OpenWrtを搭載したルーターにVPNを設定すると、スマートフォン、パソコン、スマートテレビ、ゲーム機など、家庭内ネットワークに接続する端末へ同じ通信ルールを適用できます。端末ごとにクライアントをインストールする方法と比べて、設定を一か所で管理しやすいことが大きな利点です。一方で、ルーター側の設定を誤ると、家庭内の管理画面までトンネルへ送られたり、DNSだけが別経路になったりするため、導入前に「どの端末の、どの通信をVPNへ送るか」を決めておく必要があります。

OpenWrtでのVPN運用には、すべての通信をVPNへ送る方法、特定の端末だけを対象にする方法、ドメインやIPアドレスに応じて経路を分ける方法があります。動画視聴用のテレビだけを対象にしたり、仕事用パソコンは直接接続のままにしたり、家庭内LANと外部通信を分離したりすることも可能です。ここでは、構成の考え方、導入手順、スプリットトンネルの設計、通信確認、トラブルの切り分けまで順番に説明します。

90+

対応国

200+

回線数

無制限

同時接続端末

5

対応プラットフォーム

OpenWrtでVPNを使う前に理解したい構成

一般的な家庭用ルーターでは、ルーターが端末へIPアドレスを配布し、DNS問い合わせを受け付け、外部ネットワークへのデフォルトゲートウェイとして動作します。OpenWrtでも基本構造は同じですが、ファイアウォール、ルーティングテーブル、ポリシールーティング、VPNインターフェースを細かく制御できます。この柔軟性により、単純な全体接続だけでなく、宛先や送信元ごとの振り分けが可能になります。

最初に決めるべきなのは、VPNの適用範囲です。家庭内の全端末をVPNへ送る場合は、LANからVPNインターフェースへデフォルトルートを設定します。特定の端末だけを対象にする場合は、端末のIPアドレス、MACアドレス、または専用のLANゾーンを基準にルールを作ります。特定サイトだけをVPNへ送る場合は、ドメイン名をIPアドレスへ解決するDNSと、実際のパケットを転送するルーティングを同じ設計にしなければなりません。

プロトコルとクライアントの選び方

WireGuardはVPNプロトコルとして設計されており、OpenWrtのネットワークインターフェースとして扱いやすい方式です。設定項目が比較的少なく、ルーティングとの関係も明確にできます。OpenVPNもルーターで利用される代表的なVPN方式ですが、証明書、暗号化方式、経路設定など確認項目が多くなります。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2などは、VPNという言葉でまとめて紹介されることがありますが、従来の意味でのシステム全体向けVPNプロトコルとは異なるプロキシ系の転送方式です。これらをOpenWrtで利用する場合は、対応するクライアントやパッケージが必要です。sing-boxやClash系のクライアントを使う構成では、サブスクリプションURLを読み込み、ノード情報とルールを管理できます。ただし、OpenWrtのCPU性能、メモリ容量、パッケージの対応状況は機種ごとに異なるため、導入前に確認してください。

  • ✅ OpenWrtのバージョンとルーターのアーキテクチャを確認する
  • ✅ VPNインターフェース、DNS、ファイアウォールの役割を分けて考える
  • ✅ サブスクリプションURLは公式クライアントや対応クライアントへ安全に登録する
  • ❌ WireGuardの設定とプロキシクライアントの設定を同じものとして扱わない
  • ❌ 設定変更前のバックアップを作らずにファイアウォールを編集しない

OpenWrtへVPNを導入する手順

導入作業は、設定のバックアップ、必要なパッケージの準備、VPN接続情報の登録、インターフェースの作成、ファイアウォールとルーティングの設定、通信確認という流れで進めます。LuCIのWeb管理画面で操作できる項目もありますが、方式によってはSSHから設定ファイルを編集する必要があります。ルーターの管理画面へ接続するためのLAN経路は、作業中も直接接続として残しておくと安全です。

