DDNSと固定プライベートIPを併用するとより快適に
グローバルIPが変わってもサーバーに常に同じドメイン名でアクセスしたい場合は、このガイドと合わせてDDNSを設定しておくとよいでしょう。サーバー機のプライベートIPをローカルネットワーク内で固定しておくと、再起動のたびにポートフォワーディングが壊れる心配もなくなります。ルーターのDHCP予約機能(MACアドレスに特定のIPを割り当てる機能)を使うか、機器側で静的IPを設定する方法があります。
他のVPNプロトコルとの違い
WireGuardだけが選択肢ではありません。OpenVPNやIPsec/IKEv2はより歴史が長く検証も豊富なプロトコルで、対応機器も幅広い一方、一般的に速度はやや遅く設定もやや複雑です。WireGuardはコードベースが小さくハンドシェイクも速いため、自前構築の標準的な選択肢になっていますが、ルーターや機器の対応状況によっては他のプロトコルも十分有効な選択肢です。WireGuardは2020年のLinuxカーネル5.6から本体に取り込まれ、鍵交換にCurve25519、暗号化にChaCha20-Poly1305といった現代的な方式を使います。
ポート開放できない環境ではどうするか
マンションの共用回線やモバイルルーター、一部の光回線では、ISP側でプライベートアドレスを共有するキャリアグレードNAT(CGNAT)が使われていて、自分のルーターで何を設定しても外から入れないことがあります。この場合は、ISPにグローバルIPの付与や別プランがあるかを問い合わせる、IPv6で接続できる環境を使う、あるいは外部にある中継用のサーバーを介して接続する、といった方法があります。WireGuardをベースにしたTailscaleのようなメッシュ型VPNサービスは、ポート開放を必要とせずに機器同士をつなげられるため、環境に制約がある場合の現実的な代替手段です。ただし、通信の調整を外部のサービスに任せる点は理解しておきましょう。
設定前に確認しておきたいこと
ISPの契約によっては、サーバー運用や外部公開を制限していることがあります。個人用のVPNサーバーは一般に問題になりにくいですが、利用規約を一度確認しておくと安心です。また、会社や学校のネットワークによっては、VPNの通信そのものがブロックされることがあります。UDP 51820が通らない環境では、サーバー側のポート番号を443など別の番号にする方法が使われる場合もありますが、その場合も運用先のルールに従ってください。
よくある質問
二重NAT環境だとポートフォワーディングがうまくいかないことがありますか?
はい。ISPのモデムが既にNATを行っていて、その後ろに自分のルーターをもう1台つないでいる二重NAT環境では、自分のルーターだけでポートフォワーディングを設定しても外部から接続できないことがあります。自分のルーターをブリッジモードに設定し、ルーター自身のNAT機能を無効にすると解決することが多いです。
市販のVPNサービスよりホームVPNサーバーの方が安全ですか?
自分でサーバーを管理するため、市販VPN事業者を信頼する必要がなくなる点は利点ですが、その代わりサーバーのセキュリティ管理(アップデート、鍵の管理など)は自分の責任になります。また、海外IPへの偽装用途には向いておらず、あくまで自宅ネットワークへ戻るための通路である点も覚えておきましょう。
Raspberry Piなど小型の機器でも使えますか?
個人で使う程度の通信量であれば、小型のシングルボードコンピュータでも十分に動かせることが多いです。ただし、自宅の上り回線の速度が実際の上限になるため、機器の性能より回線の上りが先に制限になるのが普通です。
外出先から全部の通信を自宅経由にすると遅くなりますか?
自宅の上り回線の速度と、外出先の回線の状態に左右されます。一般に自宅の上りが速いほど快適で、家庭用回線では上りが下りより遅いことが多いため、動画視聴などでは体感が下がることがあります。自宅の機器へのアクセスだけをVPN経由にすれば、この影響は小さくなります。