VPNで使用するポートについて

Question

接続元のネットワークの都合で80ポートか443ポートを使って自宅へVPN接続をしています．今までは443ポートを使ってVPN接続をしていましたが，都合で80ポートに切り替えようと思っています．

HTTP，HTTPS的な観念で443>80という印象がぬぐえないのですが，ポートを単に使うという意味合いでは80も443も変わらないのでしょうか？

よろしくお願いします．

Answer 1

どんなVPNを使っているかによりますが、VPN装置へ直接アクセス可能であれば、ポートは何を使ってもほとんど問題ありません。しかし、ファイアウォールやプロキシ経由になると問題が生じる場合があります。

OpenVPNやSSTP等のVPNではHTTPSと同じTCP443が使用できるようになっています。これは擬似的にHTTPS通信に見せかけることができるというもので、実際はHTTPSではありません。しかし、暗号化が確立してしまうと、クライアントとサーバーの間は暗号化されているので、外から見たとき(経由する装置から見たとき)にHTTPSなのかどうかを判断することはできないようになっています。(ただし、使用するVPNによっては、暗号化確率前の動作を検知して、判断できてしまう場合もあります。)

HTTPプロキシ経由でHTTPSへ接続する場合、CONNECTというメソッドをプロキシに送って、その後のパケットを転送して貰う仕組みになっています。プロキシサーバー側ではCONNECTとTLSハンドシェイクの途中までは判別できますが、その後のTLSによって暗号化確立後は中身を見ることはできません。この性質を利用して、OpenVPNやSSTPはHTTPプロキシ経由であっても接続することが可能です。

このCONNECTは悪用すると全ての通信(それこそSSHとかTelnetとかにも)に使えてしまいます。プロキシを導入している理由は怪しい通信を抑止することが目的であるため、一般的なプロキシサーバーでは、CONNECTが可能なポートを443のみに制限しています。つまり、80へのアクセスにCONNECTは使えないと言うことです。

また、ファイアウォールで制限している場合、80や443といったポートしか空けていない場合があります。では、80なら問題ないかというとそうでもありません。今時のファイアウォールはIPSや透過プロキシウイルスチェック機能等が統合されたUTMの場合があり、80ポート通信は通常のHTTP以外は異常な通信として弾くという場合があります。

ということで、クライアント側の環境によりますが、場合によってはうまくいかない可能性があります。その場合の解決方法はお使いのクライアントのネットワーク管理者に聞いてみないとわからないでしょう。

Answer 2

そうですね
skypeも80ポート使ってますしね（今は違うかもしれませんが）