本ガイドは、SoftEther L2ブリッジ VPN全構築で導入したUbuntu側のVPNサーバー本体に対して、Windows PCから「SoftEther VPN Server Manager」という管理ツール（GUI）を使って接続・設定するまでの記録です。ダイナミックDNS機能の見方、IPsec/L2TP設定画面、そして「VPN Azureを使うべきか」という判断ポイントを中心にまとめています。
本ページの位置づけについて
本ページは筆者自身の構築記録・学習ログです。画面に表示される実際のダイナミックDNSホスト名・グローバルIPアドレス・DNS鍵・事前共有鍵の値は、掲載時にすべて黒塗り（マスキング）処理を行っています。実際に構築される場合は、必ずSoftEther VPN公式サイトの最新情報を参照してください。
目次
1. VPN Server Managerの入手とインストール
Ubuntu上のSoftEther VPN Serverは、コマンドライン（vpncmd）だけでなく、Windows用のGUIツール「SoftEther VPN Server Manager」からも操作できます。画面を見ながら設定できるため、初回設定や動作確認にはGUIの方が分かりやすい場面が多くあります。
公式ダウンロードページからの入手
SoftEther VPN 公式ダウンロードページを開き、以下の順に選択します。メニューが多く迷いやすいので、選択順を守ってください。
| 項目 | 選択する内容 |
|---|---|
| Select Software | SoftEther VPN（Freeware） |
| Select Component | SoftEther VPN Server Manager for Windows（「VPN Server」ではなく「VPN Server Manager」を選ぶのがポイント。これがWindowsからUbuntuを操作する「リモコン」） |
| Select Platform | Windows |
| Select CPU | Intel（x86 and x64） |
選択が完了すると画面下に最新版のダウンロードリンクが表示されるので、一番上の最新版をクリックしてダウンロードします。
インストールと初回接続
- ダウンロードしたZIPファイルを解凍し、中にある
Setup.exeを実行してインストールします。 - インストール完了後、「SoftEther VPN Server Manager」というアイコンがデスクトップまたはスタートメニューに追加されます。
- これを起動し、Ubuntu側で設定した「UbuntuのIPアドレス（192.168.1.x）」と「VPN待受ポート番号」を指定して接続します。
簡易セットアップウィザードの実行
接続に成功すると、「VPN Server の管理」画面と「簡易セットアップ」ウィザードが表示されます。今回は自宅LANへのリモートアクセスが目的なので、「リモートアクセス VPN サーバー」を選択します。
VPN Server の管理画面（左）と簡易セットアップウィザード（右）。左下のダイナミックDNSホスト名は黒塗り処理済み。
セットアップ完了後は、以下の3つのタスクを画面の指示に沿って実施します。
| タスク | 内容 |
|---|---|
| 1. ユーザーの作成 | VPN接続を受け入れるためのユーザーアカウントを作成します（画面は後述）。 |
| 2. 接続先VPN Serverへの接続設定 | 拠点間接続VPN用の設定のため、今回のリモートアクセスVPN構成では未使用（グレーアウト）。 |
| 3. ローカルブリッジの設定 | VPN側の仮想ネットワークと自宅LANの物理ネットワークを橋渡しする、最も重要な設定（6章で詳述）。 |
ダイナミックDNS機能の確認
SoftEther VPN Serverには、追加費用なしで固有のDNSホスト名が割り当てられる「ダイナミックDNS」機能が標準搭載されています。VPN Server管理画面の「ダイナミックDNS設定」から状態を確認できます。
ダイナミックDNS機能の設定画面。ホスト名・グローバルIPv4アドレス・DNS鍵はすべて黒塗り処理済み。
| 項目 | 役割 |
|---|---|
| ダイナミックDNSホスト名 | vpn(数字).softether.net の形式で自動割り当てされる固有ホスト名。独自ドメインを持たなくても、IPアドレスの代わりにこの名前でVPN Serverを指定できる。 |
| グローバルIPv4アドレス | 現在検出されている自宅回線のグローバルIPアドレス。IPアドレスが変化する回線でも、変化を検知して自動的にDNSホスト名側が追従する。 |
| DNS鍵 | ダイナミックDNSホスト名の設定を変更するための認証鍵。実質的にパスワードと同等の機密情報のため、第三者に見せてはならない。 |
この画面の情報を公開してはいけない理由
ダイナミックDNSホスト名とグローバルIPアドレスの組み合わせは「自宅VPNサーバーの現在の所在地」そのものであり、DNS鍵は「その設定を書き換えられる鍵」です。これらが同時に外部へ漏れると、第三者がホスト名の乗っ取りや自宅ネットワークへの標的型アクセスを試みる材料になり得ます。本ページ掲載にあたり、該当箇所はすべて黒塗りしています。
IPsec / L2TP / EtherIP設定の確認
スマートフォン（iPhone/Android）やMac OS X、Windows標準のVPNクライアントから接続したい場合は、この画面でL2TP関連機能を有効化します。今回のガイドではOpenVPN Connectアプリを使う構成のため、これらの機能は無効のままにしています。
IPsec / L2TP / EtherIP / L2TPv3 設定画面。下部の「IPsec事前共有鍵」は黒塗り処理済み。
IPsec事前共有鍵（PSK）について
この項目はL2TP機能そのものを無効にしているため実運用では使われていませんが、値が入力された状態のスクリーンショットだったため念のため黒塗りしています。実際に有効化する場合は、推測されにくい十分な長さの鍵に変更してください（画面内の説明にもある通り「8文字程度」は最低ラインの目安に過ぎません）。
5. 「VPN Azure」を使うべきか？
設定中、「VPN Azure」というクラウド中継サービスを使うかどうかの選択画面が表示されます。これはポート開放が一切できない環境（会社のネットワーク等）でもVPNサーバーを公開できる、SoftEtherが無償提供する中継サービスです。
VPN Azureクラウド型VPNサービスの説明画面。
| 観点 | 内容 |
|---|---|
| VPN Azureの仕組み | SoftEtherを開発した筑波大学が運営するクラウドサーバーを「中継点」として、ファイアウォールやポート開放の制約を越えて通信を届ける。 |
| 今回のケースで避けた理由（セキュリティ） | 自宅の通信が一度、外部の中継サーバーを経由することになる。FortiGateで直接の経路（ポート開放＋VIP転送）をすでに構築済みのため、わざわざ経由地を増やす必要がない。 |
| 今回のケースで避けた理由（速度） | 外部サーバーを経由する分、直接接続に比べて通信速度の低下や遅延（ラグ）が生じやすい。 |
| VPN Azureが本来役立つ場面 | ポート開放が一切できない環境（ネットカフェのWi-Fi、会社の厳格なファイアウォール配下等）や、動的IPが極端に頻繁に変わる特殊な環境。 |
今回の判断：VPN Azureを無効にする
FortiGateによるポート開放とバーチャルIP（VIP）転送で、すでに安全かつ高速な直接接続経路が完成しているため、「VPN Azure を無効にする」を選択しました。中継サーバーを挟まない直接接続（your-domain.mydns.jp:<VPN待受ポート番号> 形式でのアクセス）の方が、経路がシンプルで速度・セキュリティの両面で有利という判断です。
6. ローカルブリッジ設定（GUIから）
「ローカルブリッジ設定」は、SoftEtherの仮想HUBと、実際のネットワークインターフェース（LANカードまたはtapデバイス）を橋渡しする、L2ブリッジ構成の中核設定です。
ローカルブリッジ設定画面。仮想HUB「VPN」が物理LANカードとブリッジされている状態。
【精査メモ】ブリッジ先インターフェース名の違い
この画面のスクリーンショットでは、ブリッジ先のLANカードとして無線LAN（wlp1s0）が表示されています。一方、SoftEther L2ブリッジ VPN全構築で最終的に採用した本番構成は、有線USB-LANアダプタとsystemd-networkdによるブリッジです。本画面は構築初期段階でGUIから試行したローカルブリッジ設定であり、最終的な本番構成とは異なります。またSoftEtherの仕様上、無線LANアダプタの多くはプロミスキャスモード（他ホスト宛パケットの受信）に対応しないため、ローカルブリッジには不向きです（下記の注意事項画面でも案内されています）。実際に構築する際は、有線LANアダプタでのブリッジを推奨します。
VM環境・LANカード固有の注意事項
SoftEtherは、動作環境に応じて以下のような注意事項を自動的に表示します。
VM（仮想マシン）内でローカルブリッジを使う場合、プロミスキャスモードの許可が必要になる旨の案内。
物理LANカードへブリッジ接続を作成した直後は、一部のLANカード（Intel/Broadcom製など）でTCP/IP通信が正しく行えないことがあり、VPN Server/Bridge動作中のコンピュータの再起動で解消する場合がある、という案内。無線LANアダプタの多くがプロミスキャスモードに非対応である旨もここで案内されている。
参考：ユーザー作成画面
「簡易セットアップ」の手順1で使う、VPN接続用ユーザーの新規作成画面です（未入力の状態）。
ユーザー名・パスワード（またはIPsec事前共有鍵と同様に、証明書認証等のより強固な方式）を設定し、VPN接続用のアカウントを作成します。
セキュリティ上の注意点
- ダイナミックDNSホスト名・グローバルIPアドレス・DNS鍵は、そのまま公開すると自宅ネットワークの所在地と、その設定を書き換えられる鍵を同時に渡すことになります。スクリーンショットを記録・共有する際は、必ずマスキング処理を行ってください。
- IPsec事前共有鍵やVPNユーザーのパスワードも、通常のパスワードと同様に第三者へ見せないよう注意してください。
- ローカルブリッジは無線LANアダプタでは正しく機能しないことが多いため、専用の有線LANアダプタを用意することを推奨します（6章参照）。