OpenWrtルーターにVPNを設定すると、家庭内のすべての端末へ個別にVPNアプリをインストールしなくても、ルーター側で通信経路をまとめて管理できます。特定の動画サービスや海外サイトだけをVPNへ送り、プリンター、NAS、スマート家電、オンラインゲームなどは通常回線へ残す構成も可能です。端末ごとに設定を繰り返す必要がない一方、ルーターのCPU性能、ファームウェア、DNS、IPv6、プロトコルの対応状況を確認しなければ、接続できても一部の通信だけが失敗することがあります。

この記事では、OpenWrtで作る分割トンネルの考え方、VPNプロトコルの選び方、サブスクリプションの取り込み、宛先や端末ごとの経路ルール、接続後の確認方法を順番に説明します。利用できる構成はルーターのモデルやOpenWrtのパッケージによって異なるため、設定前に現在の構成をバックアップし、管理画面へ戻れる有線接続を確保しておくと安全です。

OpenWrtで分割トンネルを作る基本構造

通常のVPNクライアントでは、アプリが仮想インターフェースを作り、端末内のルーティングテーブルを変更します。OpenWrtでは同じ役割をルーターが担当します。家庭内端末から送られたパケットをルーターが受け取り、宛先、送信元端末、ポート、ドメインなどの条件を確認したうえで、VPNトンネルまたは通常のWANへ転送します。

このとき重要なのは、VPN接続そのものと、どの通信をVPNへ送るかというポリシールーティングを分けて考えることです。WireGuard、OpenVPN、Shadowsocks、VMess、Trojan、Hysteria2などは、それぞれトンネルやプロキシの方式です。一方、分割トンネルは「どのパケットをその方式へ渡すか」を決める仕組みです。プロトコルを変更しただけで、すべての経路ルールが自動的に正しくなるわけではありません。

90+

接続先の国

200+

利用できる回線

不限

同時接続台数

5

対応プラットフォーム

ルーター全体をVPNへ送るフルトンネルは構成が比較的単純ですが、国内サービスや家庭内機器まで海外経由になる可能性があります。分割トンネルでは、たとえば特定の宛先だけをVPNへ送る、ゲストSSIDだけVPNへ送る、仕事用端末は通常回線に固定する、といった制御ができます。ただし、ドメイン名で指定したサービスが複数のCDNやAPIを使う場合、ひとつの宛先だけを登録しても完全には動作しないことがあります。

経路ルールの指定方法

ルールの基準 向いている用途 注意点
送信元端末 特定のテレビ、スマートフォン、作業用PCだけをVPNへ送る 端末のIPアドレスが変わらないようDHCP予約を使う
宛先ドメイン 特定のサービスやサイトだけをVPN経由にする 関連API、CDN、認証ドメインも必要になる場合がある
宛先IPまたはCIDR 固定されたサーバーや社内ネットワークへ到達させる サービス側のIP変更でルールが古くなることがある
SSIDまたはVLAN VPN用の無線ネットワークと通常用ネットワークを分ける 無線設定、ファイアウォール、DNSの連携が必要
構成の結論：まずVPNトンネルを単独で接続し、その後に送信元端末または宛先ドメインのルールを一つずつ追加します。最初から複数の条件を組み合わせると、問題がDNS、経路、ファイアウォールのどこにあるか判断しにくくなります。

プロトコルとサブスクリプションの取り込み方

OpenWrtで利用する方式は、ルーターが処理できる形式と、必要な機能の両方から選びます。WireGuardは設定が比較的軽く、専用インターフェースとして経路ルールに組み込みやすい方式です。OpenVPNは対応情報が多く、証明書や暗号化設定を含む構成を扱えますが、暗号化処理によってはルーターの負荷が高くなることがあります。

Shadowsocks、VMess、Trojan、Hysteria2は、OpenWrt標準のネットワーク設定だけでそのまま扱えるとは限りません。対応するクライアントやゲートウェイ、LuCI用パッケージの導入が必要になる場合があります。設定ファイルの形式、TLS、SNI、UDP転送、DNS処理の対応が方式ごとに異なるため、公式クライアントで使えることと、ルーターへ直接取り込めることは別に確認してください。

HBVPNのサブスクリプションを利用する場合も、最初にOpenWrt側が求める形式を確認します。サブスクリプションリンクを対応クライアントへ登録し、生成されたWireGuard、OpenVPN、または互換設定をルーターへ移す方法があります。Clash Verge、sing-box、Shadowrocketなどで利用できるリンクが、OpenWrt用パッケージで同じまま読み込めるとは限りません。変換を行う場合は、サーバーアドレス、ポート、暗号化方式、UUIDや鍵、TLS項目、DNS項目が欠落していないか確認してください。

DNSは特に見落とされやすい部分です。WebアクセスをVPNへ送っても、名前解決だけが通常回線へ残ると、サービス側の地域判定やアクセス制御に影響する場合があります。逆に、家庭内ホスト名やプリンター名まで外部DNSへ送ると、ローカル機器を見つけられなくなることがあります。VPN対象と通常対象でDNSの扱いを分けるか、ルーターのDNSフォワーダーでルールを整理してください。

OpenWrtで設定を進める手順

ここからは、特定端末または特定宛先だけをVPNへ送り、その他の通信をWANへ残す基本手順です。画面名はOpenWrtのバージョンや導入パッケージによって異なります。LuCIだけで完結する構成もあれば、SSHで設定ファイルを編集してサービスを再起動する構成もあります。コマンドを実行する場合は、対象のパッケージが使用する公式ドキュメントを確認し、意味を理解してから実行してください。

