WAN空間からHTTPSを利用する意味

CMS は非常に多くの種類があり、その利用目的も様々です。

ただ共通していえるのは、 コンテンツ の構築や運営などのほとんどの操作を webブラウザ から HTTP 経由で行うことです。

HTTPはもともと「情報の公開」を前提とした プロトコル なので、暗号化による傍受対策などは行われていません。

しかしながらコンテンツの構築や運営の際には、 サーバー に対して送信しなければならない情報として、ユーザー名やパスワード含まれることはいうまでもありません。

こういうケースではどうしても暗号化通信手段である HTTPS を利用したいところではあります。

更に例えば osCommerce のように通販などで利用されるCMSの場合には、氏名や住所の他クレジットカード番号のような個人情報をやりとりしますから、 SSL を利用した セキュアwebサーバー の利用が必須の場合があります。

WBEL や CentOS にはこれらの機能を利用するためのアプリケーションやモジュールがインストール済みで、 デフォルト で最低限の利用は可能になっていますから、 ルーター でHTTPSの ポート番号 "443" を 構築中のLinuxサーバー に ポートフォワーディング すれば簡単に利用することができます。

もちろん商用で利用する場合には 日本ベリサイン などから正式に SSL 証明書を購入して運用する必要があります

もしも証明書なしで利用すると、

SSL証明書なしでHTTPS接続をすると表示されるダイアログ

という ダイアログ が常に表示されることになります。

とはいえ、これは第三者機関による証明がなされていないだけで、通信経路そのものが暗号化されていることに変わりはありませんから、個人レベルでの運用であればわざわざ証明書を取得する必要はないでしょう。

このパートでは、CMSを快適かつ安全に運用するためにHTTPSを 構築中のLinuxサーバー にポートフォワーディングするための方法について解説しますが、いくら セキュリティ の設定に自信があっても個人情報の取り扱いだけは安易に行わないように注意してください。

ルーター設定例

ルーター の ポートフォワーディング 設定の意味については、 で詳しく説明していますので、実際に設定を行う前にご一読ください。

ルーターの設定は、ルーターの機種やメーカーによって用語も方法も様々ですので、ここで全てのルーターについて普遍的な設定方法を解説することはできません。

ここでは、 (株)バッファロー の WBR-G54 での、 HTTPS のポートフォワーディングの設定例を示しますので、これを参考にお手持ちのルーターのマニュアルと照らし合わせながら設定を行ってください。

まず、 LAN に接続している任意の ホスト機 の webブラウザ を開き、アドレスバーにルーターの IPアドレス

http://192.168.100.1/

を入力してルーターの設定画面を開いてください。画面が開いたら画面向かって右下の "アドバンスト(詳細設定)" ボタンをクリックします。

WBR-G54トップ画面

すると以下のように "無線設定" が設定の初期画面として開きます

ここで、向かって左側のメニューから "ネットワーク設定" → "アドレス変換" の順にクリックしてメニューを移動します。

アドレス変換設定画面

"アドレス変換設定" の画面が開いたら、 "アドレス変換→使用する" が有効になっていることを確認して、ページ下方の アドレス変換ルールを入力 ボタンをクリックします。

アドレス変換設定画面(下)

すると、設定入力画面が開きますので、以下のように入力してください。

アドレス変換設定入力画面

(1) は、 WAN 側の IPアドレス 、すなわち グローバルIPアドレス を設定する部分ですが、固定IPアドレス契約ではない一般のインターネット接続契約 の場合には明示的にIPアドレスを設定せず、 "エアステーションのWAN側IPアドレス" を選択します。

(2) は、WAN側から通過させる ポート番号 を指定します。ここではHTTPSの設定を行いますので、 プロトコル は TCP、 ポート番号は443を使用します。このルーターの場合には 443 と設定します 。

(3) は、ポートフォワーディングの着信先 ホスト のIPアドレスですので、 構築中のLinuxサーバー のIPアドレスである "192.168.100.11" を設定します。

