SSTP Connect

SSTP / SoftEther VPN Client for iOS

English Version

よくある質問

一般

Q：はじめるには？

SSTP Connect を使用するには、まずプロファイルを作成する必要があります。

少なくとも次の情報を入力する必要があります：

SoftEther VPN を利用する場合、以下の記事もご参考にしてください。紹介していただいた Solomonレビュー さんに感謝いたします。

SSTP Connect 設定ファイルまたは SoftEther VPN 接続設定ファイルをお持ちの場合、以下の方法でインポートできます：

Q：プロファイルを編集/削除するには？

右にスワイプして編集したり、左にスワイプして削除したりできます。

また、編集ボタンをタップして編集モードに入ってから、画面下の編集/削除ボタンも使えます。

Q：プロファイルの各アイテムを説明してください。

Q：システム VPN 設定から接続または切断できますか？

はい、アプリを開かなくても VPN を接続も切断もできます。

アプリがバックグラウンドにある場合でもエラーをお知らせできるように、通知をオンにしてください。(iOS 10以降が必要)

TLS サーバへの信頼性評価（TLS 検証）

Q：TLS 検証に合格するには、サーバ証明書はどういった要件を満たす必要がありますか？

iOS 13 以降では、サーバ証明書に対してより厳格なルールを適用しています。詳細については、以下のリンクを参照してください。

https://support.apple.com/ja-jp/HT210176

最も重要なのは次のとおりです。

Q：SoftEther VPN Server によって生成された証明書を使用する場合はどうすればよいですか？

SoftEther VPN Server によって自動的に生成された証明書は、上記の要件を満たしていません。このガイドに従って再生成してください。

Q：サーバが自己署名証明書またはパブリック CA によって署名されていない証明書を使用する場合はどうすればよいですか？

セキュリティ上の理由から、パブリック認証局によって署名された証明書を使用することを強くお勧めします。ただし、それが不可能な場合は、管理者からルート CA 証明書を入手し、デバイスにインストールして信頼することができます。

それでも証明書が上記の iOS 要件を満たす必要があります。

Q：証明書をインストールして信頼するにはどうすればよいですか？

証明書を自分宛てにメールで送信するか、Web からダウンロードして、デバイスで開いてください。 プロファイルをインストールする準備ができたという通知が出てきます。

インストールするには：https://support.apple.com/ja-jp/HT209435

信頼するには：https://support.apple.com/ja-jp/HT204477

証明書による認証

Q：証明書をインポートするにはどうすればよいですか？

証明書認証を使用するには、まず証明書をインポートすることです。現在、アプリは PKCS #12 形式（.p12 または .pfx ファイル）に格納された証明書をサポートしています。

PKCS #12 は、Windows 上のデフォルトの形式であり、SoftEther VPN Server でもサポートされています。

管理者から P12 ファイルを取得し、デバイスに配置する必要があります。これについてはいくつかの方法で行うことができます。

デバイスに置いてから、「インポート」をタップしてフォルダーに移動します。パスワードと任意の説明を入力してください。

証明書（秘密鍵も含む）はキーチェーンに保存されます。セキュリティ上の理由から、インポート後にファイルを削除するか、安全な場所に保管してください。

一つの証明書は複数のプロファイルで使用できます。

Finder を使ってファイルを共有する手順

macOS Catalina 以降の場合

https://support.apple.com/ja-jp/HT210598

iTunes を使ってファイルを共有する手順

macOS Mojave 以前または Windows パソコンの場合

https://support.apple.com/ja-jp/HT201301

Q：証明書を削除するにはどうすればよいですか？

「証明書選択」で、スワイプして削除できます。

現在の iOS では、アプリを削除しても、証明書はそのままキーチェーンに残ります（引き続き iOS に保護されています）。アプリを再インストールすると、再び使用できます。

Q：新しい証明書をインポートしたいのですが、アプリがすでにキーチェーンにあると文句を言います。そんなことがあるものか？

iOS ポリシーによれば、同じ発行者からの同じシリアル番号を持つ証明書は、名前が異なっていても同じと見なされます。管理者に、新しいシリアル番号で証明書を生成するように依頼してください。

Q：システムに証明書がインストールされています。アプリで表示されないのはなぜですか？

サードパーティのアプリとして、組み込み VPN のようにシステムにインストールされている証明書にアクセスすることはできません。アプリであらためてインポートする必要があります。

