Networking on plzhans blog

VPN・リモートアクセスガイド - 何を選べばいいか

Thu, 03 Sep 2026 00:00:00 +0000

概要

外出先からホームサーバー・NAS・オフィスの内部ネットワークに安全に接続するにはVPNが必要です。ポートフォワーディングでサービスをインターネットに直接公開する代わりに、VPNトンネルを通じてまるで同じネットワークにいるかのように接続するのが基本原則です。このブログには性格の全く異なる3つの方式(Tailscale、WireGuard、wg-easy)を扱った記事がありますが、「VPN」という名前は同じでも設定方法・セキュリティモデル・運用負担が全く異なるため、状況に合わせて選ぶ必要があります。

選択基準

方式を選ぶ前に、以下の5つを先に考えてみると役に立ちます。

NAT・ファイアウォール環境 — ルーターの内側にあるホームサーバーのようにポート開放が面倒・不可能な環境か、それとも固定IPを直接付けられるクラウドサーバーか。
セキュリティモデル — 接続を許可する端末を一つずつ明示的に登録するゼロトラスト方式が必要か、それとも従来型のサーバー・クライアント型VPNで十分か。
運用負担 — サーバーインフラ(鍵管理、ファイアウォールルール、アップデート)を自分で保守する余力があるか、それとも管理型サービスに任せたいか。
デバイス・ユーザー数 — 自分一人でノートPC1〜2台が接続できればいいのか、複数人がそれぞれ異なる権限で接続する必要があるのか。
性能 — 大容量ファイル転送のようにスループットが重要か、それともSSH接続程度の軽いトラフィックか。

方式の比較

	Tailscale	WireGuard	wg-easy
サーバー運用	不要(マネージド)	自分で運用	自分で運用(Web UI)
ポート開放	ほぼ不要	必要(UDP)	必要(UDP)
設定の難易度	低い	高い(CLI・設定ファイル)	中程度(Web UI)
きめ細かな制御	低い	高い	中程度
マルチユーザー管理	tailnet ACL	手動(Peer登録)	Web UIで管理
適した状況	素早く始めたい個人・小規模チーム	インフラを全て自分で管理したい	WireGuardを楽に管理したい

まず何を見るべきか

ポートフォワーディングなしで素早く個人・小規模チーム用VPNが必要 → Tailscale Linuxインストール - 安全なリモートVPN構成
VPNサーバーを自分で運用し、細かく制御したい → WireGuardのインストールとクライアント接続設定方法
WireGuardをWeb UIで楽に管理したい → wg-easy WireGuard MASQUERADE 除外設定でOpenVPNクライアントIPを維持する方法(ただし下記の注意点あり)
OpenVPNを使いたい → 最も古くから広く使われている方式で、クライアント互換性が高く資料も豊富です。このブログではまだ扱っておらず、今後別途記事で扱う予定です。

実践シナリオ

旅行中にノートPCから自宅NASのファイルを一つだけ確認したい → Tailscale
会社の内部ネットワークにある複数のサーバーをチームメンバーに標準化された方法で開放したい → WireGuard
チームメンバー各自がWeb UIでQRコードを使ってWireGuard設定を登録できるようにしたい → wg-easy(ただしMASQUERADE除外設定が必須)

Tailscale — 最も速く始められる方法

各デバイスがアウトバウンド接続のみでtailnetに参加する方式のため、別途ポート開放がほとんど不要です。直接P2P接続ができない場合はDERPリレーで迂回します。tailnet IP、accept-routes、serve/funnelモードまで状況別に整理しました。内部的にはWireGuardプロトコルをそのまま使っているため性能は純正WireGuardと大差なく、代わりに鍵交換・NAT越え・ACL管理をTailscaleが代行してくれる点が核心的な違いです。ノートPC1〜2台からホームサーバー1台に接続する程度であれば、まず試してみるべき方式です。

WireGuardのインストールとクライアント接続設定方法

Fri, 10 Jul 2026 08:20:00 +0000

概要

WireGuardは、簡潔な設定と軽量なパフォーマンスでpeer-to-peer VPNを構成できるツールです。

この記事では、LinuxサーバーにWireGuardをインストールし、サーバーキー・ファイアウォール・サービスを整えたうえで、Macクライアントから接続するまでの一連の流れをまとめます。

サーバーキーの生成、wg0の設定、UDP 51820ポートの開放、クライアントPeerの登録、接続確認までを順番に扱うため、同じ手順で設定できます。

サーバーのインストール

システムサービスとして動作するため、rootで進めてください。

基本インストール

1apt install wireguard

インストール確認

1wg --version

サーバーキーの生成

1mkdir -p /etc/wireguard
2wg genkey | tee /etc/wireguard/server.key | wg pubkey | tee /etc/wireguard/server.pub
3
4# 権限設定
5chmod 600 /etc/wireguard/server.key

