Tailscaleの使い方、その６：レンタルVPSサーバにアクセスする

2022年10月12日

VPNまとめを参照されたい。

Tailscaleの使い方、その５では、レンタルVPSサーバをExit Nodeにしてみた。つまり、VPSの目的２である。以下では、VPSの目的１、つまり、Tailscale経由で安全にVPSサーバの中をいじくることを考えてみる。

Table of Contents

安全でないサービスの立ち上げ

Tailscale経由の暗号化された通信路を使うので、その通信路の中では、昔ながらの安全でない単純なサービスを使うことができる。例えば、telnetやftpである。これらは送受信データが暗号化されていないため、インターネットを生のままでそのデータを送受信するケースはあまりないだろう。しかし、Tailscaleによる「仮想的なLAN」の中では誰も見ることができないので構わない。

dnf install telnet-server
systemctl enable telnet.socket
systemctl start telnet.socket

dnf install vsftpd
systemctl enable vsfftpd
systemctl start vsftpd

これでtelnetとftpのサーバが起動したはずだ。

※ちなみにrootアカウントでftpにアクセスするには、/etc/vsftpdにあるuser_list, ftpusersからrootを削除しておく。

Firewallに穴を開ける

これだけでは、まだファイアウォールに阻まれてアクセスができない。Tailscaleをインストールして起動した時点で、仮想的なネットワークインターフェース（NIC）のtailscale0というのが作成されているはずで、Tailscale経由の通信はすべてここを通る。したがって、このNICは全面的に信頼できるものと指定しなければならない。デフォルトでは、telnetやftpの通信はブロックされてしまう。

TailsaleのAdmin Consoleを見た場合、このマシンは以下になる。

このマシン上で調べてみると、以下の表示になる。

# ifconfig tailscale0
tailscale0: flags=4305<UP,POINTOPOINT,RUNNING,NOARP,MULTICAST>  mtu 1280
        inet 100.68.68.69  netmask 255.255.255.255  destination 100.68.68.69
        inet6 fd7a:115c:a1e0:ab12:4843:cd96:6244:4445  prefixlen 128  scopeid 0x0<global>
        inet6 fe80::7afd:4cd0:25be:5c28  prefixlen 64  scopeid 0x20<link>
        unspec 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  txqueuelen 500  (UNSPEC)
        RX packets 35  bytes 1486 (1.4 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 43  bytes 1984 (1.9 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

ファイアウォールの状態は以下である（長いのでかなり省略）

# firewall-cmd --list-all-zones
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources: 
  services: cockpit dhcpv6-client ssh http https
  ports:
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

trusted
  target: ACCEPT
  icmp-block-inversion: no
  interfaces: 
  sources: 
  services: 
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

publicというゾーンには外向けのNICであるeth0が属している。ここでは、最小限のポートしか開けておらず、それ以外の外からの通信はブロックされる。trustedは全面的に信頼できるNIC用の設定で、ここにtailscale0という仮想的なNICを所属させることにする。

firewall-cmd --add-interface=tailscale0 --zone=trusted

※巷の例では、ここに–permanentをつけてすぐに恒久化させる例があるが、なぜか–permanentをつけるとうまく行かない。そもそも、そういった使い方はfirewall-cmdの想定するところではないだろう。設定がうまく行ったら、最後に恒久化させることにする。つまり、メモリ上だけの設定ではなく、設定ファイルとしてセーブし、OS再起動後にも有効にする。

すると以下になる。

# firewall-cmd --list-all --zone=trusted
trusted (active)
  target: ACCEPT
  icmp-block-inversion: no
  interfaces: tailscale0
  sources: 
  services: 
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: