メインコンテンツへスキップ
見出し画像

自宅VPNをDIYできる回線・できない回線｜2026年の日本では何が現実的なのか

    HomeGrid VPN開発チーム

    自宅にWireGuardを置いて、外出先から自宅ネットワークへ接続する。

    やりたいこと自体はシンプルです。

    少し前までなら、

    Internet
   ↓
Home Public IPv4
   ↓
Port Forward
   ↓
WireGuard Server

    これで済みました。

    自宅にPublic IPv4があり、RouterでWireGuard用のUDP Portを開ける。IPアドレスが変わるならDDNSを使う。

    昔ながらの自宅VPNです。

    ところが、現在の日本の家庭向け回線では、この構成をそのまま使えないケースがかなり増えています。

    v6プラス、transix、クロスパス、OCNバーチャルコネクトなどのIPv4 over IPv6サービスが一般化し、IPv4を自宅だけで自由に扱えない回線が増えたためです。

    では結局、2026年現在、自宅VPNをDIYするにはどんな回線が必要なのでしょうか。

    かなり単純化すると、3つのパターンに分けられます。

    自宅VPNをDIYできる環境は、大きく3つ

    ① IPv4もIPv6も使えない

    IPv4 Direct：×
    IPv6 Direct：×

    → 自宅VPNのDirect DIYは不可

    ② IPv4は使えないが、IPv6は使える

    IPv4 Direct：×
    IPv6 Direct：○

    → IPv6ならDIY可能

    ③ IPv4でも使える

    IPv4 Direct：○
    IPv6 Direct：○または不要

    → 自宅VPNをDIY可能

    意外と選択肢は多くありません。

    ① IPv4もIPv6も使えない

    これは一番分かりやすいケースです。

    たとえば、

    • ISP側CGNATの内側

    • マンション側の上位Router配下

    • IPv6が提供されていない

    • IPv6はあるがInboundを許可できない

    • Home側まで外部から到達できる経路がない

    といった環境です。

    Internet
   ↓
ISP / Building NAT
   ↓
Your Router
   ↓
WireGuard

    この状態では、自宅RouterでPort Forwardを設定しても解決しません。

    その手前に、自分では操作できないNATやFirewallがあるからです。

    普通のDirect型WireGuardをDIYすることはできません。

    ② IPv4は使えないが、IPv6なら使える

    現在の日本の主要なIPoE回線では、このパターンがかなり重要です。

    代表的なサービスには、

    • v6プラス

    • transix

    • クロスパス

    • OCNバーチャルコネクト

    • BIGLOBE IPv6オプション

    などがあります。

    IPv4側では、共有IPv4やVNE側NAT、利用Portの制約などがあるため、昔ながらの

    Public IPv4
   ↓
UDP 51820 Port Forward
   ↓
WireGuard

    という構成をそのまま使うことはできません。

    主要サービスをざっくり見ると、こんなイメージです。

    v6プラス / MAP-E

    IPv4 WireGuard Direct：×
    IPv6 WireGuard Direct：Router次第

    → IPv6のみ候補

    OCNバーチャルコネクト

    IPv4 WireGuard Direct：×
    IPv6 WireGuard Direct：Router次第

    → IPv6のみ候補

    transix / DS-Lite

    IPv4 WireGuard Direct：×
    IPv6 WireGuard Direct：Router次第

    → IPv6のみ候補

    クロスパス

    IPv4 WireGuard Direct：×
    IPv6 WireGuard Direct：Router次第

    → IPv6のみ候補

    BIGLOBE IPv6オプション

    IPv4 WireGuard Direct：×
    IPv6 WireGuard Direct：Router次第

    → IPv6のみ候補

    つまり、IPv4がダメでも、IPv6は別です。

    IPv6ならPort Forwardは不要

    IPv6ではIPv4 NATを使わないため、IPv4のようなPort Forwardは不要です。

    構成はこうなります。

    Remote
   ↓ IPv6
Internet
   ↓
Home Global IPv6
   ↓
IPv6 Firewall
   ↓
WireGuard Server

    WireGuard ServerにGlobal IPv6があり、Routerで必要なInbound通信を許可できれば、IPv6 Directで接続できます。

    ただし、

    「IPv6対応」＝「WireGuardを外から使える」

    ではありません。

    必要なのは、少なくとも次の条件です。

    • WireGuard ServerにGlobal IPv6がある

    • RouterでIPv6 Inboundを設定できる

    • WireGuard Server宛てだけに絞れる

    • UDP Portを指定して許可できる

    • Server OS側Firewallも設定できる

    • Remote側にもIPv6がある

    特にRouter側のIPv6 Firewall実装は機種によって差があります。

    理想的には、

    Source: Any
Destination: WireGuard Server IPv6
Protocol: UDP
Port: WireGuard ListenPort

