ガイド

ルーターでVPNを動かす

VPNトンネルをルーターに載せると、ネットワーク上のすべての端末が一度に守られます。アプリを入れられないテレビ、ゲーム機、スマートスピーカーも含めてです。トレードオフは本物です。スループットはルーターのCPUに縛られ、家中が1つの国から出ていくことになり、トラブルシューティングは難しくなります。このガイドでは、構成の種類と決め方を解説します。

🛡️

1本のトンネルで家全体

ネットワークに参加した端末は、自動的にトンネルの中にいます。アプリのインストールも、端末ごとの設定も、来客に設定してもらうことも不要。VPNソフトを一切動かせない端末もカバーされます。

🌍

上限はルーターのCPU

暗号化はルーターのプロセッサで走り、家庭用ルーターのそれは非力です。ノートPCのアプリ経由なら数百メガビット出る回線が、同じルーター経由ではその何分の一かに落ちることがあります。

🔑

方法は1つではない

VPNクライアント内蔵ファームウェアだけが選択肢ではありません。ゲートウェイ役の小型コンピュータや、メインの後ろに置く2台目のルーターでも、別のトレードオフで同じ結果になります——ファームの書き換えなしで。

そもそもなぜトンネルをルーターに載せるのか

VPNアプリをどうやっても動かせない端末があるからです。スマートテレビ、ゲーム機、ストリーミング端末、スマートスピーカー、そして大半のIoT機器にはクライアントソフトを入れる手段がありません。その通信をトンネルに通す唯一の道は、上流で——それらがつながるルーターで——やることです。ルーターの後ろにあるものはすべて、トンネルの存在を知らないまま、その恩恵を受け継ぎます。

台数制限の面でも実用的なボーナスがあります。ルーターの後ろのネットワークは、VPNサービスから見れば1接続です。Auroraの契約は最大7台をカバーしますが、ルーターは後ろに何台ぶら下がっていても1枠しか使いません。

その代償：速度

トンネルの暗号化はルーターのプロセッサで走ることになり、契約回線の上限よりずっと手前で、そこがボトルネックになります。家庭用ルーターは小さな低消費電力チップを使っています。重くてシングルスレッドのOpenVPNは、そうしたハードウェアでは数十メガビットで頭打ちになりがちです。WireGuardはずっと軽く、同じチップで数倍出ますが、それでも安いルーターが高速な光回線を使い切ることはありません。

帯域ほど遅延は悪化しないので、ブラウジングやビデオ通話はたいてい快適なままです。痛みが出るのは、大きなダウンロード、クラウドバックアップ、4Kストリーミング——どれも同じ小さなCPUを同時に奪い合うものです。踏み切る前に、そのルーターのプロセッサが現実的にどれだけ暗号化できるかを確認し、選べる場面では常にOpenVPNよりWireGuardを選んでください。

その代償：柔軟性とデバッグ

家全体が1つの国から出ていくことになります。端末ごとのアプリなら、ノートPCはある場所、テレビは別の場所という使い分けができますが、ルーターのトンネルでは、出口の国を変えると全員一斉に変わります。銀行のサイト、宅配アプリ、位置に敏感なものすべてが、家中のどの端末でも同じ外国のアドレスを見ることになります。

トラブルシューティングも難しくなります。ページが読み込めないとき、問いはもはや「ネットが落ちてる？」だけではありません。ISPか、ルーターか、トンネルか、VPNサーバーか——どれも症状は同じに見えます。トンネルを経路から素早く外す手段——たとえばトンネルを通らない別のネットワーク——を用意しておけば、ひと晩の当てずっぽうが2分の確認に変わります。

選択肢1：ファームウェアがクライアントを動かせるルーター

VPNクライアントをネイティブに動かせるルーターがあります。メーカー純正ファームウェアに含まれている場合もあれば、WireGuardとOpenVPNのクライアントを追加するコミュニティ製ファームウェアが対応している場合もあります。管理画面にサーバーのアドレスと鍵を入力すれば、ルーター自身がトンネルを張ります。これが最もすっきりした構成です。箱1つ、追加ハードウェアなし。

引っかかるのは互換性とリスクです。すべての機種がサードパーティ製ファームに対応しているわけではなく、書き換えは保証を失効させたり、不注意なら文鎮化させたりしますし、純正ファームは受け付けるプロトコルがまちまちです。特定の機種を追いかけるより、原則を確認しましょう。そのルーターのファームウェア——純正でもコミュニティ製でも——が、使うVPNのプロトコル、理想的にはWireGuardに対応しているか。そしてCPUにその余力があるか。

