OpenWrtルーターにVPNを設定すると、ルーターの先にある複数の端末をまとめて管理できます。パソコンやスマートフォンごとにVPNアプリを設定する方法と違い、ルーター側で接続先や通信ルールを管理できるのが利点です。一方で、設定を誤ると家中の端末がインターネットにつながらなくなったり、意図しない端末までVPN経由になったりします。最初に「VPNを使う端末」と「通常の回線を使う端末」を決め、段階的に設定することが大切です。

OpenWrtはルーター上で動作するOSであり、それ自体がVPNサービスを提供するわけではありません。利用するVPNサービスがルーター接続用の設定情報を提供しているか、またOpenWrt側で対応するプロトコルやパッケージを利用できるかを確認してください。以下では、設定の考え方、端末ごとの振り分け、接続確認、トラブル時の切り分けを順に解説します。

設定前に確認すること

最初に、OpenWrtのバージョン、ルーターの空き容量や処理能力、現在のネットワーク構成を確認します。ファームウェアの世代や機種によって、Web管理画面の項目名、パッケージの提供状況、対応する暗号方式が異なることがあります。画面上の説明が手元の環境と一致しない場合は、無理に別バージョン向けの手順を適用せず、使用中のOpenWrtに対応した公式ドキュメントを参照してください。

VPNサービス側では、ルーターや手動設定に対応しているかを確認します。設定方式はWireGuard、OpenVPNなどが代表的ですが、利用できる方式はサービスによって異なります。WireGuardでは秘密鍵、公開鍵、接続先、許可するアドレスなどの情報が必要になることがあります。OpenVPNでは、設定ファイルや認証情報を指定する方式が一般的です。クライアントアプリ用のサブスクリプションリンクを、そのままOpenWrtへ読み込めるとは限りません。

設定を始める前に、現在のルーター設定をバックアップし、管理画面へ有線接続できる状態を確保します。VPN設定を誤ると無線LANや管理画面へのアクセスまで失う場合があるためです。設定中は、ルーターの管理用アドレス、通常のWAN接続情報、現在のDNS設定を控えておくと復旧が容易です。公開鍵や秘密鍵、認証情報を含むファイルは、第三者に見える場所へ置いたり、公開フォーラムへ貼り付けたりしないでください。

3段階

準備・接続・振り分け

2方式

WireGuard・OpenVPN

1台

最初に試す端末

OpenWrtにVPNトンネルを作成する

パッケージはOpenWrtのバージョンと利用するプロトコルに合ったものを選びます。Web管理画面のソフトウェア管理機能から追加できる環境もありますが、すべての機種で同じ画面やパッケージが使えるわけではありません。インストール前に、空き容量と依存パッケージを確認してください。メモリーやCPUに余裕の少ない機種では、暗号化処理によってルーターの負荷が高くなることもあります。

トンネルの設定では、サービスから取得した情報を該当項目へ入力します。鍵や証明書、認証情報は、案内された形式を保って扱ってください。VPN接続先のアドレスをホスト名で指定する場合、接続前に名前解決が必要になることがあります。ルーターがVPN確立前から接続先を解決できるDNS設定になっているかも確認しましょう。入力後はインターフェースを有効にし、接続状態やログに認証失敗、鍵の不一致、接続先への到達不能などのエラーがないか確認します。

VPNインターフェースを作成しただけでは、LAN端末の通信が自動的にVPNへ流れるとは限りません。通常は、ファイアウォールでVPN用ゾーンを定義し、必要な転送を許可したうえで、ポリシーベースルーティング（PBR）などを使って通信先を振り分けます。パッケージ名や設定方法はOpenWrtのバージョンによって異なるため、インストール済みの管理画面と対象バージョンの説明に従ってください。

ファイアウォールとDNSを確認する

VPN用のファイアウォールゾーンでは、VPNインターフェースを正しく割り当て、LANからVPNへの転送を設定します。応答通信を戻すための設定や、必要な送信元NATも確認してください。ルーター上の設定を誤ると、トンネル自体は接続済みでも端末から通信できないことがあります。管理用のLAN通信までVPN側へ送らないよう、ルーター管理画面への経路を維持することも重要です。

DNSは、端末の通信経路と別に扱われる場合があります。端末のウェブ通信がVPN経由でも、DNS問い合わせが通常のWANへ送られる設定なら、期待する経路にならない可能性があります。VPN利用時にどのDNSを使うかを決め、IPv4だけでなくIPv6も確認してください。VPN側にIPv6の経路がない場合、端末のIPv6通信だけがWANへ出ることがあります。IPv6を無効にするか、VPN経由で正しく処理するかは、サービスと家庭内ネットワークの構成に合わせて選びます。

端末ごとにVPN経由と通常接続を使い分ける

端末単位で経路を分けるには、まず端末の識別方法を決めます。分かりやすい方法は、DHCPの固定割り当てで対象端末に同じローカルIPアドレスを割り当て、その送信元アドレスをPBRのルールに使うことです。端末が再接続したときにIPアドレスが変わると、ルールが意図した端末に適用されなくなるため、固定割り当てを設定してから振り分けを作ります。

