OpenWrt対応ルーターにVPNを設定すると、スマートフォン、パソコン、テレビ、ゲーム機、IoT機器ごとにクライアントを導入しなくても、家庭内ネットワークの通信をルーター側でまとめて管理できます。ただし、「ルーターにVPNを入れれば、すべての通信が自動的にVPN経由になる」というわけではありません。接続方式、ルーティングルール、DNS、IPv6、ファイアウォールの状態がそろって初めて、意図した通信の振り分けが実現します。
本記事では、OpenWrtルーターでプロファイルを登録し、VPN経由と直通を使い分ける基本的な考え方を説明します。WireGuardやOpenVPNのようなトンネル方式に加え、ファームウェアや構成によってはClash系、sing-box、Shadowsocks、VMess、Trojan、Hysteria2などを扱える場合もあります。ただし、OpenWrtのビルド、CPU、メモリ、インストール済みパッケージによって利用できる機能は異なるため、最初に対応状況を確認してください。
OpenWrtルーターにVPNを設定する前の準備
最初に確認するのは、VPNサービスの契約状態、ルーターの管理画面、そして現在のネットワーク構成です。ルーターへ設定を追加する前に、管理画面へログインできること、現在のインターネット接続が正常であること、設定のバックアップを取得できることを確認します。VPN設定を誤ると、ルーターの管理画面にはアクセスできても、家庭内の端末から外部へ通信できなくなる場合があります。
OpenWrtの管理画面は通常LuCIを使いますが、VPN関連の設定は標準画面だけで完結しないことがあります。WireGuardやOpenVPNは比較的明確な設定項目を持つ一方、サブスクリプションリンクから複数のノードを読み込む場合は、OpenClash、PassWall2、sing-box系のパッケージなど、対応する追加ソフトウェアが必要になることがあります。パッケージ名が似ていても、対応するコアや設定形式が異なるため、配布元の説明と現在のファームウェアの対応表を照合してください。
90+
国をカバーする回線
200+
利用可能なライン
14日
初回支払いの返金期間
無制限
同時接続デバイス
MeeVPNのサブスクリプションを使う場合は、ユーザーパネルからOpenWrt上のクライアントが読める形式を選びます。Clash系の設定、sing-box用の設定、WireGuard用の個別プロファイルは同じものではありません。URLをブラウザーで開いて内容が表示されても、それだけで接続設定が完了したわけではありません。クライアントの「リモート設定を追加」「URLからインポート」などの機能を使用し、読み込み後にノードやプロキシグループが作成されたことを確認します。
WireGuard、OpenVPN、Clash系の違いを理解する
OpenWrtで使うVPN方式は、大きく分けて個別のトンネル設定を作る方法と、複数ノードやルールをクライアントで管理する方法があります。どれが最適かは、家庭内のすべての通信を同じ出口へ送るのか、端末やドメインごとに細かく振り分けるのかによって変わります。
| 方式 | 向いている用途 | 設定の特徴 | 注意点 |
|---|---|---|---|
| WireGuard | 軽量な常時接続、固定した出口の利用 | 鍵、アドレス、エンドポイント、許可IPを設定 | ルール分岐や複数ノード管理は別途設計が必要 |
| OpenVPN | 既存の設定ファイルを使ったトンネル接続 | 証明書、認証情報、暗号化方式などを読み込む | ルーターの負荷や設定項目が増えやすい |
| Clash系 | 複数ノード、ルール分岐、プロキシグループ | YAMLなどの設定とクライアントコアで管理 | OpenWrtのビルドと追加パッケージへの依存が大きい |
| sing-box系 | 複数プロトコルや細かなルーティング | JSON設定、DNSルール、インバウンドとアウトバウンドを構成 | 設定の自由度が高い反面、項目の意味を理解する必要がある |
WireGuardは構成が比較的簡潔で、ルーターの常時接続用途に向いています。設定ファイルを受け取った場合は、秘密鍵、アドレス、DNS、ピアの公開鍵、エンドポイント、AllowedIPsなどを確認します。AllowedIPsは単なる接続先一覧ではなく、どの宛先をそのピアへ送るかを決めるため、値を広く設定すると家庭内の通信がほぼすべてトンネルへ流れることがあります。
