OpenWrtで作る家庭用VPNルーター設定

OpenWrt対応ルーターにVPNを設定すると、家庭内の各端末へ個別にアプリをインストールしなくても、ルーターを通過する通信をまとめて管理できます。パソコン、スマートフォン、テレビ、ゲーム機、IoT機器など、VPNアプリを導入しにくい端末にも同じネットワーク設定を適用できるのが大きな利点です。

ただし、家庭内のすべての通信を常にVPNへ送ればよいとは限りません。国内サービス、プリンター、NAS、ルーターの管理画面まで遠い経路へ送ると、アクセスしにくくなったり、速度低下や名前解決の不整合が起きたりすることがあります。実用的な構成では、通常の通信は直接接続にして、必要な端末または宛先だけをVPNへ振り分ける方法が扱いやすいでしょう。

110+

対応する国・地域

210+

利用できる回線

不限

同時接続端末

7日

無理由退款

OpenWrtでVPNを使う前に決めること

設定を始める前に、どの通信をVPNへ通すのかを決めておくと、ルーターの設定が複雑になりません。代表的な構成は、家庭内ネットワーク全体をVPNへ送る方法、特定の端末だけをVPNへ送る方法、特定の宛先やサービスだけをVPNへ送る方法の3つです。

構成	向いているケース	注意点
全端末をVPNへ接続	家庭内の多くの通信を同じ出口へまとめたい場合	国内サイト、NAS、プリンターの通信まで影響を受ける可能性があります
端末単位で振り分け	テレビや特定のパソコンなど、一部の機器だけ経路を変更したい場合	端末のIPアドレスを固定し、ルールの対象を明確にする必要があります
宛先単位で振り分け	特定のドメインや地域向けサービスだけをVPNへ送る場合	関連ドメイン、CDN、DNSの扱いまで確認しなければなりません

家庭内の機器を安定して指定するには、DHCPの固定割り当てを利用します。OpenWrtの管理画面で端末のMACアドレスに同じローカルIPアドレスを割り当てておけば、再接続後もファイアウォールやポリシールーティングの対象が変わりにくくなります。手動で端末側にIPアドレスを設定する方法もありますが、DHCPの管理と重複しないように注意が必要です。

また、VPN接続が切れたときに対象端末を通常回線へ戻すのか、通信を止めるのかも先に決めます。前者は使いやすい一方、意図しない直接接続が発生する可能性があります。後者は経路を厳密に管理できますが、VPN障害時には対象端末がインターネットを利用できなくなります。用途に応じて、利便性と経路の明確さを選びましょう。

設計の結論 まずは固定した1台をテスト対象にし、VPNの接続、DNS、家庭内LANへのアクセスを確認します。全体設定は、その結果を確認してから行うのが安全です。

プロトコルとOpenWrt側の構成を選ぶ

OpenWrtで利用するプロトコルとして、現在検討しやすいのはWireGuardとOpenVPNです。WireGuardは設定項目が比較的少なく、軽量な暗号化トンネルを作りやすいため、対応ファイルを提供しているVPNサービスでは第一候補になります。OpenVPNは対応サービスや資料が多く、既存の.ovpnプロファイルを利用できる場合がありますが、暗号方式、証明書、認証情報などの確認項目が増えます。

WireGuardでは、秘密鍵、アドレス、公開鍵、接続先エンドポイント、許可するアドレス範囲、Keepaliveなどを設定します。秘密鍵は第三者へ渡さず、設定画面やバックアップファイルを公開しないでください。AllowedIPsは単なる接続先の指定ではなく、どの宛先をトンネルへ送るかを決める重要な項目です。全通信を送る構成と、特定のネットワークだけを送る構成では値の意味が異なるため、提供元の設定例をそのまま確認してください。

OpenVPNを使う場合は、ユーザー名とパスワードの保存方法、CA証明書、TLS関連の設定、UDPまたはTCPの選択を確認します。プロファイルに含まれる証明書や鍵を一部削除すると、接続だけでなく認証にも失敗します。設定ファイルをテキストエディターで編集する場合は、行末や引用符を不用意に変更しないようにしてください。

