OpenWrtルーターのVPN設定ガイド

OpenWrt対応ルーターにVPNクライアントを設定すると、スマートフォン、パソコン、テレビ、ゲーム機など、端末ごとにアプリをインストールせずに自宅ネットワークの通信経路をまとめて管理できます。特に、VPNアプリに対応していない機器を接続したい場合や、家庭内の一部の通信だけを別経路へ分けたい場合に便利です。一方で、ルーター側の設定を誤ると、管理画面へ接続できなくなったり、DNSだけが別経路へ流れたりすることがあります。本記事では、OpenWrtでの基本的な考え方、サブスクリプションの読み込み、バイパス設定、DNSとファイアウォールの確認方法を順番に説明します。

OpenWrtでVPNを使う前に理解しておくこと

通常のVPNクライアントは、インストールした端末の通信だけを処理します。これに対してOpenWrtルーターでVPNクライアントを動かすと、ルーターを経由するLAN内端末の通信を、ルーター側のルールに従って転送できます。つまり、端末側では個別のVPNアプリを起動しなくても、ルーターをデフォルトゲートウェイとして利用する通信をまとめて制御できます。

ただし、ルーターへ接続したすべての通信が自動的にVPNへ入るわけではありません。OpenWrtでは、VPNクライアント、仮想インターフェース、ルーティング、DNS転送、ファイアウォールゾーン、ポリシールールが連携して初めて期待した経路になります。クライアント画面に接続済みと表示されても、LAN端末の通信がVPNを通っているとは限らないため、設定後は出口経路とDNSを別々に確認してください。

90+

対応国

200+

回線数

不限

同時接続端末

対応OS

自宅の利用環境では、すべてをVPNへ通す「全体転送」と、宛先や端末ごとに経路を変える「ポリシールーティング」を使い分けます。家庭内プリンター、NAS、ルーター管理画面などはローカルネットワークへ残し、特定のウェブサービスや端末だけをVPNへ送る構成のほうがトラブルを切り分けやすいことがあります。ゲーム機や動画対応機器では、VPN経由にすることで地域、速度、接続方式が変わるため、用途ごとの確認が必要です。

ルーターとネットワークの準備

最初に、ルーターがOpenWrtを正常に起動していること、管理画面へログインできること、インターネットへ接続できることを確認します。ストレージ容量やメモリに余裕がない機種では、複数のVPNクライアントやルール管理パッケージを追加すると動作が不安定になる場合があります。既存の設定を消す前にバックアップを保存し、復旧用の有線接続を確保しておくと安全です。

✅ ルーターの管理画面とSSH接続を必要に応じて確認する
✅ OpenWrtのバージョンとCPUアーキテクチャに合うパッケージを選ぶ
✅ 現在のネットワーク設定をバックアップしておく
✅ LAN内のプリンターやNASのアドレスを把握しておく
❌ VPN設定中に複数のルーターやプロキシを同時に変更しない

基本方針： まず通常のインターネット接続を確認し、その後にVPNクライアント、DNS、通信ルールを一つずつ追加します。最初から複雑な全体転送を作るより、対象端末を限定して動作確認するほうが安全です。

OpenWrtで使うクライアントとサブスクリプション

OpenWrtでは、対応するパッケージや管理画面によって設定方法が異なります。構成によってはOpenClash、sing-box系クライアント、PassWall系の管理画面、WireGuard、標準のOpenVPNクライアントなどを利用します。どれを使うかは、OpenWrtのバージョン、ルーターの性能、利用するプロトコル、必要な分流機能によって決めてください。名称が似ていても設定ファイルの形式やルールエンジンは異なるため、別のクライアント向け手順をそのまま流用しないことが重要です。

06VPNのサブスクリプションは、対応クライアントで読み込むことで、サーバーアドレス、ポート、プロトコル、暗号化やTLSに関するパラメータなどを取得する形式です。Shadowsocks、VMess、Trojan、Hysteria2、WireGuardなど、利用できる形式はクライアントとサーバー側の対応状況によって異なります。OpenWrtへ登録する前に、使用する管理パッケージが目的の形式を解析できるかを確認してください。

ルーターの管理画面にサブスクリプションURLを貼り付ける場合は、入力欄が「リモート設定」「購読」「サブスクリプション」などのどれに該当するかを確認します。単一ノードの設定を手入力する方法は、項目漏れや更新漏れが起きやすく、サーバー側の設定変更が自動反映されないことがあります。対応している場合は、リンクを完全な形で登録し、更新後に生成されたノード一覧から接続先を選択してください。