環境設定

設定ファイルをあらかじめ作成します。

1touch /etc/wireguard/wg0.conf
2chmod 600 /etc/wireguard/wg0.conf

設定ファイルにインターフェースを設定

サーバーキーを登録
SaveConfigが有効になっている場合、このファイルを編集した後にサーバーを停止すると、サーバーの状態で上書きされてしまいます
SaveConfigモードで使用する場合は、wg setなどで制御する必要があります

1# /etc/wireguard/wg0.conf
2[Interface]
3Address = 10.200.0.1/24
4ListenPort = 51820
5PrivateKey = {server key contents}
6SaveConfig = false

Inbound設定(ファイアウォール設定)

Peer to Peerではありますが、最初のハンドシェイクのためにUDPサーバーポートを開放しておく必要があります。

さらにiptablesを使用している場合は、ポートも開放する必要があります。

1iptables -I INPUT 1 -p udp --dport 51820 -j ACCEPT
2
3# ubuntu 24
4# netfilter-persistent save
5
6# Result
7# run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables save
8# run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables save

サーバーの実行

サービスの登録と起動

Tailscale Linuxインストール - 安全なリモートVPN構成

Fri, 03 Jul 2026 00:00:00 +0000

概要

Tailscaleは複数のデバイスを1つのプライベートネットワークのようにまとめてくれるVPNサービスです。Linuxサーバー、NAS、ノートPC、スマートフォンが別々の場所にあっても、同じ内部ネットワークにあるかのように接続できます。

一般的なサーバー接続では、外部からサーバーへ入ってくるインバウンドポートを開ける必要があります。この方式はルーターのポートフォワーディング、ファイアウォールの許可、グローバルIPの設定が必要で、設定を誤るとサーバーがインターネットに直接晒される可能性があります。

Tailscaleは逆に、デバイスが外へ出ていくアウトバウンド接続を利用します。そのため、ほとんどの環境で追加のポート開放なしに利用できます。ただし、社内ネットワークやセキュリティ機器でアウトバウンド通信を強く制限している場合は、ファイアウォールのアウトバウンドポリシーの影響を受けることがあります。

仕組みはシンプルです。各デバイスにTailscaleクライアントをインストールし、同じアカウントのtailnetに登録します。登録されたデバイスは固有のtailnet IPを受け取り、可能な場合はデバイス同士が直接P2Pで通信します。直接接続が難しいNATやファイアウォール環境では、Tailscaleの中継サーバーであるDERPを経由してリレー方式で通信します。

また、Tailscaleはデバイス名ベースのドメインを提供します。

nginxのリバースプロキシのように、https://{device}.{tailnet}.ts.net 形式のアドレスで内部サービスに接続できます。

Serveモードはtailnet内からのみアクセス可能なプロキシを提供し、Funnelモードは必要なサービスをインターネットに公開する際に使用します。

インストール

インストールスクリプトの使用

1curl -fsSL https://tailscale.com/install.sh | sudo sh

サービスの起動

enable で有効化し、--now ですぐに起動します

1sudo systemctl enable --now tailscaled

実行

デバイスの登録

現在のマシンを指定したアカウントのTailscaleネットワークに接続します

例）https://login.tailscale.com/a/xxxxxxxxxxxxx

1sudo tailscale up
2
3# Result
4# To authenticate, visit:
5# 
6# https://login.tailscale.com/a/xxxxxxxxxxxxx

アカウント認証

Tailscaleアカウントにログインします

デバイスの接続

Connectボタンをクリックしてサービスに接続します

デバイス登録完了

デバイスは登録されましたが、--accept-routes オプションがfalseになっています。これはピア間のルーティング接続が行われていないことを意味します

1# Result
2# Success.
3# Some peers are advertising routes but --accept-routes is false

状態の確認

 1ubuntu@a1-free:~$ tailscale status
 2
 3# result
 4# xx.xx.184.107 a1-free plzhans@ linux - 
 5# xx.xx.46.27 iphone-14-pro plzhans@ iOS - 
 6# xx.xx.192.32 plzhanss-macbook plzhans@ macOS - 
 7# xx.xx.23.68 wee-home tagged-devices linux - 
 8
 9# Health check:
10# - Some peers are advertising routes but --accept-routes is false

VPN通信

大きく分けて3つの方法があります。

wg-easy WireGuard MASQUERADE 除外設定でOpenVPNクライアントIPを維持する方法

Thu, 19 Mar 2026 06:06:00 +0000

概要

WireGuard(wg-easy)のデフォルトNAT(MASQUERADE)設定のため、内部網(例: OpenVPNプライベート網)にリクエストを送ると、最終サーバー側ではVPNサーバーIPがリクエストIPとして見えます。