サービスによっては、Windows、macOS、Android、iOS、Linuxの公式クライアント向けにサブスクリプションリンクを用意していても、OpenWrtへそのまま一括インポートできるとは限りません。ルーターでは、WireGuardまたはOpenVPNの個別プロファイルを取得できるかを先に確認します。プロファイルがない場合は、OpenWrt上で動作する互換クライアントや追加パッケージが必要になることがありますが、ファームウェアのバージョン、CPUアーキテクチャ、LuCI対応状況を確認してから導入してください。

Clash Vergeは主にデスクトップ向け、ShadowrocketはiOS向け、sing-boxは複数のプラットフォームに対応するクライアントです。これらの設定形式をOpenWrtで使う場合は、ルーター側で対応する実装が必要です。クライアント用のサブスクリプションURLを、ルーターの標準VPN画面へ貼り付ければ動くという意味ではありません。対応形式とルーター側の導入方法を分けて考えることが大切です。

✅ まずWireGuardまたはOpenVPNのルーター向けプロファイルが提供されているか確認する
✅ 秘密鍵、証明書、認証情報をバックアップする前に安全な場所へ保管する
✅ OpenWrtのバージョンと機器のCPUアーキテクチャに合うパッケージだけを導入する
❌ Windows用クライアントの設定ファイルを、互換性を確認せずOpenWrtへ流用しない
❌ VPNプロファイル、管理画面のパスワード、サブスクリプションURLを公開しない

OpenWrtにVPNを設定する手順

ここではWireGuardを例に、管理画面を中心とした一般的な流れを説明します。OpenWrtのバージョンや導入済みパッケージによって表示名が異なることがあるため、画面に現れる項目が完全に一致しない場合は、利用中のファームウェアの説明も確認してください。

必要なパッケージを確認する

まず、OpenWrtの管理画面へ有線接続または安定したLAN接続でログインします。パッケージ管理画面からWireGuard関連のカーネルモジュール、ユーザーランドツール、LuCI用の管理画面を確認します。SSHを使う場合は、パッケージ名を環境に合わせて確認してから導入してください。空き容量が少ない機器では、追加パッケージを入れる前に不要なパッケージやログの保存設定を見直します。

VPNインターフェースを作成する

VPNインターフェースを新規作成し、提供元から取得した秘密鍵、トンネル内のアドレス、公開鍵、エンドポイント、許可するIP範囲を入力します。エンドポイントにホスト名が指定されている場合は、DNSがその名前を正しく解決できることも確認します。Keepaliveは、ルーターがNAT配下にあり、一定時間通信がないと接続状態を維持しにくい場合に必要となることがあります。数値はサービス提供元の指示を優先し、意味を理解せず変更しないでください。

保存後、インターフェースを起動します。ハンドシェイクの時刻が更新され、送受信バイトが増えていれば、少なくとも相手側との暗号化トンネルが確立している可能性があります。ただし、ハンドシェイクが成立していても、ファイアウォールゾーンやルーティングが誤っていれば、端末の通信はVPNを通りません。

ファイアウォールと振り分けを設定する

作成したVPNインターフェースを専用のファイアウォールゾーンへ割り当て、LANからVPNへ転送できるようにします。必要以上にWAN側や管理用ゾーンへアクセスを許可せず、最初はテスト端末から外部へ出る通信だけを確認します。ルーター自身の管理画面、SSH、家庭内サーバーのポートを不用意に外部へ公開しないでください。

端末単位で振り分ける場合は、固定したローカルIPアドレスをポリシールーティングの対象にします。宛先単位で振り分ける場合は、IPアドレスだけでなく、ドメインが複数のアドレスへ解決される可能性やCDNの変動も考慮します。名前ベースのルールは、DNSの処理方式と連動していなければ期待どおりに動かないことがあります。複雑なルールを一度に作成せず、1つの端末と少数の宛先から検証してください。

設定を反映したら、テスト端末のWi-Fiを一度切断して再接続するか、DHCPリースを更新します。VPN接続前後でIP確認ページを開き、出口地域が変わっているか確認します。その後、国内サイト、家庭内のNASやプリンター、対象サービスをそれぞれ開き、どの通信がどの経路を通っているかを整理します。確認にはIPを確認できるページも利用できます。

DNSと速度を確認する

VPNへ送る通信とDNS問い合わせの経路が一致しているかを確認します。ブラウザでページが表示できても、DNSだけが別の経路へ出ていると、地域判定が期待と異なったり、特定のドメインだけ名前解決に失敗したりすることがあります。OpenWrtのDNS転送設定、端末側のプライベートDNS、ブラウザ独自のDNS設定が重複していないか確認してください。