VPN オンデマンド

Q：VPN オンデマンドとは何ですか？その使用方法は？

VPN オンデマンドは、事前に定めた規則に沿って VPN の接続や切断を行う高度な iOS 機能です。

まずは規則を作成する必要があります。iOS が順番に評価を行う、最初に該当したルールのみが適用されます。 評価プロセスは iOS によって完全に処理され、アプリにはその動作を変更する方法がありません。

重要： 現在有効になっている（選択されている）VPN プロファイルの規則のみが評価されます。

Q：オンデマンド規則を作成するにはどうすればよいですか？

規則には、1つのアクションといくつかの条件があります。すべての条件が満たされると、アクションが実行されるという仕組みです。

アクションには4つのタイプがあります。

次のタイプの条件を指定できます。

条件が指定されていない場合はすべての状況に該当します。したがって、それ以降の規則は無視されます。

Q：家の Wi-Fi に繋がると VPN を切断する、離れると接続するように設定したいのですが、規則をどう書けばよいですか？

以下の順で2つの規則を作成してください。

  アクション：切断
  インターフェース：Wi-Fi
  SSID：(家 Wi-Fi の SSID）

  アクション：接続
  条件を入力する必要はありません

そして、「オンデマンド接続を有効化」をクリックし、プロファイルを保存してください。

注1： プロファイルが選択されていることを確認してください（チェックマークが表示されます）。プロファイルが選択されていない場合は機能しません。

注2： 順番が重要です。規則 2 を規則 1 の先に配置すると、規則 2 がどんな状況でも該当するので、規則 1 は永遠に実行されません。 「編集」をタップして順番を変更することができます。

Q：アクションタイプ「コネクション評価」とは何ですか？

コネクション評価は、接続ごとに宛先を評価してアクションを実行する特別なアクションです。

宛先に到達できない場合は、これらのアクションのいずれかを実行できます。

たとえば、内部Webサイトが要求されている場合（現在のネットワークでは到達できない）、自動的にVPNに接続するよう、次のように規則を設定します。

アクション：必要に応じて接続
評価されるドメイン：companyinternal.com（すべての *.companyinternal.com が該当します）

Q：どのような種類のショートカットがサポートされていますか?

バージョン 3.8 の時点で、ショートカットアプリで次のアクションをサポートしています。

SSTP に関する質問

Q：Windows SSTP クライアントと同じ機能を提供していますか？

ほとんどの場合、公式クライアントと同じ機能を提供します。Windows 11 でサポートされているパスワード及び証明書ペースの認証方式にすべて対応しています。

Windows デバイスにインストールされている証明書で認証する場合は、秘密キーを含めてエクスポートできることを確認してください。

特殊なケースかと思われる場合は、ご相談ください。

SoftEther に関する質問

Q：Windows で SoftEther クライアントを使用して接続できる場合、このアプリも同様に使えますか？

ほとんどの場合、公式クライアントと同じ機能を提供します。直接(TCP)接続も NAT-T 経由での接続も使用できます。

ただし、ICMP または DNS 経由の接続はサポートされていません。

特殊なケースかと思われる場合は、ご相談ください。

Q：UDP 高速化機能とは何ですか？

SoftEther は通常直接 TCP を介して接続し、データパケットも TCP で転送されます。UDP 高速化により、UDP でデータパケットの送受信も可能になります。 高速化とはいうものの、ネットワークの状態によっては、通信速度が TCP より優れている場合とそうでない場合があります。

Q：UDP と TCP のどちらを使用しているかを知るにはどうすればいいですか？ UDP が時々機能しないのはなぜですか？

UDP を使用するとき、ステータスバーに「UDP」というサインが表示されます。接続ログからも判断できます。

UDP 高速化には 2つの動作モードがあります。

IPv6 ネットワークでは NAT を使用していないため、UDP 高速化も自然に利用可能です。

Q：ネットワークを切り替えた後、UDP 高速化が機能していないようですが、それはなぜですか？

現在の SoftEther プロトコルによれば、既存のセッションの新しいエンドポイントを再ネゴシエートする方法がないため、UDP 高速化が NAT トラバーサルモードで動作する場合、それは仕方ないです。 ネットワークの切り替え後、サーバがクライアントの新しいアドレスを知らない限り、再接続はできないということです。

