自宅鯖への通信の暗号化について

Question

実現したいこと

自宅鯖までの通信経路の暗号化はどうすべきか？

前提

趣味で自宅鯖を構築しようと思っています。
DDos攻撃、自宅IP隠蔽のため、さくらのVPSを借りて、VPS上にリバースプロキシを構築して、自宅まで転送させようと思っています。

行いたいこと

クライアントからVPS間の通信に関しては、SSLを使って暗号化できるとして…
VPSから自宅鯖間の通信を暗号化する方法としては何があるのでしょうか？

ぱっと思いつくのは、SSH（公開鍵暗号化方式）やVPNで暗号化

聞きたいこと

このようなことをしたい場合、通信を盗聴されても、どうやって難読化するのが正解なのかが知りたいです。
例えば、一部をクラウドで構築し、サーバー自体はオンプレなども同じような場合があると思うのですが、どのように対策するのが正解なのかが知りたいです。

Comments

[退会済みユーザー]

この手のお悩みなら、まずはDDNSに自宅IPを登録して外から自宅に繋げてみましょう。
その成否が分かってから、具体的なやりたいこと、予算を決めた上で、具体的な案を複数出して、他人に吟味してもらいましょう。
やりたいこともなく、予算も不明で、案もないのなら、まずDDNSに自宅IP登録してポートフォワードでWeb鯖してみるだけでいいのでは？(回線やプロバイダや環境によってはできないか、怒られます)

Answer 1

ぱっと思いつくのは、SSH（公開鍵暗号化方式）やVPNで暗号化

SSHでいいのでは。
多段SSHでぐぐってみればよろしいかと

Comments

[Nero1129]

ありがとうございます。
ちなみに、質問後、色々調べたら、ipに対して、オレオレ証明突っ込んで、通信を暗号化するって方法もあるらしいのですが、SSHとSSL、どちらがセオリなのでしょうか？
予算や、条件によって変わってくると思うのですが、メリットデメリットもあれば教えて頂けると幸いです。

Answer 2

自宅サーバーがウェブサーバーで、リバースプロキシと自宅サーバーがHTTPあるいはHTTPSなのであれば、VPNやSSHトンネルを使うケースはあまりないように思います。自宅サーバーのウェブサーバー側でIPアドレス制限して、リバースプロキシからの通信のみを受け付けるようにしておけば十分です。

通信内容が特に秘匿性のないものであれば、HTTPを使う選択肢もあると思いますが、HTTPSにしたければ、自宅サーバー側にも証明書を入れてHTTPSにすればよいです。そして、リバースプロキシ側でアップストリーム（この場合は自宅サーバー）にHTTPSで接続するようにすれば十分です。

やりたければ、VPNやSSHトンネルにしてもよいですが、いずれにせよ、侵害されるケースとして一番考えられるのはVPS上のリバースプロキシサーバーが侵害されるケースだと思いますので、その場合は攻撃者はいずれにせよVPS経由で自宅サーバーに接続できるので、通信経路の暗号化はあまり関係なく、使ったとしてもHTTPSで十分かと思います。

Comments

[Nero1129]

徳丸さんから直々に解答を頂けるとは光栄です。
ありがとうございます。

IP制限は基本中の基本でしたが、盲点でした。
秘匿性のあるものを流したいので、証明書をいれ、IP制限を掛けてアクセスを制限したいと思います。