「SoftEther VPN ユーザーモードルータは善か悪か」記事へのコメント

なぜできる？

[saitoh (10803)]

UNIX/Linux系のOSだと、この手の処理はroot権限がないとできないように思う。Windowsの権限管理モデルってどうなってるの？識者の解説を求む。

Re:なぜできる？

[Oiwa (6627)]

うーん、これって技術的には slirp [sourceforge.net] と同じじゃないかなぁ。

要するに、IP パケットレベルで NAT変換→パケット送出するには管理者権限がいるけど、TCP レベルまで解釈して通常の通信 API (connect, read, write, close, ...) に*翻訳*すれば通常のユーザ権限だけで中継できるという話ではないかと。

# そういえば1995年頃は某所で slirp をよく使っていたなぁ...

QEMU [bellard.org]なんかでも同じ技術を [bellard.free.fr] 使っている [dion.ne.jp]ようです。

# この関係で後輩から突然 slirp とかいう名前を9年ぶりに聞いてびっくりしました。

Re:なぜできる？

[Anonymous Coward]

The Internet Adaptor (TIA) の方が先だった気がします。

私が海外送金をしたのは、TIAの購入が最初だったような

Re:なぜできる？

[Anonymous Coward]

識者でもないし、詳しく調べた訳でもないですが。

admin 権限のないユーザモードの1プロセスが、ほかの特定のプロセスの通信を制御するなら、Socket API の呼び出しを横取りすればいけるかなーという気が。説明の「ユーザーモード仮想 TCP/IP プロトコル・スタックと Socket API との間の動的なマッピングによる NAT 機能の提供」というのは

Re:なぜできる？

[Anonymous Coward]

私も不思議に思うんだけど、ネットワークインターフェースの作成って、一般ユーザじゃなくてもできるんでしたっけ？
Power User ぐらいからじゃないとできないと思ってた。

Re:なぜできる？

[Anonymous Coward]

rawソケットを作って任意のEthernetパケットを送信しようと思うと管理者権限がいるでしょうが、このソフトがやってるのは、
・あらかじめ、ユーザレベルでTCPとUDPのソケットを作っておく。
・SoftEtherプロトコルで送られてくる（TCP/IPにカプセル化された）Ethernetパケットを受け取り、パケットの中身を調べる。
・それが例えばUDPパケットなら、
　　パケット内のソースIPアドレスとポートを作っておいたUDPソケットのものに置き換え（NAT処理）
　　作っておいたUDPソケットから目的IPアドレスへsendtoする
・それがTCPパケットなら（以下省略）
・UDPソケットやTCPソケットにパケットが来たときは、逆の処理を行ってSoftEtherプロトコルで送り出す。
というわけで、管理者権限はいりません。また、TCPとUDP以外は転送できないものと思われます。

Re:なぜできる？

[Anonymous Coward]

すんません、記事全然よんでなかった。外部からのVPNクライアントに対する仮想ルータだったんですか。
なるほど、そういう役目をするだけのものなら、管理者権限なんかいらないや...

# どうやってネットワーク管理権限のないマシン上にネットワークインターフェースを(IPアドレスを)たてるんだろうとおもってた。

Re:なぜできる？

[Anonymous Coward]

root権限なんて馬鹿っぽい発言はやめますごめんなさい。スーパーユーザ(普通はroot)になると、各種の保護機能がOffになるというだけで、何か特別な処理が可能になるわけではなかったですよね。ん？それが特権を与えられるってことですか？ぼくわかんなーい。

で、制限ですけれど、一般ユーザがTCP接続を張ることに制限をかけないならば、どうしようもなかろうと。じゃ