選択肢2：別のマシンをゲートウェイにする

ルーターに暗号化をさせる代わりに、小型コンピュータ——ミニPCやシングルボードマシン——をネットワークに置き、そこでトンネルを動かし、各端末のゲートウェイとして向けます。ルーターは得意なことを続け、トンネルははるかに強いCPUを得ます。控えめなx86のミニPCでも、家庭用ルーターには到底届かない速度でWireGuardを暗号化します。

コストは、電源を入れて面倒を見る箱が1つ増えることと、多少のネットワーク知識です。ゲートウェイは通信を転送し、デフォルトルートとして設定されなければなりません。引き換えに、デバッグは簡単になり——ゲートウェイを経路から外せばネットワークは直結に戻ります——、好きなクライアントとルールを動かせるフルのOSが手に入ります。

選択肢3：メインの後ろに2台目のルーター

今のルーターには手を付けず、その後ろに2台目をつなぎます。2台目がトンネルを張り、自分のWi-Fiネットワークを飛ばします。これで家には2つのネットワークができます。1つ目につなげば直結、2つ目につなげばトンネルの中。端末の行き来はWi-Fiを切り替えるだけです。

これは最も理解しやすく、実験するにも最も安全な構成です。2台目での失敗が家のインターネットを壊すことは決してありません。トレードオフは、ゲーム機やポート依存のアプリをときどき混乱させる二重NATと、選択肢1と同じCPUの上限です。暗号化をするのは相変わらず2台目のルーターだからです。

どの端末をトンネルに通すか：スプリットルーティング

全端末をトンネルに通したい場面は、実はまれです。ポリシーベースルーティングを使うと、ルーターが端末ごとに——普通はローカルIPかMACアドレスで——通信をトンネルに入れるか直接出すかを決められます。典型的な振り分けは、テレビと仕事用ノートPCをトンネルへ、遅延に敏感なゲーム機とスマートホームのハブは直結のまま、というものです。

振り分けを堅牢にするのは、次の3つです。

トンネルに通す端末には固定のローカルアドレスを与える。リースの変化で端末が静かにトンネルの外へ出てしまわないように
グループごとにDNSの行き先を決める。直結の端末がトンネルのリゾルバを使ったり、その逆だったりすると、半分だけトンネルされた紛らわしい挙動になる
設定後に各グループをテストする。設定した端末だけでなく、トンネル側の端末と直結側の端末の両方から、外に見えるIPアドレスを確認する

よくある質問

ルーターにVPNを載せるとネットワーク全体が遅くなりますか？

遅くなるのはトンネルを通る通信だけで、どの程度かはルーターのCPUとプロトコル次第です。端末同士のローカル通信は影響を受けません。それなりのルーターでWireGuardなら低下は控えめですが、安いルーターでOpenVPNだと、トンネルに入る全員で数十メガビットの天井を分け合うことを覚悟してください。

契約上、ルーターは1台とカウントされますか？

基本的にはい——後ろに何台あろうと、VPNサービスに見えるのはルーターからの1接続です。Auroraではルーターが7枠のうち1枠を使います。その1本のトンネルの裏返しとして、後ろのすべての端末が1つの出口の場所を共有することになります。

一部の端末だけトンネルから外せますか？

外せます。それがポリシーベースルーティングです。どの端末から来た通信かに応じて——普通はローカルIPかMACアドレスで照合して——ルーターがトンネル行きか直行かを振り分けます。ファームウェアの対応状況はまちまちです。2台ルーター構成なら設定ゼロで同じことができます。トンネル側か直結側か、どちらのWi-Fiに参加するかで端末が自分で選ぶのです。

ルーターのVPNと端末ごとのアプリ、どちらが良いですか？

解いている問題が違います。アプリは端末ごとに別の出口、端末ごとのキルスイッチ、簡単なオン・オフを与えてくれます——ノートPCやスマホ向きです。ルーターは、アプリを動かせない端末と、常時守っておきたい機器をカバーします。多くの家庭は両方使っています。据え置きの機器にはルーターのトンネル、持ち歩くものにはアプリです。

ルーターVPNの後ろのストリーミング端末やテレビはどうなりますか？

動きはしますが、ストリーミングサービスは商用サーバーのアドレス帯を認識しており、再生を拒否したりカタログを制限したりすることがあります。そうならないと正直に約束できる事業者はいません。トンネルの後ろでテレビの調子が悪ければ、スプリットルーティングでその端末だけ外し、残りのネットワークは守られたままにできます。

構築の前に何を確認すべきですか？

4つです。手持ちのハードウェアが使う予定のプロトコル——理想はWireGuard——に対応しているか。そのCPUがどれだけのスループットを暗号化できるか。デバッグのためにトンネルを素早く迂回できるか。そして、どの端末に本当にトンネルが必要か——振り分けを行き当たりばったりではなく、計画として決めておくためです。

Auroraを試す

14日間の返金保証。1つの契約で最大7台まで利用できます。

デバイスを保護する