VPN接続・切断時に自動でルーティング追加・削除 (Windows)

-

Windowsから会社やら自宅鯖やらにVPN接続してるとインターネット回線が遅いよー！ と思う人は多いかと思います。デフォルトゲートウェイがVPN接続に向くため、全てのパケットがVPNを通るようになるからです。できれば、必要なパケットだけをVPNに振り分けたいですね。VPN接続のIP詳細設定で「リモートネットワークでデフォルトゲートウェイを使用する」を切ればデフォルトゲートウェイは変更されませんが、VPNの向こうに別のネットワークセグメントがあったりするとそこにはアクセスできなくなります。そのセグメントへのルーティングがないからです。

ルーティングは route コマンドで書き換えることができますが、VPN接続していないときもVPNへのルーティングを有効にしていると、VPNとIPアドレスがかぶっているネットワークに入ったりすると不具合が出そう(ホテルLANや公衆無線LANがどんなIPアドレスを出してくるか分かったものではありません！)なので、できればVPN用ルーティングはVPN接続しているときだけ有効にしておきたいものです。

VPNに接続したときに自動でルーティングを書き換えたいというのはよくある要求だと思うのですが、日本語文献はなかなかない、もしくは環境ややり方が古いのですよね… 今回は、http://simpleverse.wordpress.com/2010/10/06/add-routes-on-vpn-connect-with-powershell-and-task-scheduler/ をもとに設定します。

この文書では、正しく接続できるVPN接続がすでに存在していることを前提に書かれてており、VPN接続の作り方そのものについては説明していません。また、Vista以降のWindows(タスクスケジューラのイベント時タスク実行機能を使います)とPowerShellを用意してください。PowerShellはWindows7には最初から入っていますが、Vistaには入っていませんので、http://tobysoft.net/wiki/index.php?PowerShell%2FWindows%20Vista%A4%CBPowerShell%20v2%A4%F2%A5%A4%A5%F3%A5%B9%A5%C8%A1%BC%A5%EB%A4%B9%A4%EB%CA%FD%CB%A1 を参考にして入れてください。あと、管理者権限で起動したPowerShellウィンドウで

Set-ExecutionPolicy RemoteSigned

するのも忘れずに。これをしておかないとPowerShellスクリプトファイルを実行できません。

まず、PowerShellスクリプトを作りましょう。最初の方にあるIPアドレスは貴方の環境に合わせて変更してください。下のスクリプトでは、

  • VPNに接続すると192.168.1.170～192.168.1.189のうち一つのIPアドレスをもらえる
  • VPN先ネットワーク(192.168.1.0/24)のさらに先に10.10.10.0/24,192.168.2.0/24,10.11.12.0/24という3つのネットワークセグメントがあるので、そこにもアクセスしたい

という設定になっています。

# ---------------------------------------------------------------------------------------
# Initial version: <a style="cursor: help; display: inline !important;" href="http://www.webboise.com/windows-powershell-script-for-adding-ip-routes-across-a-vpn/" target="_blank" rel="noopener noreferrer">http://www.webboise.com/windows-powershell-script-for-adding-ip-routes-across-a-vpn/</a>
# by Chris @ 30.9.2008
# ---------------------------------------------------------------------------------------
# Modified version: <a style="cursor: help; display: inline !important;" href="http://simpleverse.wordpress.com/2010/10/06/add-routes-on-vpn-connect-with-powershell-and-task-scheduler" target="_blank" rel="noopener noreferrer">http://simpleverse.wordpress.com/2010/10/06/add-routes-on-vpn-connect-with-powershell-and-task-scheduler</a>
# by Luka Ferle? @ 6.10.2010
# ---------------------------------------------------------------------------------------

# modified by kabbalah (http://erirun.net/), 2012-01-07

$OutputEncoding = [console]::OutputEncoding

# Configuration
# Route IP address
$ips = @("10.10.10.0", "192.168.2.0", "10.11.12.0")
# VPN connection IP
$vpnIP = "192.168.1.1[78][0-9]"

# delete route
foreach($ip in $ips) {
 $hasRoute = route print | findstr $ip
 if($hasRoute) {
 "Deleting route " + $ip
 route delete $ip
 }
}

$vpnip = ipconfig | findstr $vpnIP
if (!$vpnip) {
 "You do not have an IP address on the VPN"
 exit
}

$vpnip = $vpnip.Trim().Split(" ")
$bit = $vpnip.Length - 1
$vpnip = $vpnip[$bit]

foreach($ip in $ips) {
 "Adding route " + $ip
 route add $ip MASK 255.255.255.0 $vpnip
}

これに適当な名前をつけてどこかに保存します。ここでは D:\BIN\vpnroute.ps1 とします。

次に、このスクリプトをイベントと関連づけたタスクに設定します。イベントビューアのアプリケーションログを見てください。VPN接続をしたことがあるなら、RasClientの20225番で接続のイベントが、20226番で切断のイベントが記録されているはずです。この2種のイベントに対してタスクを設定します。今回は、接続・切断両方のイベントに対して先ほど作成したvpnroute.ps1を実行させるようにします。このスクリプトは「ルーティングを消す→VPN接続があったらルーティングを追加」という動きをするので、接続時と切断時の両方に使用できるのです。

