AzureのPoint-to-Site VPNでLinuxクライアントをVNetへ接続する方法｜証明書認証とazコマンドによるVPN Gateway構築の実践

この記事のポイント

・ P2S VPNでLinux VMへパブリックIP不要でプライベート接続できる
・ GatewaySubnetとVPN Gatewayの作成にはazコマンドを使う（所要30～45分）
・ opensslで自己署名ルート証明書を生成しAzureへアップロードする
・ AWS Client VPNとの主な違いはコスト体系と同時接続数の上限にある

[Ubuntu 24.04 LTS（PC・クライアント側）]
    ↓ OpenVPN（P2S VPN、クライアントIP: 172.16.201.0/24から割当）
[Azure VPN Gateway（VpnGw1）]
    ↓
[Azure VNet: 10.0.0.0/16]
    ├── GatewaySubnet:   10.0.255.0/27  ← VPN Gatewayが占有
    ├── subnet-default:  10.0.1.0/24
    │       └── Linux VM（10.0.1.4）← P2S VPN経由でSSHしたいVM
    └── subnet-backend:  10.0.2.0/24   ← 後続のDBや内部サービス用

# Azure CLIでインタラクティブログイン
az login

# 使用するサブスクリプションを確認する
az account show --query "{Name:name, ID:id}" --output table

# 出力例
# Name                 ID
# ------------------- ------------------------------------
# My Azure Sub         aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa

# リソースグループを東日本リージョンに作成する
az group create     --name rg-p2s-vpn     --location japaneast

# 出力例（provisioningState: Succeeded で完了）
# {
#   "id": "/subscriptions/.../resourceGroups/rg-p2s-vpn",
#   "location": "japaneast",
#   "name": "rg-p2s-vpn",
#   "properties": { "provisioningState": "Succeeded" }
# }

# VNetを作成する（デフォルトサブネットを同時作成）
az network vnet create     --resource-group rg-p2s-vpn     --name vnet-p2s     --address-prefix 10.0.0.0/16     --subnet-name subnet-default     --subnet-prefix 10.0.1.0/24

# バックエンド用サブネットを追加する
az network vnet subnet create     --resource-group rg-p2s-vpn     --vnet-name vnet-p2s     --name subnet-backend     --address-prefix 10.0.2.0/24

# GatewaySubnetを作成する（名前は必ず "GatewaySubnet"・推奨は /27）
az network vnet subnet create     --resource-group rg-p2s-vpn     --vnet-name vnet-p2s     --name GatewaySubnet     --address-prefix 10.0.255.0/27

# サブネット一覧を確認する
az network vnet subnet list     --resource-group rg-p2s-vpn     --vnet-name vnet-p2s     --query "[].{Name:name, Prefix:addressPrefix}"     --output table

# 出力例
# Name            Prefix
# --------------- ---------------
# subnet-default  10.0.1.0/24
# subnet-backend  10.0.2.0/24
# GatewaySubnet   10.0.255.0/27

# Standard SKUの静的パブリックIPを作成する
az network public-ip create     --resource-group rg-p2s-vpn     --name pip-vpngw     --allocation-method Static     --sku Standard     --zone 1 2 3

# VPN Gatewayを作成する（30～45分かかる・--no-waitで即座に制御を返す）
az network vnet-gateway create     --resource-group rg-p2s-vpn     --name vpngw-p2s     --vnet vnet-p2s     --gateway-type Vpn     --vpn-type RouteBased     --sku VpnGw1     --generation Generation1     --public-ip-address pip-vpngw     --no-wait

# 完了確認（Succeeded になるまで繰り返す）
az network vnet-gateway show     --resource-group rg-p2s-vpn     --name vpngw-p2s     --query "provisioningState"     --output tsv

# 完了前: Updating
# 完了後: Succeeded

# 作業ディレクトリを作成する
mkdir ~/azure-p2s-certs && cd ~/azure-p2s-certs

# ルートCA秘密鍵を生成する（4096ビット RSA）
openssl genrsa -out ca.key 4096

# ルートCA自己署名証明書を生成する（有効期間10年）
openssl req -new -x509     -key ca.key     -out ca.crt     -days 3650     -subj "/CN=AzureP2SRootCert/O=MyOrg/C=JP"

# 証明書の内容を確認する
openssl x509 -in ca.crt -noout -subject -dates

# 出力例
# subject=CN=AzureP2SRootCert, O=MyOrg, C=JP
# notBefore=Aug 23 00:00:00 2026 GMT
# notAfter=Aug 22 00:00:00 2036 GMT

# クライアント秘密鍵を生成する
openssl genrsa -out client.key 4096

# クライアント証明書署名要求（CSR）を作成する
openssl req -new     -key client.key     -out client.csr     -subj "/CN=AzureP2SClientCert/O=MyOrg/C=JP"

# ルートCAでクライアント証明書に署名する
openssl x509 -req     -in client.csr     -CA ca.crt     -CAkey ca.key     -CAcreateserial     -out client.crt     -days 3650

