外出先から自宅ネットワークへ安全に接続する（ワンタイムパスワード）

VPNクライアントのインストール

外出先で使う端末に、VPNクライアント（Tailscale互換の公式クライアント）をインストールします。管理者からIdPのアカウント（ユーザー名・初期パスワード）も合わせて発行してもらいます。

スマートフォンに認証アプリをインストールする

以下のような、TOTP（Time-based One-Time Password）に対応した認証アプリをスマートフォンにインストールします。特別なアカウント登録は不要で、いずれも無料で利用できます。

1. Google Authenticator
2. Microsoft Authenticator
3. Authy　など、TOTP対応の認証アプリであればどれでも構いません

IdPの管理画面でMFAデバイスを登録する

IdP（authentik等）のユーザー設定画面から、「MFAデバイス」または「セキュリティ」に相当するメニューを開き、TOTPデバイスの登録を開始します。

1. 登録画面にQRコードが表示される
2. スマートフォンの認証アプリを開き、「＋」やスキャンボタンからカメラでこのQRコードを読み取る
3. 読み取ると、アプリの一覧に新しい項目（サイト名やユーザー名で表示される）が追加され、6桁の数字が表示され始める
4. その6桁の数字を、IdP側の登録画面に入力して確定する
5. 登録完了後、デバイス一覧に今登録したTOTPデバイスが表示されることを確認する

VPN接続

コマンドプロンプトまたはターミナルで、VPNコントロールサーバーを指定して接続します。

tailscale up --login-server=<VPNコントロールサーバーのURL> --accept-routes

--accept-routes を付け忘れると、VPNには参加できても自宅LANへの経路を受け取れないため必須です。

ブラウザでログイン（MFA込み）

自動的にブラウザが開き、IdPのログイン画面が表示されます（開かない場合は、表示されたURLを手動でブラウザに貼り付けます）。

• ユーザー名・パスワードを入力
• 続けて「認証コード」入力欄が表示されるので、4章で登録したスマートフォンの認証アプリを開き、表示されている6桁のコードを入力する

ここでパスワードとMFAコードの両方が揃って初めてログインが完了します。この2段階のどちらか一方だけでは、VPNへの参加自体が許可されません。

接続確認

tailscale status
ping <ファイルサーバーのLAN内IPアドレス>

ファイル共有へ接続（Windows）

エクスプローラーのアドレスバーに直接パスを打ち込むよりも、コマンドで明示的に接続する方が安定します（認証情報のキャッシュが崩れて再入力を求められにくいため）。

net use \\<ファイルサーバーのIPアドレス>\<共有名> /user:<ユーザー名> <パスワード>

接続がうまくいかない場合は、一度削除してからやり直します：net use \\<ファイルサーバーのIPアドレス>\<共有名> /delete

ファイル共有へ接続（Linux／Ubuntu等）

GUI（ファイルマネージャー）とコマンドライン、どちらでも接続できます。

GUIの場合

1. ファイルマネージャー（Nautilus等）を開き、「他の場所」→「サーバーへ接続」を選ぶ
2. アドレス欄に smb://<ファイルサーバーのIPアドレス>/<共有名> と入力して接続
3. 認証ダイアログでは「匿名」ではなく「登録ユーザー」を選び、ユーザー名・パスワードを入力する

コマンドラインの場合

# 一覧表示のみ（対話式）
smbclient //<ファイルサーバーのIPアドレス>/<共有名> -U <ユーザー名>

# フォルダとしてマウントする場合
sudo mkdir -p /mnt/share
sudo mount -t cifs //<ファイルサーバーのIPアドレス>/<共有名> /mnt/share -o username=<ユーザー名>,vers=3.0,sec=ntlmssp

作業終了後

# Windows
net use \\<ファイルサーバーのIPアドレス>\<共有名> /delete
tailscale down

# Linux（マウントした場合）
sudo umount /mnt/share
sudo tailscale down

接続用バッチファイルを作成

デスクトップ等にzerotrust_connect.batという名前でテキストファイルを作成し、以下を貼り付けます。

@echo off
echo === Headscaleへ接続 (login-server=<VPNコントロールサーバーのURL>) ===
echo ブラウザが自動的に開かない場合は、表示されるURLを手動でブラウザに貼り付けてください。
tailscale up --login-server=<VPNコントロールサーバーのURL> --accept-routes

echo.
echo === 接続状態 ===
tailscale status

echo.
echo === 疎通確認 ===
ping <ファイルサーバーのLAN内IPアドレス>

pause

切断用バッチファイルを作成

同様にzerotrust_disconnect.batを作成します。

@echo off
echo === Tailscaleを切断 ===
tailscale down
tailscale status
pause

作成後、それぞれのファイルを右クリック→「ショートカットの作成」でデスクトップにアイコンを置けば、ダブルクリックだけで接続・切断できるようになります。

接続スクリプト本体：~/tailscale_connect.sh

#!/bin/bash
# Headscale経由でTailscale(ゼロトラスト)に接続する
# SoftEtherと同時使用不可なため、先にSoftEtherを切断してからTailscaleへ接続する

echo "=== SoftEther VPN (my_vpn) が繋がっていれば切断します ==="
sudo /usr/local/vpnclient/vpncmd localhost /client /cmd AccountDisconnect my_vpn 2>&1 || true
sudo dhclient -r vpn_vpn0 2>&1 || true
sudo ip addr flush dev vpn_vpn0 2>&1 || true

echo
echo "=== Headscaleへ接続 (login-server=<VPNコントロールサーバーのURL>) ==="
echo "ブラウザが自動的に開かない場合は、下に表示されるURLを手動でブラウザに貼り付けてログインしてください。"
echo "(IdPのユーザー名・パスワード → スマートフォン認証アプリの6桁コード)"
echo
sudo tailscale up --login-server=<VPNコントロールサーバーのURL> --accept-routes

echo
echo "=== 接続状態 ==="
tailscale status

echo
echo "=== 疎通確認 ==="
ping -c 3 <ファイルサーバーのLAN内IPアドレス>

chmod +x ~/tailscale_connect.sh

切断スクリプト本体：~/tailscale_disconnect.sh

#!/bin/bash
# Tailscale(Headscale経由のゼロトラスト接続)を切断する

echo "=== Tailscaleを切断 ==="
sudo tailscale down

echo
echo "=== 接続状態 ==="
tailscale status

chmod +x ~/tailscale_disconnect.sh

「接続」アイコン本体：~/デスクトップ/ゼロトラスト接続.desktop

[Desktop Entry]
Type=Application
Name=ゼロトラスト接続
Comment=Tailscale/Headscale経由で自宅ラボへゼロトラスト接続します
Exec=bash -c "/home/USERNAME/tailscale_connect.sh; echo; echo '終了しました。何かキーを押すとウィンドウを閉じます...'; read -n1"
Icon=network-vpn
Terminal=true
Categories=Utility;

「切断」アイコン本体：~/デスクトップ/ゼロトラスト切断.desktop

[Desktop Entry]
Type=Application
Name=ゼロトラスト切断
Comment=Tailscale(ゼロトラスト接続)を切断します
Exec=bash -c "/home/USERNAME/tailscale_disconnect.sh; echo; echo '終了しました。何かキーを押すとウィンドウを閉じます...'; read -n1"
Icon=network-offline
Terminal=true
Categories=Utility;

USERNAMEは実際のログインユーザー名に置き換えてください。作成後は実行権限を付与します。

chmod +x ~/デスクトップ/"ゼロトラスト接続.desktop" ~/デスクトップ/"ゼロトラスト切断.desktop"