OpenWrtルーターのVPN設定方法｜家庭内の通信を分ける手順

OpenWrtルーターにVPNを設定すると、家庭内のすべての端末を一括して同じ通信経路へ送るだけでなく、端末や宛先によってVPNを使う通信と直接接続する通信を分けられます。たとえば、仕事用のパソコンは通常回線、特定のスマートテレビや検証用端末だけVPN、家庭内のNASやプリンターは常にLAN内へ直接接続する、といった構成です。端末ごとにクライアントをインストールする方法と比べて管理をまとめやすい一方、ルーターのCPU性能、DNS設定、IPv6、ファイアウォール、ポリシールーティングが相互に関係するため、接続済みの表示だけで成功と判断しないことが大切です。

この記事では、OpenWrtルーターへWireGuardまたはOpenVPNの設定を登録し、家庭内の通信を分ける基本手順を説明します。管理画面の名称や利用できるパッケージはOpenWrtのバージョンと機種によって異なるため、画面上の項目が完全に一致しない場合があります。作業前に現在の設定をバックアップし、設定変更後は出口IP、DNS、対象端末の実通信を順番に確認してください。

最初に構成を決める

最初から家庭内の全通信をVPNへ送るのではなく、どの通信をどの経路にするかを紙に書き出すと、トラブルの範囲を小さくできます。OpenWrtでは、VPNインターフェースを作成しただけでは必ずしも全端末の通信がそこへ流れるわけではありません。LANゾーン、ファイアウォール転送、ルーティングテーブル、ポリシールーティングの条件がそろって初めて、意図した端末や宛先がVPNを利用します。

代表的な構成は三つあります。一つ目は、家庭内のすべての端末をVPNへ送る全体適用です。設定は比較的分かりやすいものの、銀行、ゲーム、動画サービス、家庭内機器など、通常回線のほうが適している通信まで対象になる可能性があります。二つ目は、特定の端末だけをVPNへ送る端末分けです。専用のSSIDやVLANを用意し、そのネットワークに接続した端末をVPNへ転送します。三つ目は、端末は同じLANに置いたまま、宛先IPやドメインに応じて経路を分ける宛先分けです。柔軟ですが、IPの変化、CDN、DNSキャッシュによってルールの管理が難しくなります。

家庭内で初めて試す場合は、予備の端末一台または専用SSIDだけをVPN対象にする方法が安全です。通常回線を残しておけば、VPN設定に誤りがあってもルーターの管理画面へ戻りやすくなります。NAS、プリンター、ルーター自身の管理アドレスなど、LAN内で完結する通信はVPNへ送らないルールを先に決めておきましょう。

WireGuardとOpenVPNの違い

OpenWrtで使うプロトコルは、提供元が発行する設定形式とルーターの対応状況を基準に選びます。WireGuardは秘密鍵と公開鍵、接続先、アドレス、DNS、許可するIP範囲などで構成されます。設定項目が比較的少なく、常時接続や再接続の管理もしやすい方式です。ただし、AllowedIPs の指定は単なる接続先情報ではなく、どの宛先をそのピアへ送るかを決める重要なルート条件なので、内容を理解せずに変更しないでください。

OpenVPNは、クライアント証明書、認証情報、暗号設定、TLS関連の指定などを含むことがあります。提供された .ovpn ファイルをそのまま利用できる場合もありますが、証明書を別ファイルとして登録する必要がある構成や、ユーザー名とパスワードを別途指定する構成もあります。WireGuard用の設定をOpenVPNへ変換したり、逆にOpenVPNの設定をWireGuardとして読み込んだりすることはできません。サービスが示すプロトコルとファイル形式に合わせてください。

公式クライアントではサブスクリプションURLを一度登録するだけで更新できる場合がありますが、OpenWrtでは同じURLをそのままインポートできるとは限りません。ルーター側で利用するには、WireGuardまたはOpenVPNの個別設定を取得し、管理画面や対応パッケージへ登録するのが基本です。Clash Verge、sing-box、Shadowrocket向けの設定は、そのままOpenWrtの標準VPNインターフェースになるとは限りません。利用するパッケージが必要とする形式を確認し、互換性のない設定を無理に投入しないでください。

OpenWrtへの登録と分流設定

作業前に、OpenWrtの管理画面から設定バックアップを保存します。可能なら、現在のLANアドレス、DHCP範囲、DNS転送、WAN設定も控えておきます。リモートから作業している場合は、VPNインターフェースやファイアウォールを変更した際に管理接続が切れることがあるため、できるだけルーターと同じLANに接続した端末で作業してください。

