OpenVPNによるViscosityクライアントの設定#

このガイドでは、Viscosityクライアント<https://www.sparklabs.com/viscosity/>`_を設定して、OpenVPNインスタンスに接続する方法を紹介します。を使って、`Nitrokey Pro 2 <https://shop.nitrokey.com/shop/product/nk-pro-2-nitrokey-pro-2-3>`_（または`Nitrokey Storage 2）。や`PKCS#11認証<https://openvpn.net/community-resources/how-to/#what-is-pkcs11>`_などがあります。

前提条件#

このガイドでは、クライアント用にインストール・設定されたOpenVPNリモートサーバーが必要です。このドキュメントでは、Debian 10サーバにインストールされたOpenVPN 2.49を使用しています。

Nitrokey Proで認証するためにOpenVPNを設定する方法については、以下の`ドキュメント<openvpn-easyrsa.html>`_を参照するとよいでしょう。

また、以下のものも必要となります。

  • Nitrokey Pro 2またはNitrokey Storage 2

  • Nitrokeyにロードされたクライアントの秘密鍵``client.key``。

  • Nitrokeyに読み込まれたクライアントの証明書 client.crt。

  • 認証局ファイル（例：CA.crt） OpenVPNのセットアップに使用するファイルです。

  • オプションです。共有された秘密鍵のファイル（例：ta.key）。

OpenVPNでの``PKCS#11``の鍵管理の詳細については、OpenVPNの`ドキュメントを参照してください。<https://openvpn.net/community-resources/how-to/>`_<x

使用方法#

  1. Viscosityを起動し、新しい接続「openVPN」を作成します（名前は自由につけられます）。

img1

  1. 接続部分を右クリックし、「編集」をクリックします。

img2

  1. サーバーのIPアドレスを追加し、構成に応じてポートを設定してください。

  2. 認証では、``Type``の中で、``SSL/TLS Client (PKCS11)``までスクロールダウンします。

  3. 接続先のCAファイルを選択する

任意です。``ta.key``の部分で、``TLS-Auth``を選択してください。

img3

  1. Providersフィールドの横にあるAddボタンをクリックして、Nitrokeyの``PKCS#11``モジュールを選択します。複数のプロバイダーを指定することができますが、ここでは``OpenSC``を使用します。

macOSでは、/usr/libディレクトリにモジュールを置くのが一般的です。使用する場所については、お使いのドライバーソフトに同梱されているドキュメントをご参照ください。OpenSCのモジュールは、``/Library/OpenSC/lib/opensc-pkcs11.so``にあります。

Windowsでは、ライブラリの最も一般的な場所は、``C:Program Files``または``C:WindowsSystem32``のいずれかです。OpenSCのライブラリは一般的に``C:Program FilesOpenSC ProjectOpenSCpkcs11``にあります。ここには複数のライブラリが用意されている場合がありますので、それぞれを試してみるか、単純に両方を追加してください。

  1. 検索方法」ドロップダウンメニューから検索方法を選ぶ

img4

  • このコンピュータでNitrokeyを1台しか使用しない場合は、``Use certificate name below``を選択します。Nitrokeyが現在コンピュータに接続されている場合は、``Detect``ボタンをクリックすると、ViscosityのNameフィールドが自動的に入力されます。それ以外の場合は、このフィールドは手動で記入できます。

  • 疑問がある場合や、複数のNitrokeyを使用する場合（複数のユーザーがいる場合）は、``Prompt for certificate name``を選択してください。

``Prompt for certificate name``が選択された場合、Viscosityは指定されたPKCS#11モジュール/sを使用して、Nitrokeyで必要なキーを自動的に検出します。検出されたデバイスの中から選択するか、手動で使用する``serialized id``の名前を入力します。また、必要に応じてパスワード/PINの入力を求められます。

  1. 保存ボタンをクリックして、メインインターフェースから接続する

リファレンス#

備考#

  • Viscosityは無料ではありませんので、無料版の使用には問題があるかもしれません。

  • フリーでオープンな代替手段として、`Pritunl <https://client.pritunl.com/>`_の使用を検討しています。