレスからDS-216Jへ許可する。
IKE NAT-T（4500/udp）を全てのアドレスからDS-216Jへ許可する。
ESP（プロトコル 50）を全てのアドレスからDS-216Jへ許可する。


NVR-500のconfigファイルは、


iPhone6S iOS11 L2TP/IPsecで接続（VPNをONにする）


L2TP/IPsec接続される（端末IPは、10.2.0.1が付与される）


構成プロファイルで「On Demand」接続を試みる予定

iPhoneにインストールされた期限切れ電子証明書

iPhone構成ユーティリティのシミュレートで使用したデバイス証明書の有効期限が切れた。

iPhoneがどのように振る舞うか確認した。
・「設定」「一般」「プロファイル」の一覧表示で表示名が「赤文字」に変わる。
・証明書のタイトル下に赤文字で「期限切れ：（期限日付表示）」が表示される。

機能的な変化は、無いようだ。opensslで期限切れの証明書で暗号化も署名も可能だ。
iPhoneが期限切れ証明書で暗号化や署名が可能か確認できない（SMIMEメールでも設定されていれば確認可能）が、問題は無いと推定される。
------------
p.s.
iPhone構成ユーティリティの電子証明書は、「IPCU-CA」が２年。デバイス証明書は、1年。
期限が切れた場合は、IPCU-CAは、iPhone構成ユーティリティの再インストールで2年間のIPCU-CA証明書が再生成される。
デバイスは、「ライブラリ」「デバイス」で期限切れデバイスプロファイルを削除後に再接続すれば、再生成されるのでは無いかと思うが、未確認。