1. 設定ファイルを用意する。利用する回線のWireGuard設定またはOpenVPNプロファイルを取得し、秘密鍵や証明書の改行、引用符、ファイル名を変更せずに保管します。
2. VPNインターフェースを作成する。OpenWrtのネットワーク設定で新しいインターフェースを追加し、WireGuardなら秘密鍵とピア情報、OpenVPNならクライアントプロファイルと認証情報を登録します。
3. 自動起動と再接続を確認する。ルーター再起動後も意図せず直接接続へ戻らないよう、VPNインターフェースの起動条件と接続状態を確認します。
4. ファイアウォールゾーンを分ける。VPN側からWANへ出られる転送を設定し、必要に応じてVPN対象LANからVPNゾーンへの転送を許可します。LAN内の管理通信まで外部へ送らないよう、ローカル宛先の扱いを確認します。
5. 対象を限定して試す。専用SSID、VLAN、または特定端末のIPやMACを条件にして、最初は一台だけをVPNへ送ります。DHCPによるIP変更がある場合は、端末の識別方法が変わらないようにします。
6. DNSの経路を決める。VPN対象端末の名前解決をどのDNSへ送るかを設定します。DNSだけ通常回線、通信本体だけVPNという組み合わせでは、地域判定や名前解決結果が期待と異なる場合があります。

ポリシールーティングを使う場合は、条件を一度に増やさないことが重要です。まず送信元ネットワークで分け、次に必要な宛先条件を追加します。ドメイン名を条件にする場合、ルーターが名前解決の結果をどのようにルートへ反映するかを確認してください。大規模なCDNや複数の名前解決先を持つサービスでは、単一のIPアドレスを登録するだけでは通信全体を捕捉できないことがあります。

IPv6を家庭内で有効にしている場合は、IPv4だけVPNへ送り、IPv6が直接接続になる構成にも注意が必要です。VPNサービスとOpenWrt側でIPv6を扱わないなら、対象ネットワークのIPv6経路やDNS応答を別途確認し、意図しない経路が残らないようにします。無理にIPv6設定を追加するより、対応範囲を明確にしてから段階的に有効化するほうが安全です。

• ✅ 変更前にOpenWrtの設定バックアップを保存する。
• ✅ 最初は専用SSIDまたは一台の端末だけをVPN対象にする。
• ✅ LAN内のNAS、プリンター、ルーター管理画面への経路を維持する。
• ✅ WireGuardのハンドシェイクやOpenVPNのTLS・認証ログを確認する。
• ❌ OpenVPNの証明書、WireGuardの秘密鍵、認証情報を公開ログへ貼り付けない。
• ❌ VPNインターフェースを作っただけで、すべての端末がVPN経由だと判断しない。

速度と接続状態を検証する

検証は、VPNを切断した状態と接続した状態で同じ端末、同じLAN、同じ検証先を使って行います。まず通常回線で出口IPとDNSの状態を確認し、その後にVPNを有効化して同じ項目を確認します。当サイトのネットワーク診断も、ブラウザ通信の出口を比較する入口として利用できます。ただし、ブラウザの結果だけで、家庭内の全端末やルーター自身の通信まで確認できるわけではありません。

速度は一回の測定値だけで判断せず、時間帯、接続先、利用端末、Wi-Fiの電波状態をそろえて比較します。ルーターで暗号化処理を行うと、回線の契約速度とは別にCPU性能が制限要因になることがあります。速度が低下した場合は、まず対象端末を一台に絞り、VPNなし、VPNあり、別の回線という順番で比較します。速度だけでなく、名前解決の待ち時間、ページの読み込み、長時間接続の切断、家庭内サービスへの到達性も記録してください。

接続できないときは、まずVPNを対象外にした端末からOpenWrtの管理画面へ入れるか確認します。次に、VPNインターフェースが起動しているか、ピアとのハンドシェイクやOpenVPNの認証が成立しているか、ルーティングテーブルに意図した経路があるかを順番に見ます。設定を複数同時に変更すると原因が分からなくなるため、一つ変更したら接続、DNS、出口IPの三項目を再確認してください。

復旧を急ぐ場合は、ポリシールーティングのルールを一時停止し、VPN対象を解除して通常回線へ戻します。それでも管理画面へ入れない場合は、事前に保存したバックアップから設定を復元します。ルーターを初期化する前に、物理接続、LANアドレスの変更、DHCPの状態を確認してください。初期化は最後の手段であり、復元用のバックアップがない状態で実行すると、WANやWi-Fiの再設定が必要になります。

運用時の注意点とFAQ

OpenWrtのVPN設定は、一度作って終わりではありません。回線の設定が更新された場合、鍵や証明書の期限、サーバー名、許可されたIP範囲が変わることがあります。設定ファイルを更新するときは、現在動作している設定を先にバックアップし、新しい設定を一部の端末だけで検証してから対象範囲を戻します。複数のVPNクライアントを同時に動かすと、デフォルトルート、DNS、ファイアウォールの責任範囲が重なるため、役割を明確にしてください。

外出先からルーターを管理する場合は、管理ポートを無制限に公開せず、許可する送信元や管理用ネットワークを限定します。VPNの導入は、ルーターの管理画面、Wi-Fiパスワード、端末の更新状態に代わるものではありません。家庭内の利用者が増えたら、SSIDやVLANごとに用途を分け、ゲスト端末から管理用機器へ到達できないようにするなど、VPN以外のネットワーク分離も確認しましょう。

OpenWrtで家庭内通信を分けるポイントは、プロトコルを登録することよりも、対象端末、宛先、DNS、IPv6、復旧方法を先に設計することです。小さな範囲から検証し、ログと実際の通信結果を照合すれば、全体を止めずに段階的なルーティングへ移行できます。