OpenWrtルーターでVPNの振り分けを設定すると、家中の端末を個別に設定しなくても、通信先や端末ごとに経路を分けられます。たとえば、指定したサイトや海外サービスだけをVPNトンネルへ送り、国内サイト、プリンター、NAS、スマート家電などは通常回線とLANに残す構成です。スマートフォンやパソコンごとにクライアントを起動する方法と比べて、家庭内の通信方針を一か所で管理しやすい点がメリットです。
一方で、ルーター上の設定は「VPN接続を作る」だけでは完了しません。DNSの問い合わせ先、IPv4とIPv6の扱い、LAN内アドレス、ルーティングルール、ファイアウォール、再接続時の動作まで確認する必要があります。設定を誤ると、VPNを通したくない国内通信まで遠回りしたり、LAN機器にアクセスできなくなったりするため、最初は対象を絞った小さな構成から始めるのが安全です。
OpenWrtのVPN振り分けを理解する
OpenWrtでは、VPNクライアントが作成したトンネルインターフェースに対して、特定の宛先や送信元の通信をルーティングします。LANから出たパケットは、通常はWANインターフェースを経由しますが、ルールに一致した場合だけVPN側のインターフェースへ転送されます。この動作をポリシールーティング、ポリシーベースルーティング、またはスプリットトンネルと呼びます。
重要なのは、ドメイン名とIPアドレスが同じ意味ではないことです。ブラウザーがサイト名を解決すると、実際には複数のIPアドレスやCDNのアドレスへ接続する場合があります。ドメインだけを登録したつもりでも、DNSの応答が想定と違えばルールに一致しないことがあります。また、アプリが別のAPIドメイン、画像配信ドメイン、認証ドメインを使う場合、メインサイトだけを登録しても通信全体は成立しません。
そのため、設定対象は次の三つの観点で整理します。特定ドメインをVPNへ送る方法、特定のLAN端末をVPNへ送る方法、そして特定の国や地域の宛先をルールセットで振り分ける方法です。家庭内の利用では、最初から大量のアドレスを手動登録するより、端末単位のルールと少数のドメインルールを組み合わせるほうが保守しやすくなります。
5
対応プラットフォーム
120+
国のノード
240+
選択できる回線
不限
同時利用端末
VPNサービス側がWindows、macOS、iOS、Android、Linuxに対応していても、OpenWrtへそのまま公式アプリをインストールできるとは限りません。ルーターでは、サービスが提供するWireGuard設定、OpenVPN設定、またはClashやsing-box向けのサブスクリプションを、OpenWrtで利用可能な形式へ変換して使います。Shadowsocks、VMess、Trojan、Hysteria2などは、標準のOpenWrt VPN機能だけで直接扱えるとは限らず、対応するコアやパッケージが必要です。
設定前の準備と構成の選択
作業前に、OpenWrtの管理画面へ接続できること、現在のLANアドレス、WANの接続方式、ルーターへログインする管理情報を確認します。変更前には設定のバックアップを保存し、できれば有線LANで作業してください。無線接続だけでルーティングやファイアウォールを変更すると、設定ミスによって管理画面へ戻れなくなった場合に復旧しにくくなります。
次に、どの方式でVPNを構成するかを決めます。WireGuardは設定項目が比較的明確で、ルーター間のトンネルとして扱いやすい方式です。OpenVPNは対応実績が多い一方、鍵、証明書、認証方式、圧縮や暗号設定など確認項目が増えることがあります。Clash Verge、Shadowrocket、sing-boxなどで使っているサブスクリプションがあっても、そのURLをOpenWrtへ直接貼り付ければ動くとは限りません。
サブスクリプションには、VMess、VLESS、Trojan、Shadowsocks、Hysteria2など複数のノード形式が含まれることがあります。OpenWrt側のコアが対応しているか、設定をJSONで管理するのか、Clash形式として読み込むのかを確認してください。特にHysteria2やTUICのようなUDPベースの構成は、利用環境やファイアウォールの影響を受けやすいため、最初の検証ではWireGuardまたはOpenVPNを選ぶと切り分けが容易です。
| 方式 | 向いている構成 | 確認する項目 |
|---|---|---|