速度を調べるときは、短時間のピーク値だけで判断しません。ページの初回表示、大きなファイルの転送、動画の再生、複数端末を使ったときの変化を個別に観察します。ルーターのCPU使用率が高い場合は、暗号化処理が機器の性能を超えている可能性があります。暗号化方式を弱めるのではなく、不要な全体トンネルを避ける、対象端末を減らす、WireGuardへ切り替えるなど、安全性を維持できる方法から検討します。

設定手順の結論 VPNインターフェースの作成だけでは完了ではありません。ファイアウォール、ルーティング、DNS、端末側の再接続まで確認して初めて、家庭内の通信振り分けが正しく動作したと判断できます。

接続できないときの確認と元に戻す方法

VPNが接続できない場合は、最初にプロファイルの秘密鍵、公開鍵、エンドポイント、トンネル内アドレスを見直します。ハンドシェイクがない場合は、認証情報の誤り、時刻のずれ、エンドポイントの名前解決、UDP通信の到達性などを確認します。ハンドシェイクがあるのにWebページが開かない場合は、許可するIP範囲、デフォルトルート、ファイアウォール転送、MTUを確認します。

一部のサイトだけ開かない場合は、VPNそのものではなくDNS、IPv6、宛先ルール、サービス側の地域判定が原因かもしれません。IPv4ではVPNを通っていても、IPv6がWAN側から直接送信される構成では、経路が分かれて見えることがあります。IPv6を利用する場合は、VPNプロファイルとルーティングがIPv6に対応しているかを確認し、対応していない構成では無理に有効化したままにしないようにします。

元の状態へ戻すときは、まずVPNインターフェースを停止し、LANからVPNゾーンへの転送ルールを無効にします。その後、端末をWi-Fiから切断して再接続し、通常回線でIP、DNS、家庭内機器へのアクセスを確認します。設定を削除する前に、動作していたUCI設定や画面の内容を安全な場所へ保存しておくと、原因を調べる際に役立ちます。管理画面へ入れなくなった場合に備え、設定変更はLAN接続中に行い、復旧手順を手元に残しておきましょう。

OpenWrtのVPN設定に関するFAQ

家庭内のすべての端末をVPNへ接続できますか？

ルーターを経由する端末であれば、原理上はまとめてVPNへ送れます。ただし、プリンター、NAS、ゲーム機、IoT機器はVPN経由を想定していないことがあります。まず対象端末だけを指定し、家庭内LANへのアクセスが維持されるか確認してください。必要な通信だけを分ける構成のほうが、障害時の切り分けも簡単です。

サブスクリプションリンクをOpenWrtへ貼り付ければ使えますか？

必ずしも使えるとは限りません。サブスクリプションリンクは特定のクライアント向けの設定形式である場合があり、OpenWrt標準のWireGuardやOpenVPN画面とは互換性が異なります。WireGuardの設定ファイル、またはOpenVPNプロファイルを取得できるかを確認し、ルーター側の対応パッケージと合わせて判断してください。

VPN接続後に一部のサイトだけ開けないのはなぜですか？

DNS問い合わせの経路、IPv6の直接接続、宛先ルール、MTU、サービス側の地域判定などが考えられます。まずIPアドレスの変化とDNS応答を確認し、VPN対象端末だけで再現するかを調べます。全端末で同じ症状が出る場合は、ルーターの経路やDNS設定を優先して確認します。

OpenWrtルーターならどの機種でも同じ速度になりますか？

同じプロファイルを使っても、CPU性能、メモリ、無線性能、ファームウェア、暗号化処理の実装によって結果は変わります。特に全通信をVPNへ送る構成では、ルーターの暗号化処理がボトルネックになることがあります。購入前に対応バージョンとパッケージを確認し、導入後は実際の用途で速度と安定性を確認してください。

OpenWrtでのVPN運用は、設定項目を増やすことよりも、通信の目的を整理して小さく始めることが重要です。WireGuardまたはOpenVPNのプロファイルを正しく読み込み、固定したテスト端末でファイアウォール、ルーティング、DNSを順番に確認します。問題が起きた場合も、VPNを停止して通常回線へ戻せる構成を残しておけば、家庭内ネットワーク全体への影響を抑えながら調整できます。詳しい端末別の導入手順は新手指引を確認し、利用するクライアントとルーターの対応状況を照合してください。