  1. OpenWrtの設定をバックアップし、現在のLANアドレス、DHCP、DNSの状態を記録する。
  2. 利用する方式に応じて、WireGuard、OpenVPN、sing-box、Clash系など対応パッケージを準備する。
  3. 契約サービスから取得した設定情報、鍵、サーバーアドレス、ポート、DNS情報を登録する。
  4. VPN用インターフェースを作成し、必要なファイアウォールゾーンへ追加する。
  5. 全体接続か、端末単位か、ドメイン単位かを決め、ポリシールーティングを設定する。
  6. DNS、外部IP、対象外端末、家庭内LANへのアクセスを順番に確認する。

WireGuardの場合は、秘密鍵をルーター外へ不用意に公開しないことが重要です。ピアの公開鍵、接続先、許可するアドレス、キープアライブの扱いを確認し、AllowedIPsを広く設定する場合は、意図した経路になっているかを必ず確認します。OpenVPNでは、証明書や認証情報を正しく配置し、UDPまたはTCPの選択が提供元の仕様と一致しているかを見ます。

プロキシ系の構成では、クライアントが単にプロセスとして起動しているだけでは、家庭内の全端末の通信を自動的に取り込めません。TUNインターフェース、透過プロキシ、TPROXY、ポリシールーティングなど、LANから受け取ったパケットをクライアントへ渡す仕組みが必要です。TCPだけでなくUDPを扱う必要がある機器では、クライアントとルールがUDP転送に対応しているかを確認してください。

導入手順の結論:接続情報を登録するだけでは不十分です。VPNインターフェース、ファイアウォール、DNS、ルーティングの四つが一貫して動作して初めて、家庭内端末から利用できる状態になります。

家庭内通信をスプリットトンネルで振り分ける

スプリットトンネルは、通信を一つの経路へ集約せず、条件に応じてVPNと直接接続へ分ける設計です。たとえば、テレビや特定のストリーミングアプリだけをVPNへ送り、銀行、プリンター、NAS、家庭内の管理画面は直接接続にできます。必要な通信だけを対象にすることで、不要な経路変更を減らし、家庭内サービスとの互換性を保ちやすくなります。

端末単位で分ける方法

端末単位の振り分けは、最初に試す方法としてわかりやすい構成です。DHCPで対象端末へ固定的なアドレスを割り当て、その送信元アドレスをVPNルートへ送ります。テレビ、ゲーム機、特定のスマートフォンなど、利用目的が明確な端末に向いています。端末を交換したときにルールが外れないよう、DHCPの固定割り当てや適切なアドレス管理を行ってください。

ドメイン単位で分ける方法

ドメイン単位のルールでは、対象サイトのドメインをリストへ登録し、その名前解決結果に応じてVPNへ送ります。ただし、近年のサービスは複数のCDN、API、認証ドメイン、画像配信ドメインを使うことがあります。トップページのドメインだけを登録すると、ログイン、再生、ファイル取得など一部の機能が直接接続へ残る可能性があります。

また、DNSが直接接続側で解決され、通信だけがVPNへ送られると、地域判定や接続先の選択が期待どおりにならないことがあります。DNSの問い合わせ先と実際の出口を同じルールで考え、LAN内の名前解決やルーター自身の名前解決まで誤ってVPNへ送らないようにします。

方式 向いている用途 利点 注意点
全体ルート 家庭内の多くの端末を同じ経路にする ルールが少なく管理しやすい 国内サービスやLAN機器まで影響することがある
端末単位 テレビ、ゲーム機、特定のスマートフォン 対象範囲が明確で検証しやすい 端末のアドレス管理が必要
ドメイン単位 特定サイトやサービスだけを振り分ける 用途ごとの細かな制御ができる 関連ドメイン、DNS、CDNの確認が必要
専用LAN VPN専用の端末グループを作る ルールと端末の関係を整理しやすい VLANや追加のネットワーク設計が必要

接続後の確認とトラブル対処

設定を保存した直後にウェブページが開いただけでは、正しい経路を通っているとは限りません。VPN対象端末、対象外端末、ルーター自身の三つを分けて確認します。対象端末では外部IPの表示、DNSリークの有無、目的のサイトやアプリの動作を確認し、対象外端末では通常の接続と家庭内LANへのアクセスが維持されているかを見ます。