| WireGuard | ルーターとVPNノードを常時接続したい | 秘密鍵、公開鍵、アドレス、許可IP、DNS |
| OpenVPN | 既存の.ovpn設定を利用したい | 証明書、認証、暗号、トンネル経由の経路 |
| sing-box | 複数プロトコルと詳細なルールを管理したい | コアの対応状況、JSON、DNS、ルールセット |
| Clash系 | プロキシグループとルールをまとめて扱いたい | OpenWrt用クライアント、TUN、サブスクリプション形式 |
OpenWrtで振り分けを設定する手順
VPNインターフェースを作成する
LuCIのネットワーク設定から、使用するVPNクライアントに対応したインターフェースを作成します。WireGuardなら秘密鍵、VPN側アドレス、ピアの公開鍵、エンドポイント、許可するIP範囲を入力します。OpenVPNなら設定ファイルを読み込み、認証情報や証明書を指定します。入力項目の名前はパッケージやOpenWrtのバージョンによって異なるため、サービス側が配布する設定値を勝手に省略しないでください。
インターフェースを作成したら、まず振り分けを有効にせず、VPNトンネル自体が確立するかを確認します。管理画面の状態表示だけでなく、ログに認証エラー、名前解決エラー、ハンドシェイク失敗、MTU関連の警告がないか確認します。接続できない状態でルールを追加すると、トンネルの問題とルーティングの問題が混ざってしまいます。
ポリシールーティングを設定する
次に、VPNへ送る対象を定義します。分かりやすい検証方法は、家庭内の一台だけを送信元として指定することです。たとえばテスト用のパソコンへ固定DHCPリースを割り当て、その端末の通信だけをVPNインターフェースへ転送します。ほかの端末は通常回線に残るため、問題が起きても影響範囲を限定できます。
端末単位のルールが確認できたら、必要なドメインやIP範囲を追加します。ドメインルールを使う場合は、ルーターがDNS問い合わせを把握できる構成にします。端末が外部DNSへ直接問い合わせたり、ブラウザーが暗号化DNSを独自に使用したりすると、ルーター側のドメイン判定と実際の接続先が一致しないことがあります。DNSリーク対策を有効にする場合も、LAN内の名前解決や管理用ドメインを壊さないよう例外を確認してください。
ファイアウォールとDNSを確認する
VPNインターフェースをファイアウォールゾーンへ追加し、必要な転送を許可します。LANからVPNへの転送だけを許可し、VPN側からルーター管理画面へ不要に到達できる設定は避けます。VPNが切断されたときに通常回線へ自動的に戻すのか、対象通信を停止するキルスイッチを使うのかも、利用目的に合わせて決めてください。
DNSは、通信の振り分けとプライバシーの両方に関係します。VPNを通す宛先の名前解決を通常回線側で行うと、名前解決結果の地域判定が変わったり、DNS問い合わせだけが別経路へ出たりすることがあります。反対に、すべてのDNSをVPNへ送ると、国内サービスやLAN機器の名前解決に影響する場合があります。家庭内ドメイン、ルーター名、NAS名などを利用している場合は、ローカルDNSの解決を維持できるか確認してください。
- ✅ 変更前にOpenWrtの設定バックアップを保存する
- ✅ 最初は固定した一台だけをVPNへ送る
- ✅ VPNインターフェース単体の接続状態とログを先に確認する
- ✅ 国内サイト、LAN機器、通常のウェブ閲覧を個別に確認する
- ❌ 同じLAN内で複数のVPNクライアントを同時にルーター化しない
- ❌ ドメイン名だけを登録して、関連する認証やCDNの通信を無視しない
通信経路を確認する方法とトラブル対処
設定後は、VPN対象の端末、通常回線に残す端末、ルーター自身の三つを分けて確認します。対象端末では、外部IPの表示、DNSの応答、対象サイトへの接続を確認します。通常回線の端末では、同じ確認を行い、意図せずVPN出口へ変わっていないかを見ます。外部IPだけでは経路全体を判断できないため、対象サイトのログイン、画像配信、動画再生など実際の利用も確認してください。
LAN機器の検証も欠かせません。プリンターの管理画面、NASの共有、ルーターの管理画面、家庭内の名前解決が通常どおり利用できるかを確認します。VPNルールが広すぎると、プライベートアドレスへの通信までトンネルへ入り、LAN機器が見えなくなることがあります。RFC1918のプライベートアドレス範囲やルーターの管理アドレスを通常経路へ残す設計は、家庭内ネットワークでは特に重要です。
