外にデータを預けないためのMesh VPN入門。家のサーバーを「見えない」場所に置く

UPHASH CEO 今井翔太

結論から書きます。自宅のNASやGPUマシンを外から使いたいなら、ルーターのポートを開けるのはもうやめましょう。WireGuardを土台にしたMesh VPN（TailscaleやNetBird）で、自分の機械同士だけをつなぐのがおすすめです。こうすると、インターネットから見える「入口」がほぼゼロになります。攻撃者は、穴を探す前に、そもそもたどり着けません。

なぜ今なのか

10月21日（日本時間）、PHPに「php2shell」と呼ばれる2つの脆弱性（CVE-2026-109618／109619、CVSS 9.2）が公表されました。Webで動いているPHPなら、ログインなしで乗っ取られるおそれがあります。同じ週には、OracleのJava向け定例パッチ（2026年10月のCPU）でも、ネットワーク越しに悪用されうる欠陥が大量に直されました。

ここで言いたいのは、「外に公開しているものは、いつか穴が見つかる」ということです。しかも今は、穴が見つかってから悪用されるまでの時間が、どんどん短くなっています。パッチが間に合わない前提で考えるなら、一番強い対策は「公開しない」ことです。

Mesh VPNって何？

普通のVPNは、会社のVPN装置に全員がつなぎに行く「ハブ型」です。Mesh VPNは、自分のパソコン、スマホ、NAS、サーバーが、それぞれ直接つながる「網の目型」です。

• 通信の暗号化はWireGuardという軽くて速い仕組みが担当します。

• ルーターの設定（ポート開放）は基本的に要りません。NATの内側同士でも、うまく穴を開けて直接つながります。

• 直接つながれないときは、中継サーバーを通ります。中継されても中身は暗号化されたままです。

家族のスマホにアプリを入れてログインしてもらうだけで、実家と自宅のLANをまたいで写真のNASを見る、くらいのことは、詳しくない人でもできます。

僕なら、家族に入れてもらうときは「アプリを入れて、いつものアカウントでログインするだけ」とだけ伝えます。仮に途中でつまずくとしたら、ログインの画面よりも「この端末を許可しますか」という確認のところだと思います。なので最初の1回だけは、横で一緒に操作するのがいいと考えています。（ここは僕の想定です）

ここから先は有料です。TailscaleとNetBirdの選び方、Cloudflareと組み合わせる「ハイブリッド構成」、公開面をほぼゼロにする設計の考え方、僕の自宅での運用例、そして会社で使うときの線引きを書きます。

単品200円です。週刊ラボノート（月額500円）に入ると、この記事も含めて有料記事が全部読めます。