WireGuardベースのTailscaleを使ってAmazon Lightsail上にVPNサーバを10分で作る

VPSサービスのAmazon Lightsail上にWireGuardベースのTailscaleをインストールしてVPNサーバをシュッと作る

#VPN

#Amazon Lightsail

#Tailscale

#AWS

quiver

2022.03.22

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

Amazon LightsailとTailscaleを使い、AWS上でVPNサーバーをシュッと構築する方法を紹介します。

Amazon Lightsail

Amazon Lightsailは、AWSが提供するVPSサービスです。 AWSは世界各地にデータセンターを集積したリージョンが存在します。

VPNサーバを特定のリージョンに作成すると、VPN接続時はそのリージョンのあるエリアからアクセスしていることになります。

東京リージョンにVPNサーバを構築すれば、日本ローカルのサービスにアクセスしたり、ソーシャルメディアが規制されているエリアに滞在中の迂回策としても利用できます。

参考 : Amazon Lightsail を利用可能なリージョン

Tailscale

Tailscale はデバイス・アプリケーション同士をP2Pのメッシュネットワークで通信させるVPNサービスです。 Linuxカーネルにも組み込まれているWireGuardをベースに実装されています。

デフォルト設定では、スプリットトンネル的に、Tailscaleネットワーク向けトラフィックにのみ Tailscaleは割り込みます。

Exit Node機能を利用すると、Tailscaleネットワーク外へのトラフィック(0.0.0.0/0;デフォルトルート)をTailscaleネットワークの特定のノード(exit node)に向けることができます。

※ 図の引用元 Exit Nodes (route all traffic) · Tailscale

やってみた

今回は Tailscale の exit node を東京リージョンの Amazon Lightsail インスタンス上に作成し、Tailscale をインストールしたクライアントからこのインスタンスのIP経由でインターネット通信できることを確認します。

Tailscaleのアカウント開設

まずは次の URL から Tailscale のアカウントを開設します。

https://tailscale.com/start

Google/Microsoft/GitHubのアカウントでSSOします。

また、接続に利用する端末にTailscaleエージェントをインストールしてください。

認証キーの事前発行

Tailscaleネットワークに新しいノードを参加させるには、基本的には、インタラクティブに認証させる必要があります。

今回は、CloudFormation のプロビジョニング中に認証も済ませたいため、認証キーを事前に発行します。

管理コンソールのSettings → Keys → Auth Keys から認証キーを発行します。

認証キーを使い回さないため、Reusable : Off
exit node は一時停止する可能性もあるため、 Ephemeral : Off

とします。

認証キーをあとから再取得することはできません。ご注意ください。

参考 : Auth keys · Tailscale

AWS CloudFormationで Lightsail サーバーを起動

Amazon CloudFormation は AWSリソースを構築する IaC サービスです。

次のテンプレートをお好みのリージョン(例えば東京)から実行します。テンプレート最終行の --authkey tskey-XXX には、先の手順で取得した認証キーに置き換えてください。

AWSTemplateFormatVersion: "2010-09-09"
Description: Tailscale

Resources:
  TailscaleNode: 
    Type: AWS::Lightsail::Instance
    Properties:
      BlueprintId: ubuntu_20_04
      BundleId: nano_2_0
      InstanceName: TailScaleExitNode
      Networking: 
        Ports:
          - AccessDirection: inbound
            AccessFrom: "Anywhere (0.0.0.0/0)"
            AccessType: Public
            Protocol: udp
            FromPort: 41641
            ToPort: 41641
      UserData: |
        #!/bin/bash -xe

        # enable ip forwarding
        echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf
        echo 'net.ipv6.conf.all.forwarding = 1' >> /etc/sysctl.conf
        sudo sysctl -p /etc/sysctl.conf

        # install tailscale
        curl -fsSL https://tailscale.com/install.sh | sh

        # register node
        tailscale up --advertise-exit-node  \
          --hostname=lightsail-exit-node \
          --authkey tskey-XXX # 認証キーを入れ替える

具体的にやっていることは以下です。