    のように、対象ServerとPortだけを許可します。

    外出先から使う場合、接続元IPv6は固定できないことが多いため、Sourceは実質 Any になりやすいでしょう。

    つまりIPv6 Directも、Internetから自宅へのInboundを許可する設計であることには変わりありません。

    IPv6 FirewallやIPv6 Pass-throughについては、別記事で詳しく扱っています。

    IPv6 Direct最大の問題は、接続元にもIPv6が必要なこと

    Home側でIPv6 WireGuardを完璧に設定した。

    これだけではまだ足りません。

    Remote側にもIPv6接続性が必要です。

    たとえば、

    Home
Global IPv6
   ↑
   │ IPv6 Internet
   │
Hotel Wi-Fi
IPv4 Only

    では接続できません。

    ホテル、カフェ、空港、ラウンジなどのWi-Fiでは、IPv4しか使えない環境もあります。

    その場合は、

    IPv6対応のモバイル通信やTetheringへ切り替える

    という逃げ道があります。

    モバイル通信を国内・海外問わず無制限に使えるならIPv6 Directでも困らない

    ここは公平に考える必要があります。

    モバイル通信を国内・海外問わず無制限に使える人なら、IPv6 Directでも困らないでしょう。

    ホテルWi-FiがIPv4 onlyなら、モバイル通信へ切り替えれば済みます。

    問題になるのは、海外eSIMやRoamingなどで通信容量に上限がある場合です。

    たとえば、

    • 動画を見る

    • Remote Desktopを長時間使う

    • NASから大容量ファイルを取得する

    • Cloud Backupをする

    • ゲームや大きなUpdateをDownloadする

    といった用途では、それなりのデータ量になります。

    せっかくホテルにWi-Fiがあるのに、

    自宅VPNへ接続するためだけにモバイル回線を使わなければならない

    となると、海外では特に厳しくなります。

    ③ IPv4でも使える

    一番分かりやすいのが、昔ながらのPublic IPv4環境です。

    典型的には、

    PPPoE + Public IPv4

    です。

    Remote
   ↓
DDNS
   ↓
Home Public IPv4
   ↓
UDP Port Forward
   ↓
WireGuard Server

    この方法ならRemote側はIPv4だけで構いません。

    ホテルWi-Fiでも、カフェWi-Fiでも、IPv4 Internetへ接続できれば自宅VPNへ入れます。

    Public IPv4が動的ならDDNSを使えばいい。

    ある意味、今でも自宅WireGuardをDIYする一番素直な方法です。

    PPPoE + Public IPv4

    IPv4：○
    IPv6：不問

    → IPv4でもDIY可能

    固定Public IPv4サービス

    IPv4：○
    IPv6：不問

    → IPv4でもDIY可能

    CGNAT + IPv6なし

    IPv4：×
    IPv6：×

    → DIY不可

    上位NAT + IPv6 Inbound不可

    IPv4：×
    IPv6：×

    → DIY不可

    要するに現在の主要IPoE環境では、

    IPv4 Directはかなり厳しい。

    残るDIYルートがIPv6 Directですが、今度はRouterと接続元Networkの両方を確認する必要があります。

    Direct型自宅VPNには、セキュリティ上の管理も残る

    IPv4でもIPv6でも、Direct型の自宅VPNではInternetから自宅へ到達できる入口を作ります。

    IPv4ならPort Forward。

    IPv6ならFirewallでInboundを許可。

    そのため、

    • RouterのFirmware Update

    • WireGuard ServerのSecurity Patch

    • Router Firewall

    • Server OS Firewall

    • 不要Serviceの停止

    • 公開Portの管理

    などを継続して管理する必要があります。

    WireGuard自体が安全でも、その手前にあるRouterやServer OSまで自動的に安全になるわけではありません。

    「Portを開けられる」と「安全に公開運用できる」は別の話です。

    IPv4でもIPv6でも、自宅の接続先アドレスは見える

    Direct型自宅VPNには、もう一つ見落とされやすい問題があります。

    VPN内部の通信内容は暗号化されます。

    しかし、

    VPNトンネル自体がどこへ向かっているか

    まで隠れるわけではありません。

    たとえば近所のコンビニの公衆Wi-Fiから、自宅WireGuardへ接続するとします。

    Convenience Store Wi-Fi
          ↓
      Your Device
          ↓
   Encrypted WireGuard
          ↓
   Home IPv4 / IPv6

    Wi-Fi側から見れば、VPN内部のWeb通信やデータは暗号化されています。

    しかし、VPNパケットの宛先である自宅のIPv4 / IPv6アドレスは、通信メタデータを観測できる立場から見える可能性があります。

    そこから、

    • ISP

    • ASN

    • GeoIP情報

    • おおまかな地域

    などを推定できる場合があります。

    GeoIPの精度は一定ではありませんが、場合によっては市区町村レベルまで絞られることもあります。

    つまり、

    近所の公衆Wi-Fiから自宅VPNへDirect接続しただけで、「この端末はだいたいこの地域にある家庭用回線へ継続的に接続している」と推測される可能性があります。

