UbuntuにデフォルトでインストールされているUncomplicatedFirewall（ufw）を使用して、トラフィックがOpenVPNサーバーを通過する方法を制御します。 Ubuntuサーバーが外部からアクセス可能である場合（ルーターなしで独自のIPアドレスを使用してインターネットに直接接続している場合）、ufwを使用して、上記で設定したOpenVPNポート（1194）を許可する必要があります。それ以外の場合は、すべてのトラフィックを許可するようにufwを設定し、ルーティングの設定を構成します。

Ubuntuサーバーを保護するためにufwを必要としない場合 （つまり、ルーターの背後にあるか、別のファイアウォールが設定されている）、すべてのトラフィックがデフォルトでufwを通過できるように、デフォルトの入力ルールを設定する必要があります。そのためには、構成ファイルを変更する必要があります。

1. このファイルをnanoで開きます：

   sudo nano /etc/default/ufw

2. セクションまで下にスクロールします。

   # Set the default input policy to ACCEPT, DROP, or REJECT. Please note that if
   # you change this you will most likely want to adjust your rules.
   DEFAULT_INPUT_POLICY="DROP"

3. サーバーはこのファイアウォールを保護に使用しないため、これを「DROP」から「ACCEPT」に変更します
4. セクションまで下にスクロールします。

   # Set the default forward policy to ACCEPT, DROP or REJECT.  Please note that
   # if you change this you will most likely want to adjust your rules
   DEFAULT_FORWARD_POLICY="DROP"

5. 転送ポリシーを「DROP」から「ACCEPT」に変更します
6. ctrlを押します + x nanoを終了します。プロンプトが表示されたら、変更を保存します。

Ubuntuサーバーを保護するためにufwが必要な場合 、DROPのデフォルトの入力および転送ポリシーがあるため、許可するポートを指定する必要があります。 OpenVPNサーバーを離れた場所から実行している場合は、SSHで接続して設定を変更する必要があります。そのため、SSHトラフィックを許可するようにファイアウォールに指示する必要があります。

1. ターミナルに次のように入力します：

   sudo ufw allow ssh

2. OpenVPNサーバーに送信するVPNトラフィックはポート1194でUDPを経由するため、ターミナルに入力します。

   sudo ufw allow 1194/udp

Ubuntuサーバーで他のサービスを実行している場合は、それらのサービスがufwを通過できるようにする必要があります。 Ubuntuサーバーがリッスンしている他のポート（Plexメディアサーバーや独自の電子メールサーバーなど）の許可ルールを必ず追加してください。

次に、ネットワーク設定に関係なく 、ufwのルーティングルールを設定する必要があります。

1. ufw構成ファイルをnanoで開きます：

   sudo nano /etc/ufw/before.rules

2. カーソルをセクションの下に移動します：

   #
   # rules.before
   #
   # Rules that should be run before the ufw command line added rules. Custom
   # rules should be added to one of these chains:
   #   ufw-before-input
   #   ufw-before-output
   #   ufw-before-forward

3. 次のように貼り付けます：

   # START OPENVPN RULES
   # NAT table rules
   *nat
   :POSTROUTING ACCEPT [0:0]
   
   # Uncomment the next POSTROUTING line and replace ens33 with the name
   # of your Local Network Interface if you have a second network interface
   # for accessing machines on your local network
   # Allow OpenVPN client to communicate with local home network
   #-A POSTROUTING -s 10.8.0.0/24 -d 192.168.0.0/24 -o ens32 -j MASQUERADE
   
   # Allow traffic from OpenVPN client to your WAN and/or LAN via ens33
   -A POSTROUTING -s 10.8.0.0/24 -o ens33 -j MASQUERADE
   COMMIT
   # END OPENVPN RULES

   • ens33を置き換えます プライマリネットワークインターフェイスが異なる場合は、その名前を使用します（詳細については、準備のセクションを参照してください）

4. カーソルをセクションの下に移動します：

   # Don't delete these required lines, otherwise there will be errors
   *filter
   :ufw-before-input - [0:0]
   :ufw-before-output - [0:0]
   :ufw-before-forward - [0:0]
   :ufw-not-local - [0:0]
   # End required lines

5. 次のように貼り付けます：

   #Accept all traffic to and from VPN
   -A ufw-before-input -i tun+ -j ACCEPT
   -A ufw-before-output -i tun+ -j ACCEPT
   
   # Forward traffic to and from the VPN
   -A ufw-before-forward -s 10.8.0.0/24 -j ACCEPT
   -A ufw-before-forward -d 10.8.0.0/24 -j ACCEPT

6. ctrlを押します + x nanoを終了します。プロンプトが表示されたら、変更を保存します。

これで、Ufwをアクティブ化する準備が整いました。

1. ターミナルで、次のように入力します。

   sudo ufw enable

2. このUbuntuインスタンスにSSHで接続している場合は、次のプロンプトが表示されます。

   Command may disrupt existing ssh connections. Proceed with operation (y|n)?