登録後に確認する状態
サブスクリプション：取得完了
設定ファイル：解析済み
ノード一覧：表示される
クライアント：エラーなし
仮想インターフェース：起動済み

サブスクリプションリンクをブラウザーやオンライン変換サービスへ貼り付ける必要はありません。リンクが認証情報として扱われる場合があるため、ログやスクリーンショットに表示したまま共有しないでください。読み込みに失敗した場合は、まずURLの欠落、OpenWrt側の時刻、名前解決、パッケージの対応形式を確認します。リンクを何度も重複登録するのではなく、不要な古い設定を整理してから再取得してください。

OpenWrtルーターへ設定する実践手順

クライアントと依存パッケージを準備する

OpenWrtのパッケージ管理画面またはSSHから、使用するクライアントを導入します。パッケージ名や依存関係はOpenWrtのバージョンによって変わるため、異なるリリース用のファイルを無理にインストールしないでください。導入後は管理画面を再読み込みし、クライアントの設定画面、ログ画面、ノードまたはプロファイル一覧が開けることを確認します。

WireGuardを使う場合は、秘密鍵、公開鍵、アドレス、DNS、ピア情報、AllowedIPsなどの意味を理解して登録します。Shadowsocks、VMess、Trojan、Hysteria2を利用する場合は、対応する管理パッケージへサブスクリプションを登録し、生成されたプロファイルを確認します。プロトコルの項目を別方式の設定として入力すると、接続が確立しても通信が流れないことがあるため、クライアントが指定する形式を守ってください。

仮想インターフェースとファイアウォールを設定する

クライアントを起動したら、OpenWrtに仮想インターフェースが作成されているか確認します。インターフェース名は利用するパッケージによって異なり、WireGuardでは専用のインターフェース、ほかのクライアントではTUNや別の仮想デバイスとして表示されることがあります。名前だけで正常と判断せず、ルートが作成され、対象通信がそのインターフェースへ送信される状態まで確認してください。

ファイアウォールでは、LANからVPNインターフェースへ転送できるゾーンを用意し、必要に応じてVPN側のマスカレードを有効にします。ただし、設定を一括で許可すると、意図しない端末やローカルサービスまでVPNへ流れる可能性があります。管理画面、NAS、プリンターなどのローカル宛先を保護するルールと、インターネット宛先を転送するルールを分けて考えましょう。

全体転送とバイパスを設定する

初回確認では、LAN内のテスト用端末だけをVPNへ送るポリシーを作成する方法が適しています。端末のアドレス、宛先、プロトコル、ポートなど、クライアントが提供する条件を利用してルールを分けます。家庭内の通信をすべてVPNへ送る場合は、ルーター管理用のアドレス、LAN内宛先、DHCP、DNS、時刻同期などが不通にならないよう、例外ルールを先に確認してください。

バイパス設定では、ローカルネットワーク宛先を直接接続に残し、必要な外部通信だけをVPNへ送ります。逆に、特定の端末だけをVPNへ送り、そのほかを通常回線へ残す構成も可能です。アプリ側で独自DNSやQUICを使用する場合、ルールの対象外になることがあるため、名前解決と通信プロトコルが想定どおり処理されているかを確認します。

構成	向いている用途	注意点
全体転送	家庭内の多くの端末を同じ経路で管理したい場合	ローカル機器、管理画面、DNSの例外を先に作る
端末別ルール	特定のパソコンやテレビだけをVPNへ通したい場合	端末のアドレスが変わらないよう予約設定を確認する
宛先別ルール	特定のサービスだけ経路を分けたい場合	ドメイン変化、CDN、IPv6、DNS応答を確認する

DNS、IPv6、通信経路を確認する

VPN設定後に最も見落とされやすいのがDNSです。通信本体はVPNを通っていても、ドメイン名の問い合わせだけがWAN側へ流れると、意図した名前解決経路にならない場合があります。OpenWrtのDHCP設定、DNSフォワーダー、クライアント側のDNS処理、端末が手動設定したDNSを順番に確認してください。端末に古いDNSキャッシュが残っている場合は、接続を切り替えた後に再度名前解決を確認します。