特定の帯域をMASQUERADE対象から除外すると、OpenVPNクライアントのプライベートIPがそのままリクエストIPとして伝わります。

wg-easyのデフォルトフック(PostUp / PostDown)には、次のようなNATルールが含まれています。

POSTROUTING チェーンで -j MASQUERADE が適用されます。
この設定が有効になると、VPNクライアントのトラフィックが外部に出る際、送信元IPがVPNサーバーIPに変換されます。
そのため、OpenVPNプライベート網のような内部帯域にアクセスする場合も、最終サーバーのログにはVPNサーバーIPが残ります。

解決方法: iptables

ポイントはMASQUERADEの適用から特定の宛先帯域を除外することです。

iptables のNATルールに ! -d {除外する帯域} を追加します。
そうすると、その宛先へ向かうトラフィックはSNAT(MASQUERADE)なしで転送されます。
結果として、最終サーバーはOpenVPNクライアントのプライベートIPをリクエストIPとして認識します。

ポイント

変更前: -A POSTROUTING -s {vpnCidr} -o {device} -j MASQUERADE

変更後: -A POSTROUTING -s {vpnCidr} ! -d {excludeCidr} -o {device} -j MASQUERADE

解決方法: wg-easyを使用する場合

wg-easyを使用している場合は、以下のメニューでフックを修正します。

wg-easy管理パネル
Hooks メニュー
PostUp / PostDown スクリプト

設定例

既存の設定

PostUp

1iptables -t nat -A POSTROUTING -s ipv4Cidr -o device -j MASQUERADE; iptables -A INPUT -p udp -m udp --dport port -j ACCEPT; iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; ip6tables -t nat -A POSTROUTING -s ipv6Cidr -o device -j MASQUERADE; ip6tables -A INPUT -p udp -m udp --dport port -j ACCEPT; ip6tables -A FORWARD -i wg0 -j ACCEPT; ip6tables -A FORWARD -o wg0 -j ACCEPT;

PostDown

Windows/Linux/macOSでDNSキャッシュをクリアする

Sun, 22 Feb 2026 16:11:00 +0000

概要

実務作業中、ドメイン設定でDNSレコードを変更したにもかかわらず、ローカルPCやサーバーに即座に反映されない場合があります。

これはOSやアプリケーション（ブラウザなど）がDNSの応答をローカルにキャッシュしているためです。

この記事では、Windows、Linux、macOSでローカルDNSキャッシュをクリアする方法をまとめます。

⚠️ ローカルキャッシュをクリアしても即座に反映されない場合があります ローカルキャッシュをクリアしても、DNSリゾルバーやネームサーバーのキャッシュポリシーによりTTLが残っている場合は変更がすぐに伝播されないことがあります。

この場合は一定時間が経過してから新しいレコードが反映されます。

ブラウザを使用中の場合、ブラウザ自体のキャッシュにより以前の結果が表示されることがあるため、実行中のブラウザをすべて終了してから再度確認してください。

DNSとは？

DNS（Domain Name System）はインターネットの電話帳のような役割を果たすシステムです。

人間が読めるドメイン名（例：plzhans.com）をコンピューターが理解できるIPアドレス（例：185.199.111.153）に変換します。

DNSの主な機能

ドメイン名の変換： ユーザーが入力したドメイン名をIPアドレスに変換
キャッシュ： よく使われるドメイン情報をローカルに保存して高速アクセスを可能にする
分散データベース： 世界中に分散されたサーバーを通じて安定したサービスを提供

DNSキャッシュをクリアする理由

WebサイトのIPアドレスが変更された場合
DNS関連のネットワーク問題の解決
古いDNS情報による接続エラーの修正
セキュリティおよびプライバシー保護

WindowsでDNSキャッシュをクリアする

Windowsではコマンドプロンプト（CMD）を管理者権限で実行してDNSキャッシュをクリアできます。

WindowsでDNSキャッシュをクリアする方法

コマンドプロンプトを管理者権限で実行： スタートメニューで「cmd」を検索し、右クリックして「管理者として実行」を選択します。
コマンドの入力： 以下のコマンドを入力してEnterキーを押します。

1ipconfig /flushdns

結果の確認：「DNSリゾルバーキャッシュは正常にフラッシュされました」というメッセージが表示されれば正常に完了しています。

実行例

1C:\>ipconfig /flushdns
2
3Windows IP 構成
4
5DNS リゾルバー キャッシュは正常にフラッシュされました。

注意： 管理者権限がないとコマンドが実行されないため、必ず管理者権限でコマンドプロンプトを実行してください。

LinuxでDNSキャッシュをクリアする

Linuxではディストリビューションと使用しているDNSサービスによってDNSキャッシュをクリアする方法が異なります。

systemd-resolvedを使用している場合（Ubuntu 17.04以降、Debianなど）

1sudo systemd-resolve --flush-caches

または

1sudo resolvectl flush-caches

nscdを使用している場合

1sudo /etc/init.d/nscd restart

または

1sudo systemctl restart nscd

dnsmasqを使用している場合

1sudo /etc/init.d/dnsmasq restart

または