OPNsense環境を前提に陳腐化リスク、設定難易度、軽さ、ポピュラー度、OS標準組込み有無などの視点でしらべた。
--- 以下、Gemini回答をベースに少しだけ手を加えた ---
4つのプロトコル比較表
評価視点 | WireGuard | OpenVPN | IKEv2 (IPsec) | L2TP/IPsec (参考) |
|---|---|---|---|---|
陳腐化リスク | 極めて低い （次世代の標準） | 低い （枯れているが安全） | 低い （企業向け標準） | 高い （Apple等で非推奨化） |
設定の容易さ （OPNsense側） | 非常に簡単 （コードがシンプル） | 普通 （CAや証明書管理あり） | 非常に難しい （GUI変更もあり現在難航） | 普通 （設定例は多い） |
軽さ （速度・低遅延） | 圧倒的に軽い （カーネル動作） | 重い （ユーザ空間動作） | 軽い （カーネル動作） | やや重い （二重カプセル化） |
ポピュラー度 | 急上昇中 | 非常に高い | 高い（特にビジネス） | 低下中 |
オープンソース | YES | YES | YES （StrongSwan等） | YES （Libreswan等） |
Win標準機能で 接続可能か |  不可（アプリ必須） | 不可 （アプリ必須） |  可能（要証明書設定） | 可能 （要事前共有鍵） |
| プロトコル名 | 標準ポート番号 | 通信プロトコル | 備考 |
| WireGuard | 51820 | UDP | 1つのポートのみを使用する非常にシンプルな構成。 軽量（コード数千行）で高速。モバイル端末でのバッテリー消費抑制。 一部の古い通信環境でサポート無しの場合有り。 |
| OpenVPN | 1194 | UDP (推奨) ※TCPも可 | 標準はUDP。設定次第でTCPの443番（通常のHTTPS通信と同じ）に変更して検閲回避可能。広く普及。 WireGuardよりも通信速度やバッテリー消費量で劣後か。（注、経験的にうなづける） |
| IKEv2/IPsec |
| UDP UDP | 鍵交換に500番、データ通信（NATトラバーサル）に4500番の両方を使用。接続の安定性が非常に高く、Wi-Fiから4G/5Gに切り替わって通信瞬断しても、VPN自動再確立可。 一部のファイアウォールでブロックされやすいポート使用。 |
| L2TP/IPsec |
| UDP UDP UDP | IPsecの制御に500/4500番を使い、L2TPのトンネリング自体には1701番を使用します。主要なOSに標準でクライアントが組み込まれていることが多い。 一方、非推奨化・削除が進行中。 二段階でカプセル化するためオーバーヘッド大きく、速度が低下しやすい。 一部のファイアウォールでブロックされやすいポート使用。 古い環境等でNATトラバーサルの互換性が低く、通信が途中で破棄されるトラブルあり。 |
視点別の詳細評価
1. 陳腐化リスク
- WireGuard: リスクはほぼゼロ。モダンな暗号論（ChaCha20等）
のみを採用し、Linuxカーネルに組み込まれたため、 今後の主流。 - OpenVPN / IKEv2: リスクは低い。設計は古いが、
暗号スイートの更新が続けられており、現役で安全に使えます。 - L2TP/IPsec: リスク高めです。 暗号自体はIPsecなので安全。プロトコルとして古く、Apple製品などで段階的に非推奨・
削除（iOSの標準メニューから消えるなど）が進んでいます。
2. 設定の容易さ（OPNsense 26.1環境）
- WireGuard: OPNsenseのメニュー変更（26.1など）
の影響を受けにくく、 設定項目が数個しかないため最もトラブルが少ない。正しい認証鍵（公開鍵）を持たない通信に対しては一切の応答を返さない設計がデフォルトで組み込まれています。 - IKEv2 (IPsec): OPNsenseのメニュー改編の最大の被害エリア。
StrongSwanの仕様変更に伴いGUIが変わることが多く 、現在もっとも構築の難易度が高い。ステルス化は、ほぼ不可（仕様上、スキャナーに応答してしまう）。 - OpenVPN: 設定手順が確立されており、ドキュメントも豊富。
ただし tls-auth または tls-crypt の有効化は最推奨・必須級：←OpenVPNの標準機能。Shodanなどのスキャナーに対して完全に存在を隠す（ステルス化する）ために設定すべき。正しい鍵を持たない第三者がアクセスしてきても、サーバーはパケットをドロップします。
3. 軽さ（パフォーマンス）
- WireGuard や IKEv2: カーネル空間で動作するためCPU負荷が非常に低く、
回線速度の限界までスループットが出ます。 - OpenVPN: ユーザ空間で動作するため、暗号化のオーバーヘッドが大きく、
通信速度が頭打ちになりやすいです。
4. ポピュラー度合い
- OpenVPN: 知名度・実績ともにナンバーワンです。
- WireGuard: 技術者の間で急速に標準化が進んでいます。
- IKEv2: 法人VPNのデファクトスタンダードです。
5. オープンソース
- いずれもOPNsense側（サーバ側）の内部実装（
StrongSwan, OpenVPN, WireGuard-go/kernel） はすべてオープンソースで構成されています。
「Windowsに何も入れたくない」を踏まえた最適解の考察
「追加インストールによるリスク（脆弱性の混入）を避けたい」
WireGuard と OpenVPN どちらもWindows標準のVPNクライアント機能では接続で
L2TP/IPsec の妥協案Windows標準機能で接続でき、
結論：IKEv2の壁を突破するのが最善Windowsにソフトを入れず、
IKEv2であれば、
No comments:
Post a Comment