OpenWrtのステータス画面やログでは、VPNインターフェースが起動しているか、ハンドシェイクや接続セッションが更新されているか、ルートが存在するかを確認できます。インターフェースが起動していても、ファイアウォールゾーンの転送が許可されていなければLAN端末は通信できません。反対に、すべてを許可しすぎると、意図しないインターフェースへ通信が流れるため、必要なゾーンと転送だけを設定します。

  • ✅ まずルーター自身のVPN接続状態を確認する
  • ✅ 次に対象端末の外部IPとDNSの経路を確認する
  • ✅ 対象外端末から通常のサイトと家庭内機器へ接続する
  • ✅ VPNを停止したときに、対象通信が意図せず外へ流れない設定を確認する
  • ❌ ルーターの管理用LANアドレスをVPN側のルートへ含めない

通信できない場合は、原因を一度に複数変更せず、層ごとに切り分けます。まず認証情報、鍵、サーバーアドレス、時刻を確認します。次にDNSが名前を解決できるかを確認し、その後でルーティングとファイアウォールを調べます。名前ではなくIPアドレスで接続できるならDNSルールが原因である可能性が高く、ルーター自身は接続できるのにLAN端末だけ失敗するなら、LANからVPNへの転送、NAT、ポリシールーティングを優先して確認します。

一部のサイトやアプリだけが開かない場合は、ドメインリストの不足、IPv6だけが直接接続になっている状態、UDP未対応、MTUの不一致などが候補になります。IPv4では動くのにIPv6で失敗する場合は、IPv6をルールへ含めるか、検証のため一時的に経路を整理します。MTUを変更するときは、値を闇雲に下げるのではなく、断片化や特定サービスだけのタイムアウトがあるかを確認し、変更前の設定を保存してください。

確認の結論:「VPNに接続済み」という表示ではなく、対象端末の外部IP、DNS、実際のサービス動作、対象外端末の正常性を分けて検証することが重要です。

OpenWrtのVPN設定に関するFAQ

すべての家庭内端末へVPNを適用できますか？

可能ですが、ルーター側でVPNをデフォルト経路として設定し、LANからVPNへ転送できる状態にする必要があります。端末の種類によってはUDP、IPv6、独自DNSを使うため、全端末が同じ動作になるとは限りません。まず対象端末を少数に絞って確認し、問題がなければ適用範囲を広げる方法が安全です。

OpenWrtルーターの性能はVPN速度に影響しますか？

影響します。暗号化、復号、パケット処理、DNS、ルール判定をルーターが担当するため、CPU性能やメモリ、利用するプロトコルによって処理能力が変わります。特にTUNや透過プロキシを使う構成では、単純なルーティングより多くの処理が必要です。速度だけでなく、ログの増加やメモリ使用量も確認してください。

サブスクリプションURLをOpenWrtへ直接読み込めますか？

対応クライアントを導入している場合は、クライアントの仕様に従ってURLを登録できます。ただし、すべてのOpenWrtパッケージが同じ形式に対応するわけではありません。Windows、macOS、iOS、Android、Linuxの公式クライアントで先に接続情報を確認し、OpenWrtでは対応する形式へ変換または個別登録する手順が必要になる場合があります。

VPN接続後もプリンターやNASを使えますか？

家庭内LANのアドレス範囲をVPNルートの対象外にし、LANゾーン内の通信を許可すれば利用できることが多いです。プリンターの自動検出にはブロードキャストやマルチキャストが使われる場合があるため、単純なIP通信とは別に確認してください。管理画面へ戻れなくなったときは、LANケーブルやローカル接続からOpenWrtへ入り、ルーティングとファイアウォールを復元します。

OpenWrtのVPN設定は、接続情報を貼り付けて終わる作業ではありません。全体ルート、端末単位、ドメイン単位のどれを選ぶかを先に決め、DNS、ファイアウォール、IPv4・IPv6、UDP対応を一つずつ確認することが安定運用への近道です。必要に応じて、使用ガイドで端末側の接続方法も確認し、ルーターと各クライアントの設定を同じ目的に合わせて管理しましょう。