MuseのVMからIoT接続は不成立

SORACOMの柴田氏は、自前のLinux VM内でコマンドを実行するMetaのMuseエージェントが常時稼働のIoT監視役として使えるかを確かめようとした。計画は、MuseのVMをSORACOM Arcに接続し、デバイスと同じVirtual Private Gatewayに配置、SORACOM Gateのデバイス間通信で直接到達するというものだった。SORACOMはすでにSIMの状態やHarvest DataへのAPIおよびMCPサーバーアクセスを提供しているが、デバイスにログインしてログを確認したり設定を変更したりするにはIPレベルの到達性が必要で、Arcがそれを提供するはずだった。

検証では3つの障害に直面した。第一に、MuseのVMは未接続ソケットからのUDP送信をEPERMで遮断したため、公式のsoratunクライアントはWireGuardのハンドシェイクを完了できなかった。第二に、MuseのUDPリレーはソケットごとに最初のパケットしか通さず、WireGuardが約2分ごとに行う鍵の再交換が壊れた。第三に、パッチでこれらを解決した後も、待ち受けソケットへの受信パケットが接続にならなかった。柴田氏のwireguard-goへのパッチ（connect()の強制、宛先の固定、パケットごとのソケット切り替え、受信時キープアライブ送信）でトンネルはVM再起動までの43分間維持された。しかし別のSORACOMアカウント上のRaspberry Piからは、遅いpingと閉ポートからのRSTしか返らず、開いたポートへのTCP・UDPおよびMuse起点の通信は失敗した。

柴田氏は、MuseのVMが安全機能としてプライベートアドレス（10.0.0.0/8）へのアプリケーションソケット通信を制限していると推測するが、これは観察からの推論であり文書で確認されたものではない。Muse自体はTailscaleクライアントがプリインストールされ外向き通信が許可されていると示しており、WireGuardが一律に遮断されているのではなく方向とクライアント種別で制御されている可能性を示すが、柴田氏はこの主張を検証していない。現時点でIoT監視の実用的な道はArcを省くことだ。デバイスからHarvest Dataへデータを送り、Museが読み取り専用に限定したSAMユーザーキーを使いSORACOM API経由でHTTPSで読む方法である。