IPv6を有効にしている家庭では、IPv4だけを想定したVPN設定にも注意が必要です。VPNクライアントやルールがIPv6を処理しない場合、IPv6通信だけが通常回線へ出る可能性があります。IPv6を利用するなら、VPN側、ファイアウォール、DNS、ポリシールーティングが一貫して対応しているか確認します。対応状況が不明なまま有効にするより、仕組みを理解してから利用するほうが安全です。

確認は、ルーター自身、LAN端末、VPN対象外端末の順に行うと切り分けやすくなります。ルーターから外部へ接続できるか、対象端末の出口アドレスが変わったか、対象外端末が通常経路を維持しているかをそれぞれ確認してください。ウェブページが開くだけでは不十分で、DNSの結果、IPv4とIPv6の両方、長時間通信の継続、ローカル機器へのアクセスも確認対象になります。

✅ VPN対象端末の出口経路が想定したノードになっている
✅ VPN対象外端末は通常回線または指定した経路を利用している
✅ ルーター管理画面、NAS、プリンターへLAN経由で接続できる
✅ DNS問い合わせが設定した処理経路に従っている
✅ Wi-Fi再接続やルーター再起動後もルールが自動で復元される

確認の結論： 「接続済み」の表示、出口アドレス、DNS、ローカル機器への接続を別々に確認して、初めてルーターVPNが正しく動作していると判断できます。

接続できないときの切り分け方法

サブスクリプションを読み込めない場合は、URLの全体コピー、認証情報、ルーターの時刻、DNS、パッケージの対応形式を確認します。ノードは表示されるものの接続できない場合は、クライアントログから名前解決失敗、TLSエラー、認証失敗、タイムアウト、インターフェース作成失敗を分けて見ます。エラーの種類を確認せずに別の設定を追加すると、原因が複数重なってしまいます。

接続は成功するのにLAN端末が通信できない場合、ファイアウォールゾーン、転送許可、マスカレード、デフォルトルート、MTUを確認します。特定のサイトだけ開けない場合は、DNS、IPv6、ルールのドメイン判定、アプリ固有の通信方式を確認してください。ルーター側のログと端末側のブラウザーエラーを同時に見れば、VPNトンネル自体の問題か、目的サービスとの通信問題かを分けやすくなります。

OpenWrtの管理画面へ入れなくなった場合は、まず端末のIPアドレスとデフォルトゲートウェイを確認し、別のWi-Fiやモバイル通信から管理画面を開こうとしないでください。有線接続でローカルアドレスへアクセスし、最後に変更したファイアウォールやルーティングを戻します。復旧手順を事前に確認しておけば、設定ミスが起きても初期化を急がずに済みます。

よくある質問

自宅のすべての端末をVPNへ通せますか？

ルーターを経由する端末であれば、全体転送のルールを作成してまとめて処理できます。ただし、ローカル機器、管理画面、IPv6、DNSの例外を考慮する必要があります。端末ごとに別の経路を使いたい場合は、端末別または宛先別のポリシーを利用してください。

ルーター設定とスマートフォンのVPNアプリは同時に使えますか？

技術的には可能な場合がありますが、二重にトンネル化され、どのルールが適用されたか分かりにくくなるため、検証時は片方だけを有効にするのが安全です。スマートフォン側でVPNを有効にする場合は、ルーターのVPN経路とアプリ側の経路を個別に確認してください。

サブスクリプションをOpenWrtへ直接追加できますか？

利用するOpenWrtパッケージが、そのサブスクリプション形式を解析できる場合は追加できます。対応しない場合は、パッケージが要求する設定形式へ変換する必要がありますが、オンライン変換サービスへ認証リンクを貼り付けるのは避けてください。まず対応クライアントと安全な手動設定方法を確認しましょう。

最初に全体転送を有効にしてもよいですか？

トラブルを減らすには、テスト用端末だけを対象にして、出口経路、DNS、ローカルアクセスを確認してから範囲を広げることをおすすめします。通常回線への戻し方と設定バックアップを確認したうえで、家庭内の必要な端末へ段階的に適用してください。

OpenWrtルーターでのVPN設定は、サブスクリプションを読み込むだけで終わる作業ではありません。クライアントの対応形式、仮想インターフェース、ファイアウォール、DNS、IPv6、ポリシールーティングを一つの通信経路として確認する必要があります。まず小さな範囲で動作を確かめ、ローカル通信をバイパスしながら必要な端末だけをVPNへ移行すると、自宅ネットワークを安定して管理しやすくなります。利用前の準備やクライアントの基本操作を確認したい場合は、使用ガイドを見ると手順を続けて確認できます。