自宅・実家の「家庭用IP」を自分専用のVPN出口にする方法
VPNというと、多くの人が思い浮かべるのは、
端末
↓
VPNサービス
↓
VPN Server
↓
Internet
という構成だと思います。
この方法なら、外出先や海外からでもVPN Serverを経由してInternetへ接続できます。
ただ、一つ重要な特徴があります。
接続先のWebサービスから見えるIPアドレスは、VPN Serverの出口IPです。
一般的なVPNサービスやVPSを使って自作したVPNなら、それは多くの場合、データセンターやホスティング事業者側のIPになります。
では、VPNの出口そのものを自宅や実家にしたらどうなるでしょうか。
Remote
↓
VPN
↓
Home
↓
Residential ISP
↓
Internet
こうすると、接続先から見える出口はVPN事業者のIPではなく、自宅や実家で実際に使っている家庭用回線のPublic IPになります。
今回は、この「家庭用回線を自分専用のVPN出口にする」という考え方と、その実現方法を整理します。
VPNで重要なのは「どこを通るか」だけではなく「どこから出るか」
VPNは通信を暗号化する仕組みとして説明されることが多いですが、実際に使うときにはもう一つ重要な要素があります。
Exit Pointです。
たとえば日本にあるVPSへWireGuardを構築すると、
Remote
↓
WireGuard
↓
Japan VPS
↓
Internet
となります。
接続先から見えるPublic IPは、そのVPSのIPです。
一方、自宅のPCをVPNの出口にすれば、
Remote
↓
VPN
↓
Home PC
↓
Home Router
↓
Internet
となります。
今度は、自宅回線のPublic IPが出口になります。
つまり、どちらも「日本を経由するVPN」だったとしても、
Data Centerから出るのか
Residential ISPから出るのか
という違いがあります。
家庭用IPをExitにすると何が変わる？
一番分かりやすいのは、外部サービスから見える接続元です。
普段、自宅のPCからWebサイトへアクセスすると、
Home PC
↓
Home Router
↓
ISP
↓
Web Service
という経路になります。
家庭用回線をVPN Exitにすると、外出先からでも最終部分を同じ経路にできます。
Laptop / Smartphone
↓
VPN
↓
Home
↓
ISP
↓
Web Service
つまりWebサービス側から見ると、Internetへ出てきた通信の送信元は自宅回線のPublic IPになります。
もちろん、「自宅にいることを証明する」仕組みではありません。
ブラウザ、端末、GPS、Cookie、アカウント情報など、IPアドレス以外の情報まで自宅と同じになるわけでもありません。
あくまで、
Internetへの出口を、自宅回線にする
という仕組みです。
VPSの日本IPと、自宅の日本IPは同じではない
たとえば海外から日本のサービスを利用するとき、
「日本のIPが必要なら、日本のVPSを借りればいいのでは？」
という方法もあります。
技術的には可能です。
しかし、
Japan VPS
↓
Data Center / Hosting Network
↓
Internet
と、
Japan Home
↓
Residential ISP
↓
Internet
では、出口となるネットワークの性質が異なります。
IPアドレスからは国だけでなく、どのネットワークやASNに属しているかなども判断できます。
サービスによっては、データセンター、ホスティング、VPN・Proxyとして知られているIP帯などをアクセス判定の材料にすることもあります。
そのため、
「日本のIPである」
ことと、
「日本の一般家庭で使われている回線のIPである」
ことは、同じではありません。
だからといって家庭用IPなら必ず利用できる、ブロックされない、という意味でもありません。
各サービスは独自の判定方法や利用規約を持っています。
ここで重要なのは、VPSのIPを家庭用IPに見せかけるのではなく、本当に自宅・実家の家庭用回線を出口として使うという構造上の違いです。
データセンターIPと家庭用IPがどう違うのかについては、こちらの記事で詳しく整理しています。
→ 日本のVPNでも動画が見られない？ データセンターIPと家庭用IPの違い
「実家」をExitにするという選択肢
VPN出口は、必ずしも現在住んでいる自宅である必要はありません。
たとえば海外に住んでいて、日本の実家にInternet回線があるなら、
Overseas
↓
VPN
↓
Family Home in Japan
↓
Residential ISP
↓
Internet
という構成も考えられます。
これなら、日本のデータセンターにVPN Serverを借りるのではなく、実家で実際に使われているInternet回線をExitにできます。
同じ考え方で、自分が利用できる別拠点の家庭用回線をExitにすることもできます。
ただし、実家など自分以外の人が契約している回線を利用する場合は、契約者の同意と、その回線のISP契約条件の確認が前提になります。
これは「IPを偽装する」のとは少し違う
家庭用IPをExitにする仕組みを、
「自宅IPに偽装する」
と表現したくなるかもしれません。
ただ、技術的には少し違います。
送信元IPを書き換えて、自宅から来たように見せかけているわけではありません。
通信そのものが、
Remote
↓
VPN
↓
Home
↓
Internet
と自宅を通っています。
つまり、
自宅IPを装う
というより、
実際に自宅回線からInternetへ出る
という方が正確です。
自宅IPをAllowlistしている場合にも使える
この構成は、動画や海外サービスだけの話ではありません。
たとえば、自分で管理しているServerなどで、
Home Public IP → ALLOW
Other IP → DENY
としていると、自宅ではアクセスできても、ホテルやカフェへ移動した瞬間に接続元IPが変わります。
家庭用回線をExitにすれば、