    住所そのものが分かるという意味ではありません。

    ただ、

    VPNの中身を暗号化することと、自宅VPNの接続先を隠すことは別

    です。

    長期間同じIPv4 / IPv6アドレスを使う場合にも注意

    これはIPv6だけの問題ではありません。

    IPv4でもIPv6でも、長期間同じアドレスやPrefixを利用していると、DNS情報や外部Serviceのログなどを通じて、

    同じ自宅回線との関連付けが継続しやすくなる

    可能性があります。

    Direct型のVPNでは、自宅側のIPv4 / IPv6アドレスそのものが接続先になるためです。

    つまり、

    「通信内容は暗号化されている」ことと、「自宅回線との関連性まで隠れている」ことは違います。

    「P2PならPort Forward不要」は解決策になる？

    P2P型VPNの中には、STUNやUDP Hole Punchingなどを使ってDirect接続を試すものがあります。

    うまくいけば、

    Remote
   ↓
Direct P2P
   ↓
Home

    になります。

    しかしCGNATやIPv4 over IPv6環境では、Direct成立が、

    • NAT Mapping

    • 外部Port

    • Filtering

    • 双方のNAT状態

    • Timing

    などに左右されます。

    偶然条件が噛み合ってDirectになることはあっても、それを安定した経路として前提にするのは難しい場合があります。

    Directが成立しなければ、

    Remote
   ↓
Relay
   ↓
Home

    へフォールバックする製品もあります。

    つまり、

    「P2PだからPort Forward不要」

    と

    「安定してDirect P2Pできる」

    は同じではありません。

    自宅VPNを毎日使うなら、DirectになるかRelayになるかを回線条件任せにしたくない人もいるでしょう。

    VPSを中継すれば解決できる

    技術的には、かなりきれいに解決できます。

    Remote
   ↓
VPS
   ↓
Home
   ↓
Residential ISP
   ↓
Internet

    Home側からVPSへOutboundでWireGuardを張る。

    Remote側からもVPSへ接続する。

    これならHome側に、

    • IPv4 Port Forward

    • IPv6 Inbound

    • DDNS

    は必要ありません。

    ただし今度は、

    • VPS

    • WireGuard

    • Routing

    • NAT

    • Firewall

    • Key管理

    • OS Update

    • Monitoring

    • 障害対応

    まで自分で管理することになります。

    自宅VPNを作りたかっただけなのに、

    自分専用VPNサービスを運用する側

    になってしまいます。

    それが楽しい人なら、もちろんDIYで問題ありません。

    結局、どれを選べばいい？

    Public IPv4 + Port Forwardを使える

    → WireGuard DIY

    IPv6 Inboundを設定でき、Remote側もIPv6

    → IPv6 WireGuard DIY

    国内・海外ともモバイル通信を無制限に使える

    → IPv6 Directでもかなり実用的

    VPSを自分で構築・運用したい

    → 中継型をDIY

    P2P Direct / Relayの変動を許容できる

    → P2P型VPN

    どれもやりたくない

    → Outbound型VPN

    そして、

    • IPv4 Port Forward不要

    • IPv6 Inbound不要

    • DDNS不要

    • Remote側のIPv6不要

    • P2P Direct成立に依存しない

    • VPSを自分で運用しない

    • 自宅・実家の家庭用回線をInternet Exitとして使う

    ここまで条件を付けると、選択肢はかなり絞られます。

    Outbound型のHub & Spokeで、家庭用の回線をInternet Exitとして使える一般ユーザー向けのサービスとして、HomeGrid VPNがあります。

    少なくとも私たちが確認した範囲では、この条件を満たす他の一般ユーザー向けサービスは見つけられていません。

    HomeGrid VPNでは、Home側からCloud HubへOutboundで接続します。

    Remote
   ↓
Cloud Hub
   ↓
Home
   ↓
Residential ISP
   ↓
Internet

    HomeをExitにした場合、Internetへの出口はCloud Hubではありません。

    通信はCloud Hubを経由してHomeまで戻り、Home側のResidential ISPからInternetへ出ます。

    そのためHome側では原則として、

    • IPv4 Port Forwardを前提にしない

    • IPv6 Inbound Ruleを前提にしない

    • DDNSを前提にしない

    • Remote → Home Public IPv4のDirect接続を前提にしない

    • Remote → Home Global IPv6のDirect接続を前提にしない

    という構成にできます。

    面倒なら、約10分で作る方法もある

    Public IPv4が使えるなら、WireGuardをDIYすればいい。

    IPv6 Inboundを管理できて、接続元のIPv6にも困らないなら、IPv6 Directでも構いません。

    VPSを自分で運用したいなら、中継型を自作する方法もあります。

    でも、

    • MAP-Eなのか

    • DS-Liteなのか

    • RouterのIPv6 Firewallはどうなっているのか

    • Hotel Wi-FiはIPv6対応なのか

    • DDNSは必要なのか

    • P2PがDirectなのかRelayなのか

    ここまで調べて運用するのは面倒。

    そう感じたなら、無理にDIYする必要はありません。

    次の記事では、Port Forwardなしで、自宅回線をVPN Exitとして約10分で構築する方法を具体的に紹介します。

    → ポート開放なし・約10分で自宅VPNを構築する方法

    [HomeGrid VPN公式サイト]


    あなたへのおすすめ