(4) は着信先ホストが パケット を受け取るときのポート番号の指定です。省略すると、 (2) と同じポート番号で受け取りますから、この場合は空欄にしておきます。

設定が終わったら ルールを追加 ボタンをクリックします。すると、次のような画面になります。

アドレス変換設定確認画面

ここで、 登録・保存 ボタンをクリックすると設定が有効になります。

これで HTTPS のポートフォワーディングが有効になりましたので、 構築中のLinuxサーバー はWAN空間から セキュアwebサーバー への接続を受け付けられるようになりました。

ただし、大抵のルーターはポートフォワーディングの設定を変更すると本体ごとリセットが行われますので、一度 ISP との接続が切断されます。

するとISPから割り当てられるグローバルIPアドレスも変更になりますから、 ダイナミックDNS を利用している場合、WAN空間からHTTPSの接続をテストするときは30分ほど待ってから行ってください。

その理由がよく解らない方は、以下のパートをご覧ください。

ポートフォワーディングの動作確認

ルーター の ポートフォワーディング の設定がきちんと行われているかどうかを確認するには、もちろん WAN 空間からのアクセスを実行してみるより他はありません。

その前にまず、 LAN 内の任意の ホスト機 から、 webブラウザ で 構築中のLinuxサーバー へ

または IPアドレス で、

などへ HTTP 接続を行ってみて コンテンツ の表示を確認し、 Apache が正常に動作していることを確認してください。

次に、

または、

で接続してみてください。すると、

SSL証明書なしでHTTPS接続をすると表示されるダイアログ

のような ダイアログ が表示されますから、ここで OK ボタンをクリックすると、アドレスバーの URL は "https://www.obenri.com/" あるいは "https://192.168.100.11/" になりますが、通常と同じページが表示されるのが確認できるはずです。

LAN内からの動作が確認できたら、今度は外出先や学校、職場などから同じようにwebブラウザで 構築中のLinuxサーバー へ接続を行ってみてください。

自宅で複数の ISP とインターネット契約を行っていて、 構築中のLinuxサーバー の入っているサブネットとは別のサブネットからインターネット接続が可能な場合には、そこからアクセスしてみても構いません。

WAN空間からのアクセスですので、当然 プライベートIPアドレス は使用できません 。 ダイナミックDNS で登録している任意の FQDN で接続する必要があります。 これでLAN内からの接続と同じように 構築中のLinuxサーバー に "https://〜" でアクセスして正常にコンテンツが表示できればポートフォワーディング設定がうまくいっていることになります。

ただし、ダイナミックDNSを利用している場合には、設定に誤りがなくてもうまく接続ができないことがあります。

通常のインターネット接続契約はWAN側の IPアドレス 、つまり グローバルIPアドレス は固定ではありません 。グローバルIPアドレスはルーターを再起動すれば間違いなく変更になりますし、ずっと接続していても数日おきくらいに ISP 側から強制的に変更されるのが普通です。

ダイナミックDNSは、そのグローバルIPアドレスの変化をキャッチしてから 名前解決 情報の変更を行いますので、その情報がWAN空間の DNSサーバー に行き渡るまでには少し時間が必要になります。

つまり、グローバルIPアドレスが変化してから、名前解決情報の変更がWAN空間に反映されるまでの10〜30分間程度は、FQDNとグローバルIPアドレスが正しく対応していないため、FQDNによるすべてのアクセスがうまくいかないことになります。

ダイナミックDNSを利用している場合、WAN空間からの自宅への接続に関してはそういう避けられない事情がありますから、接続がうまくいかなくても慌てずに30分ほど待ちましょう。

それでも接続がうまいかない場合は、ルーターの設定に間違いがあると考えられますので、上のパートを参考にもう一度設定を確認してください。

ルーターの設定方法は、メーカーや機種によって様々ですから 、ポートフォワーディングの意味をよく理解したうえでルーターのマニュアルを良くお読みになり、設定を行ってください。