Remote
↓
Home Exit
↓
Admin Server
と、自宅回線を出口にしたままアクセスできます。
ただし、IP Allowlistは認証そのものではありません。認証やMFA、アクセス制御などと組み合わせて利用する必要があります。
この使い方については、こちらの記事で詳しく整理しています。
→ 自宅IPをallowlistしていると、外出した瞬間につながらない。VPN出口を自宅に置くという方法
では、自宅にWireGuard Serverを置けばいい？
ここまでなら、自作でもできます。
自宅にPCやミニPCなどを置き、WireGuard Serverを構築します。
そして外出先から、
Remote
↓
Internet
↓
Home Router
↓
WireGuard Server
へ接続します。
VPN ClientのInternet通信をWireGuard Serverから自宅回線へNAT/Forwardすれば、自宅をExitにできます。
ただし、ここで自宅VPN特有の問題が出てきます。
外から、どうやって自宅のWireGuard Serverまで到達するのか？
です。
家庭用回線だからこそ、Inboundで詰まることがある
従来型の自宅WireGuardでは、自宅ルーターでPort Forwardを設定する方法が一般的です。
Internet
↓
Public IPv4
↓
Port Forward
↓
WireGuard Server
ところが、現在の家庭用回線では必ずしもこの構成が使えるとは限りません。
たとえば、
CGNAT
IPv4 over IPv6
二重NAT
マンション側の上位ルーター
など、自分のルーターより上流で通信が制御されている環境があります。
この場合、
家庭用IPをExitとして使いたいのに、外からその家庭へ入れない
という問題が起こります。
IPv6で直接つなぐ方法もある
自宅側にグローバルIPv6があれば、IPv4 Port Forwardを使わず、WireGuard ServerへIPv6で直接接続できる場合があります。
ただし、
IPv6 Inbound Rule
IPv6 Firewall
ISP側からの到達性
接続元側のIPv6対応
など、IPv4とは別の条件が残ります。
つまり、
「IPv6ならポート開放不要」
と
「IPv6なら何もInboundを考えなくていい」
は別の話です。
IPv6で自宅WireGuardを公開する場合の条件や、IPv6 Pass-through、ホテルWi-FiがIPv4 onlyの場合などについては、こちらで詳しく整理しています。
→ 「IPv6ならポート開放不要」は本当？ 自宅WireGuardで見落としやすいIPv6 Firewallの話
そこで「自宅へのInboundを作らない」という考え方
もう一つ方法があります。
外出先から自宅へ接続を開始するのではなく、自宅側から先に外へ接続しておく方法です。
従来型は、
Remote
↓
Home
です。
これを、
Home → Hub ← Remote
にします。
自宅側からCloud HubへOutbound接続を確立します。
Remote側もHubへ接続します。
すると、自宅側でInternetからの新しいInbound接続を待ち受ける必要がありません。
さらにRemote側から、
自宅のPublic IPv4へ直接到達する
ことも、
自宅のGlobal IPv6へ直接到達する
ことも前提にしなくて済みます。
HomeGrid VPNでは家庭用回線をExitにできる
HomeGrid VPNは、このOutbound型の構成で、自宅や実家の回線をExitとして利用できるようにしています。
構成を単純化すると、
Remote Device
↓
Cloud Hub
↓
Home Appliance
↓
Home Router
↓
Residential ISP
↓
Internet
です。
自宅側のApplianceはCloud HubへOutboundで接続します。
そのため、自宅側では、
IPv4 Port Forward
IPv6 Inbound Rule
DDNS
を前提にしません。
自宅の回線がCGNATやIPv4 over IPv6環境でも、自宅側から必要なOutbound通信ができることを利用する設計です。
Cloud Hubを使っても、出口はCloudではない
ここは重要です。
途中にCloud Hubがあるなら、
「結局、接続先からはデータセンターIPに見えるのでは？」
と思うかもしれません。
しかし、Cloud HubとExitは別の役割です。
構成が、
Remote
↓
Cloud Hub
↓
Home
↓
Internet
なら、Internetへの最終的な出口はHome側です。
接続先のWebサービスから見える送信元は、Cloud HubのPublic IPではなく、自宅・実家のInternet回線側のPublic IPになります。
Cloud HubはVPN経路上の構成要素ですが、InternetへのExit Pointではありません。
自分専用の家庭用Exitを持つ、という考え方
一般的なVPNサービスでは、
VPN事業者が用意したServerを出口として借りる
という考え方が基本です。
一方、自宅・実家をExitにすると、
自分が利用できる家庭用回線を、自分専用の出口として使う
という構成になります。
これは用途を動画やゲームだけに限定するものではありません。
海外滞在中に日本の家庭用回線からInternetへ出たい。
外出先でも自宅IPをAllowlistした自分のServerへアクセスしたい。
ホテルやカフェから通信するときも、自宅回線をInternet出口として使いたい。
こうした用途に共通しているのは、
「どのVPN Serverを借りるか」ではなく、「Internetへどこから出たいか」
という考え方です。
VPSのデータセンターIPではなく、自分が実際に利用できる家庭用回線をExitにしたいなら、
Remote
↓
VPN
↓
Home / Family Home
↓
Residential ISP
↓
Internet
という構成そのものが、一つの選択肢になります。