元のネットワークに戻ると（IP アドレスが変更されていない場合）、UDP が再び機能する可能性が高いです。

この問題を解決するには、2つのオプションがあります：

Q：VPN Azure サービスに接続できますか？

はい、できます。サーバアドレスとしてホスト名（xx.vpnazure.net）を使用してください。 IP アドレスを入力すると動作しません。

また、VPN Azure にも2つのモードがあります。

ダイレクトモードが機能するために iOS バージョン、サーババージョン、および NAT タイプは、上記の要件を満たす必要があります。

Q：VPN Gate サービスに接続できますか？

はい。 VPN Gate サーバーに接続するには、以下のように使用してください。

ご注意：VPN Gate サーバーは、世界中のさまざまなボランティアによって提供されています。当社は彼らやプロジェクトとは何の関係もありません。 また、いかなる形式の接続やセキュリティも保証しません。

ご自身の責任で使用してください。

インポートとエクスポート

Q：サポートされているファイル形式は何ですか？

SSTP Connect 設定ファイル、または SoftEther VPN 接続設定ファイルからインポートできます。 どちらも .vpn で終わりますが、互いに互換性がありません。

SSTP Connect 設定ファイルには、複数の VPN プロファイルを格納できます。

エクスポート形式は常に SSTP Connect です。SoftEther VPN 形式でのエクスポートはサポートしていません。

Q：SSTP Connect 設定ファイルを編集できますか？

SSTP Connect 設定ファイルは JSON 形式を使用します。 手動で編集することはお勧めしませんが、必要に応じて、自己責任で JSON エディターを使用して編集できます。

Q：パスワードを追加しない場合、機密情報はどのように設定ファイルに保存されますか？

パスワードで保護されていない場合、パスワードと秘密鍵は base64 エンコーディングで保存されます。 base64 デコーダーを使用すると、誰でも平文を明らかにできます。

Q：パスワードを追加すると、機密情報はどのように暗号化されますか？

パスワードと秘密鍵は、AEAD_AES_256_CBC_HMAC_SHA_384 を使用して暗号化されます。 draft-mcgrew-aead-aes-cbc-hmac-sha2-05 で説明されているように。

base64 でエンコードされた AEAD 暗号文 (「C」、2.1 で定義) は、それぞれのフィールドに保存されます。

AEAD_AES_256_CBC_HMAC_SHA_384 が機能するには、鍵 (「K」) と関連データ (「A」) が必要です。

関連データは、パスワードに対するユーザ名です。 秘密鍵にユーザ名を使用しない場合は、代わりに証明書ラベルが使用されます。

Q：暗号化鍵 (「K」) はどのように導出されますか？

鍵の導出には、PBKDF2 アルゴリズムを使用します。引数は、以下の通りです。

AEAD_AES_256_CBC_HMAC_SHA_384 で必要とされるように、導出鍵の長さは 56 オクテットです。

エクスポート ファイルごとに異なる鍵が生成されます。 ファイルにソルトが含まれています。

上記の情報を使用して、暗号化の結果を個別に検証できます。

Q：暗号化は安全ですか？

場合によります。 パスワードが強力でない限り、暗号化は決して安全ではありません。

その他

Q：時に Wi-Fi アイコンが VPN アイコンとともに数秒間消えることがあります。それはなぜですか。

これは VPN が再接続していることを示しています。Wi-Fi 接続を失っているのではありません。

Q：再接続をする時にトラフィックをブロックしたいですが（OpenVPN の「シームレストンネル」機能）、 どうすればいいですか？

この機能はすでに有効になっており、無効にする方法は提供していません。

ただし、iOS によって制御されるため、一部のシステムトラフィックは VPN をまったく通過しないことに注意してください。（例えば、プッシュ通知と一部のDNSリクエスト）

Q：サーバのセットアップを手伝ってもらえますか？

サーバ側は我々の範囲外ですが、一般的なアドバイスを提供することはできます。お気軽にご連絡ください。 もし特別なサポートが必要なら、状況を評価した上で（支援できる場合に限り）見積もりを提供する場合があります。

Q：さらに質問がある場合はどうしたらいいですか？

support@domosekai.com にメールを送ってください。 接続に問題がある場合は、ログレベルを「デバッグ」に設定し、接続ログをメールと一緒に送信してください。