OpenVPNでは、設定ファイルの中に証明書や認証方式が含まれることがあります。ファイルをテキストエディターで不用意に書き換えると、証明書の改行や引用符が壊れ、接続に失敗します。Clash系やsing-box系では、ノードの登録だけでなく、DNS、ルール、プロキシグループ、LANからの通信を受け付ける設定が必要です。管理画面で「起動」を押しただけでは、LAN側の端末の通信がクライアントへ取り込まれない場合があります。
OpenWrtへプロファイルを登録する手順
ここでは、設定を一度に複数変更せず、接続、LANからの取り込み、ルール、DNSの順番で確認します。作業中はルーターへ有線接続したパソコンを使うと、無線設定やルーティングを変更した際にも復旧しやすくなります。
- バックアップを作成する：LuCIのバックアップ画面から現在の設定を保存します。ファイル名には設定内容が分かる短い名前を付け、公開クラウドや共有チャットには置かないでください。
- 必要なパッケージを確認する：WireGuardなら対応するカーネルモジュールと管理画面パッケージ、OpenVPNならクライアント関連パッケージを確認します。サブスクリプションを使う場合は、取得する形式に合うクライアントを選びます。
- プロファイルを登録する：WireGuardの設定ファイル、OpenVPNの設定ファイル、またはリモートサブスクリプションURLを登録します。URLの前後に空白や改行が入っていないか確認し、秘密鍵やトークンをログへ出力しないよう注意します。
- VPNインターフェースを起動する：インターフェースが起動状態になったことを確認します。起動済みでもハンドシェイクが成立しているとは限らないため、クライアントのログやステータスでピア、サーバー、最終接続時刻などを確認します。
- ファイアウォールゾーンを割り当てる：VPNインターフェースを適切なゾーンへ追加し、LANからVPNへ転送できるよう設定します。VPNが停止したときにLAN通信をWANへ逃がすのか、通信を止めるのかも、この段階で決めます。
- LAN端末を少数で試す：いきなり家庭内全体へ適用せず、テスト用の端末または別のSSIDだけを対象にします。ウェブ閲覧、ログイン、名前解決、通常の国内サービスを順に確認します。
- ルールを追加する：端末、IPアドレス、MACアドレス、ドメイン、ポートなど、必要な単位で直通とVPN経由を分けます。ルールの順番があるクライアントでは、より具体的なルールを上位に置きます。
サブスクリプションからノードを読み込む場合、リモート設定を直接編集するのではなく、ローカル側のルールやグループ設定を別に保存します。サーバー側の更新でノード名やパラメータが置き換わることがあるためです。自動更新を有効にする場合も、更新後に選択中のプロキシグループ、DNSモード、LANの取り込み設定が維持されているか確認しましょう。
- ✅ まず1台のテスト端末だけをVPN経由にする
- ✅ ルーター管理用の経路は直通で残す
- ✅ サブスクリプションの形式とクライアントコアを一致させる
- ❌ 2つのVPNクライアントを同時にデフォルトゲートウェイへしない
- ❌ 設定ファイルの秘密鍵やサブスクリプションURLを公開しない
家庭内通信を直通とVPN経由に振り分ける
家庭内の通信を賢く管理するには、「全体をVPNへ送る」よりも、目的ごとにポリシーを分ける考え方が重要です。たとえば、ルーターの管理画面、プリンター、NAS、スマート家電はLAN内で完結させ、特定の外部サービスや作業用端末だけをVPN経由にします。国内のサービスを直通にするかどうかは利用環境とルールの品質によって変わるため、固定の一覧をそのまま信頼せず、実際の通信ログで確認してください。
端末単位の振り分けは比較的分かりやすい方法です。仕事用パソコンをVPN経由、テレビやゲーム機を直通、来客用SSIDを直通というように、IPアドレスやSSID単位で扱います。ただし、DHCPの再起動や端末のスリープ復帰でIPアドレスが変わると、意図したルールから外れることがあります。重要な端末にはDHCP固定割り当てを利用し、MACアドレスのランダム化がある端末では、登録値が変わっていないか確認してください。
ドメイン単位の振り分けは柔軟ですが、関連ドメインの漏れが起きやすくなります。ログイン、画像配信、API、更新、プッシュ通知が別ドメインを使うサービスでは、トップページだけをVPNへ送っても機能全体は動きません。逆に、広すぎるドメイン規則を追加すると、不要な通信までVPN経由になり、通信量やルーター負荷が増える可能性があります。最初は対象を狭く設定し、接続ログで不足している宛先だけを追加する方法が安全です。