   yで返信する必要があります 。

次の出力が表示されます（SSHかどうかに関係なく）

Firewall is active and enabled on system startup

OpenVPNサーバーの起動

この時点で、基本は完了です。サーバー構成とファイルは、サーバー上で生成されるか、生成した場所からコピーされたサーバー上にある必要があります。

まず、サーバー構成ファイルをOpenVPNディレクトリにコピーします。

sudo cp /path/to/configs/server/* /etc/openvpn/

次に、サーバーを起動し、再起動後も起動できるようにします。

sudo systemctl enable [email protected]
sudo systemctl start [email protected]

サーバーのステータスを確認するには、次のように入力します。

sudo systemctl status [email protected]

返信先：

Active: active (running) since Thu 2017-06-01 17:06:29 PDT; 4s ago

サーバーがアクティブ（実行中）としてリストされていない場合は、何が問題になったかを示すログ出力が表示されます。

これでOpenVPNサーバーが稼働し、接続する準備が整いました。

ルーターの設定

Ubuntuサーバーに直接アクセスできる場合 、次にこのセクションをスキップできます 。構成するルーターはありません。

ただし、Ubuntuサーバーがルーターの背後にある場合（自宅のWiFiなど）、VPNトラフィックを許可するようにルーターを構成する必要があります。詳細については、OpenVPNサーバーの実行の概要に関する記事を参照してください。

粘度の設定

最後のステップは、粘度を設定することです。 openvpn-generateのおかげで、これはインポートして接続するのと同じくらい簡単です。

インポート

openvpn-generateで作成した*.viszファイルをViscosityがインストールされているMacまたはWindowsマシンにコピーし、ファイルをダブルクリックします。構成が正常にインポートされたことを示すプロンプトが表示されます。

VPN接続の接続と使用

これで接続する準備が整いました。 macOSメニューバーまたはWindowsシステムトレイの粘度アイコンをクリックして粘度メニューを開き、インポートした接続を選択すると、粘度が接続されます。

VPNが稼働していることを確認するには、[粘度]メニューから[詳細]ウィンドウを開きます。これにより、接続の詳細、トラフィック、OpenVPNログを表示できます。

これで、独自のOpenVPNサーバーをセットアップできました。おめでとうございます。これで、独自のOpenVPNサーバーを操作するメリットを自由に享受できます。

基本的なDNSサーバー

クライアント用に独自のDNSサーバーを実行することを選択した場合、以下はdnsmasqのセットアップ例です。次のコマンドを使用してdnsmasqをインストールします。

sudo apt-get install -y dnsmasq

最初に、デフォルトでNetworkManagerによって提供されるdnsmasqインスタンスを無効にする必要があります。このデフォルトのインスタンスは制限されており、VPNを介してDNS要求をリッスンすることはできません。

1. NetworkManager設定を開きます：

   nano /etc/NetworkManager/NetworkManager.conf

2. 行の先頭に「＃」文字を追加して、dnsmasqを有効にする行をコメントアウトします。

   dns=dnsmasq

3. ctrlを押します + x nanoを終了します。プロンプトが表示されたら、変更を保存します。

次に、デフォルト構成のいくつかを変更する必要があります。

1. 元のdnsmasq構成のバックアップを作成します：

   cp /etc/dnsmasq.conf /etc/dnsmasq.conf.bak

2. Ubuntuサーバー（127.0.0.1）およびVPN（10.8.0.1）からのリクエストをリッスンするようにDNSサーバーを設定します。

   echo -e "listen-address=127.0.0.1, 10.8.0.1\nbind-interfaces" > /etc/dnsmasq.conf

3. DNSリクエストがルートDNSサーバーに不正なリクエストで溢れるのを防ぎます：

   echo -e "domain-needed\nbogus-priv" >> /etc/dnsmasq.conf

4. Google DNSサーバーを使用してリクエストを解決します（選択したDNS解決サービスを自由に使用できます）：

   echo -e "server=8.8.8.8\nserver=8.8.4.4" >> /etc/dnsmasq.conf

5. dnsmasqサービスを再起動して、変更を有効にします。

   service dnsmasq restart

DNSサーバーが要求したアドレスをリッスンしていることを確認するには、次のように入力します。

netstat -anup

127.0.0.1および10.8.0.1を含むアドレスのリストが表示されます。

Proto Recv-Q Send-Q Local Address         Foreign Address       State     PID/Program name
...
udp        0      0 127.0.0.1:53          0.0.0.0:*                       54892/dnsmasq   
udp        0      0 10.8.0.1:53           0.0.0.0:*                       54892/dnsmasq   
...

最後に、システム起動時にOpenVPNの後にdnsmasqが開始されるようにする必要があります。デフォルトでは、dnsmasqはOpenVPNの前に実行されます。これにより、VPNがまだ存在しないため、VPN用のDNSサーバーをセットアップできなくなります。

1. 元のファイルのバックアップを作成します：

   cp /etc/rc.local /etc/rc.local.bak

2. タイプ：

   echo -e "service dnsmasq restart\nexit 0" >> /etc/rc.local

3. このスクリプトを実行可能にします：

   chmod +x /etc/rc.local

これで、DNSサーバーのセットアップが完了しました。