該当イベントのどれか一つで右クリックして「このイベントにタスクを設定…」を選択します(20225番と20226番の2回行う必要があります)。作成ウィザードが出ますので、[操作]-[プログラムの開始]まで進めます。するとプログラムを指定する画面になりますので、プログラムに「powershell」、引数に「-NonInteractive -Command D:\BIN\vpnroute.ps1」と指定します。そして最後の完了画面で「[完了]をクリックしたときに、このタスクの[プロパティ]ダイアログを開く」をチェックしてウィザードを完了しましょう。

そうすると、タスクのプロパティが開きます。そのままではスクリプトが正しく動かないので、少々プロパティの変更が必要です。

  • 実行アカウントが管理者権限を使えるアカウントであることを確認し、「最上位の特権で実行する」にチェック。ルーティングの変更には管理者権限が必要です。
  • [条件]タブの[電源]セクションのチェックを全て外す。これをしておかないと、バッテリ運用時にスクリプトが動いてくれません。

これだけ変更したらOKで終了します。あとはVPN接続のIP詳細設定で「リモートネットワークでデフォルトゲートウェイを使用する」を切った状態で実際にVPN接続をしてみて、

  • 接続時に実際にルーティングが設定されているか
  • VPNホストにアクセスできるか
  • インターネットサイトにVPNを経由せずにアクセスできるか
  • 切断時に正しくルーティングが消えるか

を確認してください。

接続時・切断時にPowerShellのウインドウが出ますが、動作確認のためわざと残してあります。タスクのプロパティでPowerShellの起動引数に「-WindowStyle Hidden」を追加するとウィンドウは出なくなると思いますが、試していません。

また、もう一つの問題点として、スクリプトはRAS接続・切断に対して起動しますが、実はVPN接続でなくてもどのRAS接続(3G回線へのダイヤルアップなど)に対しても起動します。スクリプトが起動すると一瞬だけVPN接続へのルーティングが消えますが、実際にVPN接続があるかどうかをスクリプト側でipconfigを使用して判断してVPN接続があればまたルーティングを設定するので大きな問題は起きないのではないかと思います。

コメント

コメントを投稿

このブログの人気の投稿

zoho mail

-
以前 さくらのメールボックスで失敗 したメールの外部化を、 Zoho Mail で行いました。 1ドメインだけなら無料で独自ドメインのメールボックスが持てて、設定も素直、Webメールアプリも素朴な見た目ながら高機能です。SSLのみならずGoogle認証システムを使った2要素認証にも対応しており、セキュリティ的にも好感が持てます。安定性はしばらく使ってみないと分からないかな…… メールの外部化により、さくらVPS上で spamd と milter 群を停止することができ、少しメモリが空きました。 postfix は他のドメインのバーチャルエイリアスを受けて Zoho 側に投げる役目があるので止められませんが、メールのバックアップが済んだら dovecot を止めてさらにメモリを空けられそうです。
続きを読む

ARROWS Tab F-02F

-
F-01D から F-02F に去年末あたりに機種変していたのですが、すっかり書くのを忘れていました…… F-02FはF-01Dと同じく10インチタブですが、より薄く軽くなりました。解像度が2560×1600と、F-01D(1280×800)とは隔世の感があります。F-01Dではもっさり感やバッテリ残量表示のいい加減さに悩まされましたが、F-02Fではそういうこともなく非常に快適に使えます。TV機能はフルセグで、解像度が高すぎるせいかTV放送のアラが見えてしまったりします。文句があるとすれば、指紋認証デバイスを兼ねたホームボタンの押し心地が軽すぎるため指紋スキャンしようとして押してしまうことでしょうか。
続きを読む

さくらの落とし穴

-
さくらインターネットは安価で高機能なサービスを多数提供していますが、落とし穴もあったりします。 というか落ちました。 レンタルサーバに詳しい方々ならご存じではあると思いますが…… このブログは さくらのVPS で提供しています。同じサーバでメールサーバも動かしているのですが、スパムフィルタやらウイルスチェックやらを動かしているとだんだんサーバリソース的に辛くなってきたりします。なので、メールだけ さくらのメールボックス に移行しようと考えたのです。 結論から言えば、現在の環境のままメールだけさくらのメールボックスに移行するのは不可能でした。 さくらのレンタルサーバ・メールボックス・ブログには、どうやら 1ドメイン1サーバの呪い がかけられている模様なのです。 これらのサービスで独自ドメインを使用する設定を行うと、さくらのネームサーバにそのドメインのゾーンが作成されます。このゾーンはドメイントップ・www・mail等が全て当該サーバを向いており、 編集ができません。 では予め作っておけば良いのか？というと、既にさくらのネームサーバに同一ゾーンが存在する場合、サービス側で独自ドメインを使う設定自体ができません。 つまり、さくらのレンタルサーバ・メールボックス・ブログを他のサービスと組み合わせて使うには、専用に他のドメイン(サブドメイン可)を用意しなければなりません。さくらのネームサーバをerirun.netのレジストラから参照せずに別途ネームサーバを用意する、という方法も考えましたが、さくらDNSを直接参照する環境でおかしな事態が起きそうです。 もうブログもメールも「erirun.net」でサービスしてて今更変えられねえよ！！！！！！１！！！！ というわけで、さくらのメールボックスは泣く泣くキャンセルしたのでした。
続きを読む