ルーターにVPNを設定する方法

始める前に

ルーターの配下にあるデバイスが独自のクライアントを実行できない場合 — テレビ、ゲーム機、スマートスピーカーなど — や、何もインストールせずにすべてのデバイスを一度に対象にしたい場合、トンネルを設定する場所としてルーターが適しています。一方、家の中でトンネルを使わない状態にも切り替える必要がある場合、ルーターは適していません。ルーターの配下では、どのデバイスも個別に切り替えられず、すべてのデバイスが1つの出口、1つの国、1つのプロセッサを共有するためです。そのプロセッサが速度の上限となり、ノートパソコンのプロセッサよりも大幅に低速です。理由が1台か2台のデバイスに限られるなら、そのデバイスにクライアントをインストールしてください。どのプロバイダーがどのデバイスに対応するかはプラットフォームページに記載しています。

このガイドではルーターのファームウェアを書き換えません。一般的なサードパーティ製ファームウェアに交換すると、多くの標準ファームウェアより優れたVPNクライアントをルーターに追加できます。しかし、このサイトのどのガイドでも、ハードウェアを動作不能にする可能性があるのはこの手順だけです。ルーターのファームウェアにVPNクライアントページがあれば、以下の手順で十分です。なければ、書き換えるかどうかはあなたが判断し、手順は当該ファームウェアプロジェクトのものであって、私たちのものではありません。

設定を読み込む

1. プロバイダーのウェブサイトにサインインし、アカウントエリアのルーターまたは手動設定のセクションを開きます。ファームウェアが対応するプロトコルと、使用したい出口の設定ファイルを生成します。1つのファイルが1つの出口に対応します。ファイルにはあなたの鍵が含まれているため、パスワードと同じように扱ってください。
2. ルーターの管理ページを開き、有線ネットワークまたはホームネットワーク上のデバイスからVPNクライアントページを探します。名称はVPN client、VPN Fusion、WAN › VPNなどさまざまですが、外部へ接続するクライアントページであり、外部から接続できるようにするサーバーページではありません。2つはよく似ており、このガイドで使うのは一方だけです。
3. ファイルをインポートするか、ファームウェアの指示に従ってフィールドを1つずつ貼り付けます。後で2つ目のプロファイルを追加したときに区別できるよう、プロファイルには出口の名前を付けます。
4. ページに設定項目があれば、どのデバイスをトンネル経由にするか選択し、今はすべてのデバイスを対象にします。除外リストの設定は後で行えます。その後、プロファイルを有効にします。
5. ここで終わらせないでください。DNSとキルスイッチは同じページか次のページにあり、どちらも初期設定ではオフになっています。

確認する価値のある設定

ファームウェアのページは異なっていても、設定内容は変わりません。名称がわからない場合は、用語集にそれぞれの項目があります。

家全体のDNS

ルーターの配下にあるすべてのデバイスは、物事の場所をルーターに尋ね、ルーターは指定された相手に尋ねます。それがインターネットプロバイダーのリゾルバーであれば、家の中のすべての名前解決がトンネルの外へ出ます。その結果、インターネットプロバイダーには家がどのサイトを訪れたかがわかり、隠されるのはそこで何をしたかだけです。ルーターのDNSを、ファイルに記載されたプロバイダーのリゾルバーに設定します。VPNクライアントページにフィールドがあればそこで、なければWANページで設定してください。また、デバイスにリゾルバーとしてルーター自身のアドレスを渡すよう設定し、インターネットプロバイダーのアドレスがデバイスに渡らないようにします。漏れが起きる仕組みはDNS漏れのページで説明しています。

キルスイッチ

ルーターでは、キルスイッチはファイアウォールのルールです。トンネルが停止したとき、トンネルを使うデバイスからの通信が通常の経路で外へ出ないようにします。ファームウェアによってはスイッチがチェックボックスになっていたり、block routed clients if tunnel goes downと呼ばれていたり、まったく搭載されていなかったりします。搭載されている場合はオンにしてください。そうすると、再接続するまでトンネルが停止して家全体がオフラインになります。それがこの機能の目的です。搭載されていない場合、トンネルが停止すると、何の通知もなくすべてのデバイスが通常の接続に戻ることを理解しておいてください。スイッチの目的は専用ページで説明しています。

IPv6

ほとんどのルーターのトンネルが運ぶのはIPv4だけです。インターネットプロバイダーが家にIPv6も提供している場合、デバイスはIPv6に対応するサイトにはIPv6を使い、その通信はトンネルを迂回します。プロバイダーのファイルがトンネル内にIPv6を設定していない限り、トンネルの使用中はWAN側でIPv6をオフにしてください。

プロトコル

ファームウェアが対応しているなら、どこでも新しい方を選んでください。プロトコルページには、現行のものと旧式のものが記載されています。これはレジスターがスコアを付ける理由でもあり、ルーターのプロセッサ上では旧式のものより数倍高速だからです。旧式のプロトコルしか提供しない古いルーターは、評価が低いだけでなく速度も遅くなります。

実際に動作していることを確認する

ルーター自身のステータスページではなく、ルーターの配下にあるデバイスから確認してください。ステータスページが示すのは、ルーターが把握している内容だけです。確認は次の3つをこの順番で行います。

1. クライアントを持たないデバイスで、アドレスが変わった。ルーターのWi-Fiに接続したノートパソコンまたはスマートフォンで、「what is my IP」などのページを開きます。モバイルデータ通信をオフにし、VPNアプリを実行していない状態にしてください。国は選択した出口の国になっているはずです。
2. 名前解決がトンネル内で行われている。同じデバイスからDNS漏れテストを実行します。インターネットプロバイダーに属するものが表示される場合、上記のDNS設定が反映されていないか、デバイスに誤ったリゾルバーが渡されています。
3. キルスイッチが説明どおりに動作する。そのデバイスでダウンロードを実行しながら、ルーターのページでVPNプロファイルを無効にするか、ルーターのWANケーブルを一時的に抜いてから差し戻します。その間、ダウンロードは完全に停止し、接続が戻ってもトンネルが復旧するまで再開しないはずです。続行するなら、スイッチが搭載されていないかオフになっています。

より詳しい一連のテストと、それぞれで確認できること、確認できないことは専用ガイドに記載しています。

1つの家、2つのネットワーク

ルーターのトンネルに対する不満は、いつも同じです。何かをトンネルの外に出す必要があるということです。例外を設定した1つのネットワークではなく、2つのネットワークに分けるのがすっきりした解決策です。1つ目のルーターの配下に2台目のルーターを置いてトンネルを動かし、トンネルの内側に置くデバイスはそのWi-Fiに、それ以外は1台目のルーターのWi-Fiに接続します。または、ファームウェアがネットワークごとのVPNに対応している場合は、ゲストネットワークまたはセカンダリーネットワークをトンネル用にします。デバイスは接続するネットワークによって経路を選べるため、テレビは内側に、ゲーム機は外側に置けます。家全体のトンネルを誰かがオフにする必要もありません。

2台目のルーターは速度の問題にも対応します。トンネルを必要とするデバイスだけを接続するため、そのプロセッサの上限はそれらのデバイスだけにかかります。