VPNの「裏」を覗く：OpenVPNにおけるUDP 1194とTCP 443の血肉を分けた最適化
ネットワークエンジニアの諸君、今日もパケットの海を泳いでいることだろう。我々が日常的に扱うOpenVPNだが、単に「トンネルを掘る」という認識で止まってはいないか？
特に、標準の UDP 1194 と、禁断の果実とも言える TCP 443 の使い分けについては、多くのエンジニアが「繋がるか、繋がらないか」という二元論で語りがちだ。だが、その裏でカーネルのバッファがどう悲鳴を上げ、ハンドシェイクがどの程度のレイテンシを積み上げているのかを理解することは、真のプロフェッショナルには不可欠な素養だ。
今日は、この二つのプロトコルの挙動を深層から解剖していく。
—
UDP 1194：生粋のパフォーマンス主義者
OpenVPNのデフォルトである UDP 1194 は、まさにスピードへの渇望そのものだ。
パケットの挙動とオーバーヘッド
UDPはコネクションレスであるため、TCPのような3ウェイ・ハンドシェイクを待つ必要がない。VPNトンネル内部でTCP通信を行う場合、いわゆる「TCP over TCP」問題が発生する。もしVPNの基底プロトコルもTCPにしてしまうと、パケットロス発生時に「VPN側の再送」と「アプリ側の再送」という二重の再送タイマーが競合し、いわゆる「TCP Meltdown」を引き起こす。
UDPを選択することで、この二重再送を回避し、ネットワーク層の生に近いスループットを維持できる。
現場で効くチューニングの極意
UDPのパフォーマンスを極限まで引き出すには、カーネルの送受信バッファ調整が欠かせない。sysctl で以下の値をチューニングし、パケットの取りこぼしを物理的に防ぐのが定石だ。
# /etc/sysctl.conf に追記し、高負荷時のバッファ枯渇を防ぐ
net.core.rmem_max = 26214400 # 受信バッファ最大値を25MBへ
net.core.wmem_max = 26214400 # 送信バッファ最大値を25MBへ—
TCP 443：境界防御を突破する「偽装」の術
一方で、TCP 443 は強固なファイアウォールやDPI（Deep Packet Inspection）に阻まれた際の最終防衛線だ。HTTPSトラフィックに擬態することで、検閲やフィルタリングをすり抜ける。
TLSハンドシェイクの魔術
OpenVPNを proto tcp で動作させると、暗号化されたトンネルそのものがTLSハンドシェイクとして認識される。これにより、中間のミドルボックスは単なるHTTPS通信としてパケットを透過させる。
しかし、ここで忘れてはならないのが、tcp-nodelay の存在だ。デフォルトのTCPスタックは、小さなパケットをバッファに溜めて効率的に送ろうとする「Nagleアルゴリズム」が働くが、これはインタラクティブなVPN通信において致命的な遅延を生む。
# server.confの設定例
proto tcp
port 443
# Nagleアルゴリズムを無効化し、パケット即時送出を強制
tcp-nodelay
# MTUの断片化を避けるための最適化
mssfix 1360mssfix を 1360 程度に設定することで、オーバーヘッドによるパケット分割の連鎖を抑止し、RTT（往復遅延時間）を劇的に改善できる。
—
ヘッダー圧縮とセキュリティのトレードオフ
OpenVPNには comp-lzo や lz4 といったヘッダー圧縮機能があるが、近年のセキュリティ事情を鑑みると、これらは「劇薬」だ。
2011年に発表された CRIME 攻撃の手法を思い出してほしい。暗号化されたペイロードに対して圧縮をかけると、サイドチャネル攻撃によって暗号文の長さから元の平文を推測されてしまうリスクがある。
結論として、現代の高速なブロードバンド回線において、圧縮を有効にするメリットは薄い。 むしろCPU負荷とセキュリティリスクを天秤にかければ、comp-lzo はオフにすべきだ。
—
現場のトラブルシューティング：なぜ繋がらないのか？
最後に、現場で最も多い「接続不安定」のケースを挙げる。
1. MTUの不一致: IPsecやGREを併用する環境では、カプセル化によるMTU不足がパケットドロップを招く。ping -f -l 1472 <IP> でサイズを徐々に下げ、フラグメントが発生しない上限を見極めること。
2. TCPセグメントの再送: tcpdump を走らせて、パケットの Retransmission が多発していないか確認しろ。もし発生しているなら、VPNのプロトコル設定ではなく、物理層のリンク品質を疑うべきだ。
凄腕のネットワークスペシャリストからのアドバイス
ネットワークは「魔法」ではない。パケットは物理法則に従い、カーネルのキューで整列し、ファイアウォールのルールで裁かれる。
UDP 1194で「速度」を追求するか、TCP 443で「到達性」を確保するか。これは単なる設定の選択ではなく、インフラエンジニアとしての「設計思想」そのものだ。
君たちが今日設定するその一行が、明日、どこかの誰かの安全な通信を支えることになる。その重みを理解して、設定ファイルと向き合ってほしい。
それでは、またパケットの海で会おう。
コメント