DNSを先に確認する
DNSは、ドメイン名をIPアドレスへ変換する仕組みです。ルーター側のDNSとVPNクライアント側のDNSが異なる経路を使うと、ルーティングルールと名前解決の結果が一致しないことがあります。VPNへ送るべきドメインを直通側のDNSで解決したり、ローカルサービス名まで外部DNSへ問い合わせたりすると、アクセス先の判定やプライバシーに影響します。
設定後は、ルーターのDNS転送、クライアントのDNSモード、IPv6の扱いを確認します。IPv4だけVPNへ送ってIPv6をWANへ残している構成では、ブラウザーやアプリがIPv6を優先して直通する場合があります。IPv6を利用しないなら、家庭内ネットワーク全体で無効化するのか、VPN側でIPv6を処理するのかを明確にしてください。中途半端に無効化すると、端末へ古いIPv6情報が残ることもあるため、端末の再接続やDHCP更新も行います。
接続できないときの切り分けと復旧方法
VPNを有効にした直後に通信できなくなった場合は、すぐに設定を最初から作り直すのではなく、問題の範囲を小さくします。まずルーターのWAN接続が正常か、LuCIへアクセスできるか、VPNインターフェースが起動しているかを確認します。WAN自体が停止しているならプロファイルの問題ではなく、回線や上位ルーターを確認します。WANが正常でVPNだけ停止しているなら、サーバー名、ポート、鍵、証明書、時刻、プロトコル対応を確認します。
よくある症状から原因を絞る
- プロファイルを読み込めない：URLの形式がクライアントに合っていない、設定ファイルが破損している、追加パッケージが対応コアを含んでいない可能性があります。
- VPNは起動するが端末が通信できない：ファイアウォールゾーン、LANからVPNへの転送、NAT、デフォルトルートの設定を確認します。
- 一部のサイトだけ開けない：DNSの経路、ルールの順序、関連ドメイン、MTU、IPv6を確認します。
- 接続後に管理画面へ入れない：管理用端末やLAN内アドレスまでVPNルールに取り込まれている可能性があります。設定バックアップから戻すか、ローカル側の管理経路を復元します。
- 再起動後に設定が戻る：自動起動、サービス依存関係、設定ファイルの保存先、リモート設定の更新処理を確認します。
復旧の基本は、VPNサービスを停止し、LANからWANへの通常の通信を一時的に戻し、設定を1項目ずつ再適用することです。ルーターへ接続できない場合は、別のLANポート、固定した管理用端末、シリアルコンソールなど、機器が提供する復旧手段を使います。工場出荷状態への初期化は最後の手段です。初期化するとWi-Fi、PPPoE、DHCP、ポート転送なども失われるため、バックアップの有無を確認してから実行してください。
OpenWrtのVPN設定に関するFAQ
市販のWi-FiルーターでもOpenWrtを使えますか？
機種がOpenWrtに対応していれば可能ですが、対応状況はモデル、ハードウェアリビジョン、フラッシュ容量、無線チップによって異なります。同じ製品名でも内部仕様が違う場合があるため、型番とリビジョンを確認してください。対応していないイメージを書き込むと起動しなくなるおそれがあるため、公式の対応情報と復旧方法を先に調べます。
ルーターにサブスクリプションURLを登録すれば自動で最適なノードになりますか？
自動選択に対応するクライアントでも、常に最適な結果になるとは限りません。ノードの選択はテスト方法、ルール、DNS、時間帯、家庭内の同時通信に左右されます。まず複数の候補を手動で確認し、安定したノードをグループの既定値に設定してください。更新後に選択状態が変わっていないかも確認が必要です。
家庭内のすべての端末をVPN経由にすべきですか？
必ずしもそうする必要はありません。プリンター、NAS、スマート家電、ゲーム機などは直通のほうが扱いやすい場合があります。仕事用端末や特定のサービスだけをVPN経由にし、管理用端末は直通に残すと、トラブル時の操作性も保ちやすくなります。端末単位とドメイン単位を組み合わせる場合は、優先順位を記録しておきましょう。
VPNを停止した後も通信がおかしい場合はどうしますか？
ルーターのVPNサービスを停止しても、ポリシールーティング、DNSキャッシュ、仮想インターフェース、端末側のDNS情報が残っていることがあります。VPN関連のインターフェースと転送ルールを確認し、必要に応じてルーターと端末を再接続します。それでも直らなければ、設定バックアップへ戻して通常のWAN接続を確認してから、VPN設定を再構築してください。