  1. バックアップを作成する。現在のネットワーク、DHCP、無線、ファイアウォール設定を保存します。設定後に管理画面へ入れなくなった場合に備え、管理用の有線端末を用意します。
  2. VPNインターフェースを作る。WireGuardなら秘密鍵、公開鍵、接続先、許可IPを登録し、OpenVPNなら認証情報、証明書、暗号化設定を登録します。自動ルート追加を有効にするかどうかは、分割トンネルの設計に合わせます。
  3. VPNインターフェースをファイアウォールへ追加する。WANと同じ扱いにするのではなく、VPNからLANへ戻る通信、DNS、必要なUDP通信を確認します。不要な管理アクセスをVPN側へ開放しないことも重要です。
  4. まず単一端末で試す。DHCP予約でテスト端末のIPを固定し、その送信元だけをVPNルールへ指定します。スマートフォンを使う場合は、モバイルデータ通信へ切り替わっていないことも確認します。
  5. 必要な宛先を追加する。最初から広いIP範囲を登録せず、目的のドメインやサービスの関連通信をログから確認して段階的に追加します。IPが頻繁に変わるサービスでは、ドメインベースの仕組みを優先します。
  6. DNSとIPv6を確認する。IPv4だけVPNへ送り、IPv6は通常回線へ流れる構成では、端末やサービスによって出口が一致しません。IPv6を使わない設計にする場合も、端末側へ広告されていないか確認します。
  7. 再接続してログを確認する。ルールを保存した後、端末の接続を更新し、ルーターのシステムログ、VPNログ、DNSログを確認します。接続済み表示だけでなく、対象通信が想定したインターフェースを通ったかを見ます。

テストでは、VPN対象のサイト、通常のWebサイト、家庭内機器の三種類を分けて確認します。VPN対象では出口地域とDNSを確認し、通常のWebアクセスでは意図せずVPNへ流れていないかを確認します。プリンターやNASでは、LAN内のIPアドレスへのアクセスが維持され、名前解決や管理画面が使えるかを調べます。端末のブラウザーに古いDNSキャッシュやセッションが残る場合があるため、ルール変更後はブラウザーやアプリを再起動してください。

接続できないときの切り分け

VPNインターフェースが接続済みでもWebページが開かない場合、原因は一つとは限りません。まずVPNを使わない通常経路でインターネットへ接続できるか確認し、次にVPNインターフェース単独の疎通、最後にポリシールーティングを確認します。DNSだけが失敗している場合は、IPアドレスを使った検証と名前解決の結果を分けて調べます。

症状 考えられる原因 確認する場所
VPNは接続済みだが対象サイトが開かない DNS、MTU、許可IP、ファイアウォール VPNログ、DNSログ、インターフェース設定
一部のページだけ読み込めない 関連ドメインの不足、IPv6の迂回、UDP未対応 ブラウザー開発者ツール、ルーティング、IPv6設定
家庭内機器に接続できない LAN間通信の遮断、DNS分離、誤った送信元ルール ファイアウォールゾーン、DHCP、ローカル名前解決
VPN切断後も通信が不安定 古い経路、残ったDNSキャッシュ、接続追跡情報 端末の再接続、ルーターのログ、ルールの優先順位

MTUの不一致では、ログイン画面は表示できても大きな画像、動画、ファイル転送だけが止まることがあります。設定値をむやみに変更するのではなく、VPN方式と回線の仕様を確認し、段階的に調整してください。WireGuardではAllowedIPsが経路指定と密接に関係し、広い範囲を登録すると意図せずフルトンネルになることがあります。OpenVPNでもredirect-gatewayの扱いによって、全通信がVPNへ送られる場合があります。

復旧の結論：「接続済み」「DNS解決」「目的通信の経路」「戻り通信」の四つを分けて確認すると、OpenWrtのVPN障害を効率よく切り分けられます。設定を一度に大きく変更せず、直前に追加したルールから戻すのが安全です。

よくある質問

すべての端末にVPNアプリを入れる必要はありますか？
OpenWrtルーターをVPNゲートウェイとして構成すれば、ルーターを経由する端末へ個別アプリを入れずに通信経路をまとめて管理できます。ただし、端末単位の細かな除外、外出先での利用、アプリごとの経路変更が必要な場合は、公式クライアントや互換クライアントの方が適しています。
OpenWrtではどのプロトコルを選ぶべきですか？
ルーターの性能、導入できるパッケージ、必要な経路ルールで決まります。軽量なトンネルを優先するならWireGuard、既存の証明書や詳細設定を利用するならOpenVPNが候補になります。Shadowsocks、VMess、Trojan、Hysteria2は対応クライアントと設定形式を別途確認してください。
特定サイトだけVPNへ送るとき、ドメイン一つで足りますか？
必ずしも足りません。認証、画像、動画、API、CDNが別ドメインを使うサービスでは、関連通信が通常回線へ残ることがあります。DNSログやブラウザーの通信記録を確認し、必要な範囲だけ追加してください。広いIP範囲を無条件に登録すると、意図しないサービスまでVPN経由になる可能性があります。
設定後に管理画面へ入れなくなったらどうしますか？
最初から管理用端末をVPNルールの対象外にし、有線接続を残しておくと復旧しやすくなります。アクセスできる場合は直前のルールを無効化し、できない場合は保存したバックアップやOpenWrtの復旧手順を利用します。設定変更前のバックアップと、ファイアウォール変更の記録が重要です。

OpenWrtの分割トンネルは、VPNを有効にするだけで完成する機能ではありません。どの端末を対象にするか、どの宛先をVPNへ送るか、DNSとIPv6をどう扱うか、切断時に通信を止めるかを先に決めることで、家庭内ネットワークへの影響を抑えられます。まずは一台の端末と一つの用途で検証し、ログと実際の出口を確認してから、ほかの端末やSSIDへ段階的に広げてください。