簡易的なVPNの実装について

Question

簡易的なVPNの実装について

現在、セキュリティの学習を行う学生です。
VPNについての新方式を考える上で、簡易的なVPNを実装したいと考えています。
機能としては以下の通りです。

• スマホアプリ(クライアント)からVPNサーバへの通信を始める
• VPNサーバはクライアントを認証を行う。
• その後、クライアントは、Webサイト閲覧などの通信を暗号化しVPNサーバに転送
• VPNサーバは受信パケットを復号して、該当するサーバ(例: Googleのサイト)に転送
• Webサイトからの返答があれば、VPNサーバが受け取ったのちに暗号化し、クライアントに転送
• クライアントは受け取ったパケットを復号し、返答を受け取る

実装にあたり以下を想定しています。

• 認証方式: ID/パスワード認証
• 暗号化: AES-256-GCM
• クライアントではswiftを用いてiPhoneアプリを作成する
• VPNサーバは処理速度は遅いものの実装難度を考慮しPythonで作成
• OpenVPNなど、既存のVPNライブラリを用いず実装したい

ご教授いただきたいこと

クライアント・VPNサーバ共にコーディング時利用するもの

実装の際にはソケット通信を用いることは分かるのですが、実際の通信パケットをどのように操作するのかがいまいち理解できてません。
考えているのは、パケットキャプチャをして、キャプチャしたパケットに暗号化等の処理をVPNサーバに送るといった処理です。
これを実現するために、どのような処理を行うべきか教えて頂きたいです。また考え方が間違っていましたら、そこもご指摘頂けますと幸いです。

認証等はまだ未実装ですが、ソケット通信部分の大枠のコードを添付致します。

具体的にはクライアント側21行目の処理やサーバ側26行目の処理をお教え頂きたいです。
拙い文章で申し訳ありませんが、ご教授頂けますと幸いです。

該当のソースコード

クライアント側

import Network
import Foundation
import SwiftSocket

let VPN_SERVER_ADDRESS = "VPNサーバのアドレス"
let VPN_SERVER_PORT = "ポート番号"

// パケットキャプチャを開始する
let capture = NWPacketCapture.create(interface: .wifi)!
capture.setFilter("tcp")

capture.start(queue: .main) { (packet: Data, interface: NWInterface, direction: NWDirection) in
    // カプセル化するためのIPヘッダを作成
    let ipHeader = IPHeader(sourceIP: interface.ipv4Addresses.first!,
                            destinationIP: VPN_SERVER_ADDRESS)

    // カプセル化するためのTCPヘッダを作成
    let tcpHeader = TCPHeader(destinationPort: VPN_SERVER_PORT)

    // ペイロードを作成 ここの処理がわからない。packet.dropFirst()を用いる？
    let payload = XXXXXXXX
　　　　　　　//ここでパケットをAESで暗号化する


    // カプセル化するためのパケットを作成
    let vpnPacket = ipHeader.data + tcpHeader.data + payload

    // VPNサーバにパケットを送信する
    sendToVPNServer(vpnPacket)
}


func sendToVPNServer(_ packet: Data) {
    // IPv4ソケットを作成
    let socket = try! RawSocket(protocolFamily: .inet, socketType: .raw, protocol: .ip)

    // VPNサーバのアドレスとポートを設定
    let address = InternetAddress(hostname: VPN_SERVER_ADDRESS, port: VPN_SERVER_PORT)

    // パケットを送信
    do {
        try socket.write(from: packet, to: address)
    } catch let error {
        print("Failed to send packet: \(error.localizedDescription)")
    }

    // ソケットを閉じる
    socket.close()
}

VPNサーバ側

import socket
import struct

VPN_SERVER_ADDRESS = "VPNサーバのアドレス"
VPN_SERVER_PORT = ポート番号

# IPv4ソケットを作成
sock = socket.socket(socket.AF_INET, socket.SOCK_RAW, socket.IPPROTO_IP)

# ソケットオプションを設定して、すべてのパケットを受信するようにする
sock.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
sock.bind((VPN_SERVER_ADDRESS, VPN_SERVER_PORT))

while True:
    # パケットを受信
    packet, address = sock.recvfrom(65535)

    # IPヘッダ、TCPヘッダ、ペイロードを解析
    # ペイロードはAESで復号
    ip_header = packet[:20]
    tcp_header = packet[20:40]
    payload = packet[40:]

    # 復号後のパケットのIPヘッダをもとに転送したい
    # IPヘッダから送信先IPアドレスを取得 ここがわからない
    destination_ip = XXXXXXXX

    # パケットを宛先アドレスに転送
    with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s:
        s.connect(destination_address)
        s.sendall(packet)

Comments

[hoshi-takanori]

その VPN は、例えば Safari や他のアプリの通信を VPN 経由にするってことでしょうか？

[poto568]

この辺↓の情報は参考になるでしょうか
https://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q14265009519

[退会済みユーザー]

@hoshi-takanori 様
その様な認識です。VPNサーバを経由した通信にする形になります。

[退会済みユーザー]

@poto568
情報提供頂きありがとうございます。
拝読いたしました。wireguard内のソースコードを読んでみようと思います。

Answer 1

私だったら、

1. openVPNを使って実装
2. openVPNのプロトコルについて学習
3. openVPNと同じAPIでフルスクラッチで部分的にVPNクライアント実装

などとすると思います。
また、2・3の段階でさらにいろいろ引っかかると思います
VPNだとTCPではなくUDPを用いることが多いとか...

学習のためでも、既存のライブラリを使用して実装したのち、それを置き換えるものをスクラッチとした方が悩むことが少ないかと思います

Comments

[退会済みユーザー]

ご回答いただきありがとうございます。
既存ライブラリからの学習を行なった後に、置き換えるよう実装を行いたいと思います。