VPN・リモートアクセスガイド - 何を選べばいいか

Thu, 03 Sep 2026 00:00:00 +0000

概要

外出先からホームサーバー・NAS・オフィスの内部ネットワークに安全に接続するにはVPNが必要です。ポートフォワーディングでサービスをインターネットに直接公開する代わりに、VPNトンネルを通じてまるで同じネットワークにいるかのように接続するのが基本原則です。このブログには性格の全く異なる3つの方式(Tailscale、WireGuard、wg-easy)を扱った記事がありますが、「VPN」という名前は同じでも設定方法・セキュリティモデル・運用負担が全く異なるため、状況に合わせて選ぶ必要があります。

選択基準

方式を選ぶ前に、以下の5つを先に考えてみると役に立ちます。

NAT・ファイアウォール環境 — ルーターの内側にあるホームサーバーのようにポート開放が面倒・不可能な環境か、それとも固定IPを直接付けられるクラウドサーバーか。
セキュリティモデル — 接続を許可する端末を一つずつ明示的に登録するゼロトラスト方式が必要か、それとも従来型のサーバー・クライアント型VPNで十分か。
運用負担 — サーバーインフラ(鍵管理、ファイアウォールルール、アップデート)を自分で保守する余力があるか、それとも管理型サービスに任せたいか。
デバイス・ユーザー数 — 自分一人でノートPC1〜2台が接続できればいいのか、複数人がそれぞれ異なる権限で接続する必要があるのか。
性能 — 大容量ファイル転送のようにスループットが重要か、それともSSH接続程度の軽いトラフィックか。

方式の比較

	Tailscale	WireGuard	wg-easy
サーバー運用	不要(マネージド)	自分で運用	自分で運用(Web UI)
ポート開放	ほぼ不要	必要(UDP)	必要(UDP)
設定の難易度	低い	高い(CLI・設定ファイル)	中程度(Web UI)
きめ細かな制御	低い	高い	中程度
マルチユーザー管理	tailnet ACL	手動(Peer登録)	Web UIで管理
適した状況	素早く始めたい個人・小規模チーム	インフラを全て自分で管理したい	WireGuardを楽に管理したい

まず何を見るべきか

ポートフォワーディングなしで素早く個人・小規模チーム用VPNが必要 → Tailscale Linuxインストール - 安全なリモートVPN構成
VPNサーバーを自分で運用し、細かく制御したい → WireGuardのインストールとクライアント接続設定方法
WireGuardをWeb UIで楽に管理したい → wg-easy WireGuard MASQUERADE 除外設定でOpenVPNクライアントIPを維持する方法(ただし下記の注意点あり)
OpenVPNを使いたい → 最も古くから広く使われている方式で、クライアント互換性が高く資料も豊富です。このブログではまだ扱っておらず、今後別途記事で扱う予定です。

実践シナリオ

旅行中にノートPCから自宅NASのファイルを一つだけ確認したい → Tailscale
会社の内部ネットワークにある複数のサーバーをチームメンバーに標準化された方法で開放したい → WireGuard
チームメンバー各自がWeb UIでQRコードを使ってWireGuard設定を登録できるようにしたい → wg-easy(ただしMASQUERADE除外設定が必須)

Tailscale — 最も速く始められる方法

各デバイスがアウトバウンド接続のみでtailnetに参加する方式のため、別途ポート開放がほとんど不要です。直接P2P接続ができない場合はDERPリレーで迂回します。tailnet IP、accept-routes、serve/funnelモードまで状況別に整理しました。内部的にはWireGuardプロトコルをそのまま使っているため性能は純正WireGuardと大差なく、代わりに鍵交換・NAT越え・ACL管理をTailscaleが代行してくれる点が核心的な違いです。ノートPC1〜2台からホームサーバー1台に接続する程度であれば、まず試してみるべき方式です。

WireGuardのインストールとクライアント接続設定方法

Fri, 10 Jul 2026 08:20:00 +0000

概要

WireGuardは、簡潔な設定と軽量なパフォーマンスでpeer-to-peer VPNを構成できるツールです。

この記事では、LinuxサーバーにWireGuardをインストールし、サーバーキー・ファイアウォール・サービスを整えたうえで、Macクライアントから接続するまでの一連の流れをまとめます。

サーバーキーの生成、wg0の設定、UDP 51820ポートの開放、クライアントPeerの登録、接続確認までを順番に扱うため、同じ手順で設定できます。

サーバーのインストール

システムサービスとして動作するため、rootで進めてください。

基本インストール

1apt install wireguard

インストール確認

1wg --version

サーバーキーの生成

1mkdir -p /etc/wireguard
2wg genkey | tee /etc/wireguard/server.key | wg pubkey | tee /etc/wireguard/server.pub
3
4# 権限設定
5chmod 600 /etc/wireguard/server.key

環境設定

設定ファイルをあらかじめ作成します。

1touch /etc/wireguard/wg0.conf
2chmod 600 /etc/wireguard/wg0.conf

設定ファイルにインターフェースを設定

サーバーキーを登録
SaveConfigが有効になっている場合、このファイルを編集した後にサーバーを停止すると、サーバーの状態で上書きされてしまいます
SaveConfigモードで使用する場合は、wg setなどで制御する必要があります

1# /etc/wireguard/wg0.conf
2[Interface]
3Address = 10.200.0.1/24
4ListenPort = 51820
5PrivateKey = {server key contents}
6SaveConfig = false

Inbound設定(ファイアウォール設定)

Peer to Peerではありますが、最初のハンドシェイクのためにUDPサーバーポートを開放しておく必要があります。

さらにiptablesを使用している場合は、ポートも開放する必要があります。

1iptables -I INPUT 1 -p udp --dport 51820 -j ACCEPT
2
3# ubuntu 24
4# netfilter-persistent save
5
6# Result
7# run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables save
8# run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables save

サーバーの実行

サービスの登録と起動

Wireguard on plzhans blog