# 発行者（issuer）を確認する（CAと一致していること）
openssl x509 -in client.crt -noout -subject -issuer

# 出力例
# subject=CN=AzureP2SClientCert, O=MyOrg, C=JP
# issuer=CN=AzureP2SRootCert, O=MyOrg, C=JP

# PEMをDER形式に変換してBase64エンコードする（改行なし1行に連結）
ROOT_CERT_DATA=$(openssl x509 -in ca.crt -outform DER | base64 | tr -d '
')

# VPN GatewayにルートCA証明書を登録する
az network vnet-gateway root-cert create     --resource-group rg-p2s-vpn     --gateway-name vpngw-p2s     --name AzureP2SRootCert     --public-cert-data "$ROOT_CERT_DATA"

# 登録されたルート証明書を確認する
az network vnet-gateway show     --resource-group rg-p2s-vpn     --name vpngw-p2s     --query "vpnClientConfiguration.vpnClientRootCertificates[].name"     --output tsv

# 出力例
# AzureP2SRootCert

# P2S設定をVPN Gatewayに追加する
az network vnet-gateway update     --resource-group rg-p2s-vpn     --name vpngw-p2s     --address-prefixes 172.16.201.0/24     --vpn-auth-types Certificate     --vpn-client-protocols OpenVPN

# 設定を確認する
az network vnet-gateway show     --resource-group rg-p2s-vpn     --name vpngw-p2s     --query "vpnClientConfiguration.{Pool:vpnClientAddressPool, Protocol:vpnClientProtocols}"     --output json

# 出力例
# {
#   "Pool": { "addressPrefixes": ["172.16.201.0/24"] },
#   "Protocol": ["OpenVPN"]
# }

# VPNクライアント設定ZIPのダウンロードURLを生成する
DOWNLOAD_URL=$(az network vnet-gateway vpn-client generate     --resource-group rg-p2s-vpn     --name vpngw-p2s     --authentication-method EAPTLS     --output tsv)

# URLを確認してZIPをダウンロードする（URLの有効期限が短いため即座に実行）
echo "$DOWNLOAD_URL"
wget -O vpnclientconfig.zip "$DOWNLOAD_URL"
unzip vpnclientconfig.zip -d vpnconfig/

# OpenVPNの設定ファイルを確認する
ls vpnconfig/OpenVPN/
# vpnconfig.ovpn

cd ~/azure-p2s-certs

# PEMヘッダ行を除いた証明書本文を抽出する
CLIENT_CERT=$(openssl x509 -in client.crt | grep -v "BEGIN\|END" | tr -d '
')
CLIENT_KEY=$(grep -v "BEGIN\|END" client.key | tr -d '
')

# 元のovpnファイルを確認する
OVPN_SRC=~/vpnconfig/OpenVPN/vpnconfig.ovpn
OVPN_DST=~/azure-p2s.ovpn

# sedでプレースホルダを実際の証明書・キーに置き換える
sed     -e "s|\$CLIENTCERTIFICATE|${CLIENT_CERT}|"     -e "s|\$PRIVATEKEY|${CLIENT_KEY}|"     "$OVPN_SRC" > "$OVPN_DST"

# 証明書が組み込まれているか確認する（2以上であれば問題なし）
grep -c "MII" ~/azure-p2s.ovpn
# 2

# openvpnをインストールする（未インストールの場合）
sudo apt install openvpn -y

# VPNに接続する（デーモンとして起動）
sudo openvpn --config ~/azure-p2s.ovpn --daemon --log /var/log/azure-p2s-vpn.log

# 接続ログを確認する
tail -20 /var/log/azure-p2s-vpn.log

# 接続成功時の末尾の出力例
# ...
# net_iface_up: set tun0 up
# net_addr_v4_add: 172.16.201.2/24 dev tun0
# Initialization Sequence Completed

# tun0インターフェースの状態を確認する
ip addr show tun0

# 出力例
# 4: tun0:  mtu 1500 qdisc fq_codel state UNKNOWN
#     inet 172.16.201.2/24 brd 172.16.201.255 scope global tun0

# VNet向けのルートが追加されていることを確認する
ip route show | grep tun0

# 出力例
# 10.0.0.0/8 via 172.16.201.1 dev tun0
# 172.16.201.0/24 dev tun0 proto kernel scope link src 172.16.201.2

# VNet内VMのプライベートIPへ到達確認する
ping -c 4 10.0.1.4

# 出力例
# PING 10.0.1.4 (10.0.1.4) 56(84) bytes of data.
# 64 bytes from 10.0.1.4: icmp_seq=1 ttl=62 time=18.2 ms
# 64 bytes from 10.0.1.4: icmp_seq=2 ttl=62 time=17.9 ms

# プライベートIPで直接SSHする（パブリックIP不要）
ssh azureuser@10.0.1.4

# 接続成功時の出力例
# Welcome to Ubuntu 24.04.2 LTS (GNU/Linux 6.8.0-1029-azure x86_64)
# azureuser@vm-linux-01:~$