リモートワークが普及する中でSaaSアプリケーションへのアクセスを特定のIPアドレスに限定したいという場合があるかと思います。
本記事では、Azure上にOpenVPNサーバーを構築しリモートワーク環境においてIPアドレスを固定化する方法を解説します。利便性も損なわないようにEntraIDとのSSO設定も行います。
構築手順
Azure Marketplace の OpenVPN を使って 超簡単・安価にリモートアクセスを可能にする #ssl-vpn – Qiita
Azure仮想ネットワークの構築
Azure ポータルから仮想ネットワークを新規作成します。
サブスクリプションやリソースグループは任意に設定してください。
OPEN VPNサーバーの構築
Azureポータルで「Marketplace」を開きます。
「Open VPN」を検索し、作成 > Open VPN Access Serverをクリックします。
仮想マシンの作成画面が出てきますので、リージョンやサイズを指定します。
サイズは10名程度の接続であれば、B1sで問題ないかと思います。（後からスケールアップも可能です）
ディスクはStarndardSSDを選択します。
外部から接続できるようにパブリックIPを付与します。NSGは自動で作成してくれます。
確認画面で設定に問題ないことを確認します。
パブリックIPが発行されていることを確認します。
NSGの設定を少し変更します。default-allow-sshをクリックします。
ソースをMy IP addressに変更します。
OPEN VPN の初期設定
TeraTermからパブリックIPへ接続します。
ユーザー名、パスワードはAzure上で設定したものを入力します。
最初に下記の画面が表示されますので「yes」をクリックします。
再度「yes」をクリックします。
管理アカウントopenvpnのパスワードを設定します。
ActivationKeyはブランクのままEnterを押します。
以下の画面まで進めば初期設定は完了です。
表示されたAdmin UI のULRにアクセスします。以下のような画面になりますが問題ないので進みます。
ログイン画面でユーザー名：openvpnとパスワード（仮想マシン上で設定したもの）を入力します。
「Agree」をクリックして進みます。
Configration > Network Settings から Hostname or IP Addressに仮想マシンのパブリックIPを入力します。
Save Settingsで保存します。
サーバーへ変更を適用します。
接続アプリのインストール & 接続
EntraID によるSSO設定
Authentication > SMALに移動し、SP Identity と SP ACSの値をメモします。
AzureからEntraID > エンタープライズアプリケーション > 新しいアプリケーション > 独自のアプリケーションの作成を選択します。
名前を「OpenVPN」とし、「ギャラリーに見つからないその他のアプリケーションを統合します（ギャラリー以外）」を選択します。
シングルサインオンの設定 > 作業の開始をクリックします。
SAMLを選択します。
編集をクリックします。
識別子にSP Identity、応答URLにSP ACSの値を入力します。リレー状態はcwsとします。
メタデータURLをコピーします。
OpenVPN管理画面のidP Metadata URLに値を張り付けて、Getをクリックします。
自動的にIdPの設定が行われます。
最後にSAML認証の有効化を「Yes」に変更します。
設定をサーバーに反映させます。
Azure上のエンタープライズアプリにユーザーを追加します。
Azureと同じユーザーIDを持つアカウントをOpenVPN上でも作成します。設定は下記の通り。
設定をサーバーに適用します。
クライアント向けのURL（https://<IPアドレス>:943）にアクセスします。
Sign In via SAMLを選択します。
追加したユーザーのIDを入力します。
Windowsアイコンをクリックしてクライアントアプリをダウンロードします。
以下の表示になった場合は「…」をクリックします。
保存をクリックします。
保持するをクリックします。
インストーラーを実行し、「Next」をクリックします。
「Next」をクリックします。
「Install」をクリックします。
初めのチュートリアルは「×」を押して閉じます。
「Agree」をクリックします。
下記のアイコンをクリックします。
以下の画面が表示されたら、ブラウザで認証画面が開くまで待機します。
ブラウザにユーザーのPWを入力します（Azure/M365のPW）
下記の通り表示されれば接続完了です。
自身のIPアドレスを確認すると、OpenVPNのアドレスになっていることを確認できます。
最後にお知らせ
弊社ではAzure / Microsoft 365 関連の最新情報を日本語で分かりやすく、月1回（緊急時は都度）ご案内するメールマガジンを配信しています。
Azure管理者様必見です！ご興味お持ちいただけましたらぜひ下記よりご登録ください。
コメント