[クライアント] ---平文データ--- [インターネット] ---平文データ--- [サーバー]
                ↑ 盗聴・改ざんのリスク

[クライアント] ===暗号化トンネル=== [VPNサーバー] --- [社内LAN/サーバー]
                ↑ 第三者は内容を読めない

                    ┌──────────────┐
[自宅PC] ========== │  VPNサーバー   │ ─── [社内ファイルサーバー]
                    │              │ ─── [社内Webシステム]
[外出先スマホ] ===== │  (ゲートウェイ) │ ─── [社内DB]
                    └──────────────┘
    ===== : VPNトンネル（暗号化）

  本社 (192.168.1.0/24)              支社 (192.168.2.0/24)
┌──────────────────┐            ┌──────────────────┐
│ [PC] [サーバー]    │            │ [PC] [プリンター]   │
│        │         │            │        │         │
│   [VPNルーター] ──╋════════════╋── [VPNルーター]   │
└──────────────────┘  暗号化      └──────────────────┘
                      トンネル

# WireGuardのインストール
sudo apt update
sudo apt install wireguard

# カーネルモジュールの確認
sudo modprobe wireguard
lsmod | grep wireguard

# EPELリポジトリの追加
sudo yum install epel-release
sudo yum install wireguard-tools

# 秘密鍵を生成
wg genkey | tee privatekey | wg pubkey > publickey

# 鍵の確認
cat privatekey
# oK0jS2m8T3x...（秘密鍵 - 絶対に外部に漏らさない）

cat publickey
# aB3cD4eF5g6...（公開鍵 - 相手に渡す）

# 事前共有鍵（オプション、追加のセキュリティ層）
wg genpsk > presharedkey

chmod 600 privatekey
chmod 600 /etc/wireguard/wg0.conf

[Interface]
# サーバーの秘密鍵
PrivateKey = <サーバーの秘密鍵>
# VPNトンネルのIPアドレス
Address = 10.0.0.1/24
# リッスンポート
ListenPort = 51820
# IP転送を有効にするPost-Upスクリプト
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# クライアントの公開鍵
PublicKey = <クライアントの公開鍵>
# クライアントに割り当てるIP
AllowedIPs = 10.0.0.2/32

[Interface]
# クライアントの秘密鍵
PrivateKey = <クライアントの秘密鍵>
# VPNトンネルのIPアドレス
Address = 10.0.0.2/24
# DNSサーバー
DNS = 1.1.1.1, 8.8.8.8

[Peer]
# サーバーの公開鍵
PublicKey = <サーバーの公開鍵>
# サーバーのエンドポイント
Endpoint = vpn.example.com:51820
# トンネルに流すトラフィック（全トラフィック）
AllowedIPs = 0.0.0.0/0
# 接続維持のためのキープアライブ
PersistentKeepalive = 25

# VPNインターフェースの起動
sudo wg-quick up wg0

# VPNインターフェースの停止
sudo wg-quick down wg0

# 自動起動の設定
sudo systemctl enable wg-quick@wg0

# 接続状態の確認
sudo wg show
# 出力例:
# interface: wg0
#   public key: aB3cD4eF5g6...
#   private key: (hidden)
#   listening port: 51820
#
# peer: xY7zW8vU9t0...
#   endpoint: 203.0.113.10:51820
#   allowed ips: 10.0.0.2/32
#   latest handshake: 32 seconds ago
#   transfer: 1.24 MiB received, 3.45 MiB sent

# OpenVPNとEasyRSA（証明書管理ツール）のインストール
sudo apt update
sudo apt install openvpn easy-rsa

# EasyRSAディレクトリの準備
make-cadir ~/openvpn-ca
cd ~/openvpn-ca

# PKIの初期化
./easyrsa init-pki

# CA（認証局）の作成
./easyrsa build-ca nopass
# → ca.crt が生成される

# サーバー証明書と鍵の作成
./easyrsa build-server-full server nopass
# → server.crt, server.key が生成される

# クライアント証明書と鍵の作成
./easyrsa build-client-full client1 nopass
# → client1.crt, client1.key が生成される

# DH（Diffie-Hellman）パラメータの生成
./easyrsa gen-dh
# → dh.pem が生成される（数分かかる）

# TLS認証鍵の生成
openvpn --genkey secret ta.key

# ポートとプロトコル
port 1194
proto udp
dev tun

# 証明書と鍵のパス
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key
dh /etc/openvpn/dh.pem
tls-auth /etc/openvpn/ta.key 0

# VPNネットワーク設定
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 1.1.1.1"
push "dhcp-option DNS 8.8.8.8"

# 暗号化設定
cipher AES-256-GCM
auth SHA256

# セキュリティ
user nobody
group nogroup
persist-key
persist-tun

# ログ
status /var/log/openvpn-status.log
log-append /var/log/openvpn.log
verb 3

client
dev tun
proto udp
remote vpn.example.com 1194

resolv-retry infinite
nobind
persist-key
persist-tun

# 証明書（インライン形式）
<ca>
-----BEGIN CERTIFICATE-----
（CA証明書の内容）
-----END CERTIFICATE-----
</ca>

<cert>
-----BEGIN CERTIFICATE-----
（クライアント証明書の内容）
-----END CERTIFICATE-----
</cert>

<key>
-----BEGIN PRIVATE KEY-----
（クライアント秘密鍵の内容）
-----END PRIVATE KEY-----
</key>

<tls-auth>
-----BEGIN OpenVPN Static key V1-----
（TLS認証鍵の内容）
-----END OpenVPN Static key V1-----
</tls-auth>
key-direction 1

cipher AES-256-GCM
auth SHA256
verb 3

# サーバーの起動
sudo systemctl start openvpn@server

# 自動起動の設定
sudo systemctl enable openvpn@server

# 状態の確認
sudo systemctl status openvpn@server

# 接続中のクライアント確認
cat /var/log/openvpn-status.log

# WireGuard用：VPNポートのみ許可
sudo ufw allow 51820/udp
sudo ufw allow from 10.0.0.0/24  # VPNクライアントからのアクセス

# OpenVPN用
sudo ufw allow 1194/udp
sudo ufw allow from 10.8.0.0/24

# 不要なポートは閉じる
sudo ufw default deny incoming
sudo ufw enable

# VPNインターフェース以外からの管理アクセスを拒否
sudo iptables -A INPUT -i eth0 -p tcp --dport 22 -j DROP
sudo iptables -A INPUT -i wg0 -p tcp --dport 22 -j ACCEPT

# VPN接続中のDNSサーバーを確認
resolvectl status

# DNS漏洩テスト
# VPNトンネル経由でDNSが解決されていることを確認
nslookup example.com
# Server: 10.0.0.1  ← VPN内のDNSならOK
# Server: 192.168.1.1 ← ローカルDNSなら漏洩している

# WireGuard：接続状態のモニタリング
watch -n 5 sudo wg show

# OpenVPN：ログのリアルタイム監視
tail -f /var/log/openvpn.log

# 不審な接続の検知（失敗した接続を抽出）
grep "AUTH_FAILED" /var/log/openvpn.log
grep "TLS Error" /var/log/openvpn.log