次の手順で、まず一台だけを試験対象にします。管理画面の表示や項目名は環境によって異なるため、設定の考え方として読み替えてください。

  1. ルーターの設定をバックアップし、管理画面へアクセスできる端末を一台確保します。
  2. VPNサービスからOpenWrt用の接続情報を取得し、対応するトンネルを作成します。
  3. VPNインターフェースが接続状態になり、ルーターから外部へ通信できることを確認します。
  4. テストする端末にDHCP固定割り当てを設定し、端末を再接続して同じアドレスが割り当てられたことを確認します。
  5. PBRの設定で、その端末の送信元アドレスをVPNインターフェースへ送るルールを作ります。
  6. ルールを有効にし、対象端末の通信だけがVPN経由になり、他の端末は通常のWAN接続を保つか確認します。
  7. 問題がなければ、同じ手順で対象端末を追加し、ルールの優先順位や対象範囲を見直します。

ドメイン名を条件にするルールは便利ですが、アプリが複数のドメインやIPアドレスを使う場合、すべての通信を捕捉できないことがあります。端末単位のルールは対象が明確で切り分けやすい一方、その端末の通信全体をVPNへ送る設計になることがあります。用途に応じて、端末単位、宛先単位のどちらが適切かを選んでください。家族共用の端末や、ローカルプリンター、NASへ接続する端末では、家庭内LAN向け通信がVPNへ流れないよう例外ルールも確認します。

  • ✅ VPNを使う端末にDHCP固定割り当てを設定する
  • ✅ ルーター管理用の通信と家庭内LANへのアクセスを維持する
  • ✅ まず一台で試し、動作を確認してから対象を増やす
  • ✅ DNSとIPv6も含めて、通信がどの経路を通るか確認する
  • ❌ VPNインターフェースを作成しただけで振り分け済みと判断する
  • ❌ VPN用ファイアウォールゾーンの転送先を確認せず変更する
振り分けの要点：端末を固定IPで識別し、VPNを通す端末だけにルールを適用します。ルーター管理と家庭内LANの通信を保ったまま、一台ずつ確認するのが安全です。

設定が反映されたか確認する方法

管理画面でトンネルが接続済みと表示されても、端末の通信がそこを通っているとは限りません。対象端末から外部IPアドレスを確認できるページへアクセスし、VPN接続時と通常接続時で出口が切り替わるかを比べます。所在地表示だけで判断せず、VPNサービスの接続情報や複数の確認手段も参照してください。さらに、VPN対象外の端末でも確認し、意図せずすべての端末がVPN経由になっていないことを確かめます。

接続できない場合は、問題を段階に分けます。まず通常のWAN接続が動作しているかを確認し、次にルーターからVPN接続先へ到達できるか、認証情報や鍵が正しいか、トンネルが確立しているかを見ます。その後、ファイアウォール転送、PBRルール、端末のIPアドレス、DNSの順に確認してください。ログには機密情報が含まれることがあるため、共有する前に鍵、ユーザー名、接続先の識別情報などを除去します。

VPN接続後に通信が止まる場合は、ファイアウォールゾーンの割り当てやVPN側のDNS、MTUに関する問題が考えられます。特定のサイトやアプリだけ使えない場合は、対象端末のルールが正しいか、宛先ベースの条件が不足していないかを確認します。VPNを切ると回復する場合でも、設定を一度に複数変更せず、変更ごとにテストすると原因を追いやすくなります。緊急時に通常接続へ戻せるよう、ルーターのローカル管理経路とバックアップを確保しておきましょう。

よくある質問

VPN対応のルーターなら設定できますか？

機種名だけでは判断できません。OpenWrtのバージョン、利用可能なパッケージ、空き容量、CPU性能、サービス側が提供する接続方式を確認してください。ルーターがVPNを確立できても、複数端末の暗号化通信を処理する性能が十分とは限りません。

クライアント用のサブスクリプションリンクを使えますか？

必ずしも使えるとは限りません。サブスクリプションリンクは対応クライアント向けの形式で配布されることがあり、OpenWrtの設定画面が直接読み込めない場合があります。サービスが提供するルーター用設定情報、またはOpenWrtで利用できる形式を確認してください。

VPNが切れたとき、端末は通常回線へ戻りますか？

設定次第です。VPNが切断された際にWANへフォールバックする構成では通信が続く一方、VPN以外へ出さないキルスイッチ構成では対象端末の通信が止まります。プライバシーを優先するか、接続継続を優先するかを決め、VPNを意図的に停止して挙動をテストしてください。

家中の端末をすべてVPN経由にできますか？

ルーティングとファイアウォールを全体向けに設定すれば可能な場合がありますが、ローカル機器へのアクセスやIPv6、DNS、ルーター自身の通信に影響することがあります。最初は一台だけに適用し、必要な例外を確認してから対象を広げる方法をおすすめします。