| 症状 | 確認する場所 | 対処の方向 |
|---|---|---|
| VPN対象だけ接続できない | トンネル状態、認証、許可IP | まずVPN単体の接続を修正する |
| すべての端末がVPN経由になる | デフォルトルート、ポリシールール | グローバルルートを確認し対象を限定する |
| サイトは開くが一部機能が使えない | DNS、関連ドメイン、IPv6 | 依存先の解決経路とIPv6ルールを確認する |
| NASやプリンターが見えない | LANゾーン、プライベートアドレスの経路 | LAN内通信をVPNルールから除外する |
IPv6を有効にしている家庭では、IPv4だけをVPNへ送ってもIPv6通信が通常回線から出ることがあります。これは設定ミスというより、IPv4とIPv6が別々の経路を持つために起こる現象です。VPN側がIPv6に対応していない場合は、IPv6の扱いを明確にし、対象通信が意図しない経路へ流れないようにします。IPv6を無効化するかどうかは、家庭内サービスや回線契約への影響を確認してから決めてください。
長期運用で守るポイント
OpenWrtや関連パッケージを更新すると、ファイアウォール、DNS、TUN、ルーティングの挙動が変わることがあります。更新前には設定をバックアップし、更新後はVPN接続、通常回線、LAN機器、IPv6を再確認してください。サブスクリプションを利用する場合も、URLを不特定の場所へ公開せず、ルーター内の設定ファイルやログに認証情報が残っていないか確認します。
速度だけを基準にノードを固定するのも適切ではありません。出口地域、経路の混雑、接続先サービスとの相性、UDPの利用可否によって体感は変わります。複数のノードを使う場合は、ルールグループで切り替える方式と、障害時に手動で変更する方式のどちらが管理しやすいかを選びます。自動選択は便利ですが、頻繁な切り替えでログイン地域やセッションが変化することもあるため、安定性を優先するサービスでは固定選択が向いています。
家庭内の全端末を一つのルールで管理すると、ゲーム機、テレビ、IoT機器、仕事用端末の要件が衝突する場合があります。端末を用途別のIP範囲やSSIDに分け、仕事用、家庭用、ゲスト用などのネットワークを分離すると、ルールを読みやすくできます。ゲスト端末から管理画面へ到達できないようにするなど、VPN以前のネットワーク分離も安全性と保守性を高めます。
OpenWrt VPN設定のFAQ
OpenWrtにサブスクリプションURLをそのまま貼れますか？
OpenWrt標準機能だけでは、すべてのサブスクリプション形式を直接読み込めるわけではありません。WireGuardやOpenVPNの設定ファイル、Clash形式、sing-box形式など、使用するクライアントやコアに合った形式が必要です。VMess、Trojan、Shadowsocks、Hysteria2などを使う場合は、対応パッケージと設定形式を先に確認してください。
国内サイトだけ通常回線へ戻すにはどうしますか？
国内宛てのドメインやIP範囲を通常のWAN経路へ送るルールを作成します。ただし、CDNのアドレスは変動することがあり、国や地域だけで完全に分類できない場合もあります。国内サイト、DNS、LAN内アドレスを実際に確認し、ルールが広すぎないかを見直してください。
VPN接続中にNASやプリンターが使えないのはなぜですか？
LAN内のプライベートアドレスへの通信までVPNインターフェースへ送られている可能性があります。LANゾーンの転送、固定IP、ルーティングルール、ローカルDNSを確認し、家庭内機器への通信を通常のLAN経路へ残します。
VPNが切れたとき通常回線へ自動復帰させるべきですか？
対象通信を止める必要がある場合はキルスイッチを検討し、接続継続を優先する家庭用端末では通常回線への復帰を選ぶことがあります。どちらが適切かは端末の用途次第です。設定後はVPN切断時の挙動を実際に確認し、意図しない通信経路にならないことを確認してください。
OpenWrtのVPN振り分けは、家中の端末を一括管理しながら、通信先ごとに経路を選べる実用的な方法です。成功のポイントは、VPNプロトコル、DNS、ルーティング、ファイアウォール、IPv6を別々の要素として確認することです。最初は一台の端末と少数の対象ドメインで構成し、通常回線とLAN機器が正常であることを確かめてから、家庭全体へ段階的に広げましょう。