自宅Wi-Fi、全部同じでいい？｜Main・Kids・IoT・ゲストを無理なく分ける【OpenWrt集中連載027】
家族のPC、子どものタブレット、スマート家電、来客端末を同じWi-Fiで使っていても、すぐに全部を分ける必要はありません。まずMainを安定させ、Guestを追加し、Kids・IoTは必要な時に足します。
この記事は家庭向けの設計例です。設定とCLIはLN6001-JPのメーカー提供ファームウェアversion 1.2.0.15を基準にしています。別系統のOpenWrtでは無線・ファイアウォールの実装を確認してください。ファームウェアの違いは003にまとめています。
この連載では、Linksys Velop WRT Pro 7（LN6001-JP）を使いながら、家庭・小さなオフィス・店舗でOpenWrtルーターを現実的に使う方法をまとめています。
連載目次: LN6001-JPで始めるOpenWrt実践ガイド
例：NASとプリンターがある家庭
家族のPCとスマートフォンはMain、来客はGuestへ置きます。NASとプリンターもMainに残し、IPアドレスはDHCP予約します。子ども向けのDNS方針が必要ならKids、スマート家電と家庭内LANの境界が必要ならIoTを追加します。
図の範囲は例です。Mainは 192.168.1.0/24、Guestは 192.168.2.0/24、Kidsは 192.168.3.0/24、IoTは 192.168.4.0/24 としています。上流ルーターやVPNと重複しない範囲を選んでください。
設定前のメモには、SSID名、IP範囲、置く端末、許可する通信を書きます。SSIDに本名や住所を入れず、Main・Guest・IoTのパスワードも分けます。
帯域とネットワーク分離は別の話です。Mainは5GHzを中心に、古い機器やIoTは2.4GHz、6GHzやMLOは対応端末に合わせて検討します。
1. Mainを残して、Guestだけ追加する
先にMainでWeb閲覧、NAS、印刷、LuCIへの接続ができることを確認し、設定をバックアップします。有線の管理PCと元のMain接続を残し、Guestの試験は1台で始めます。
Guestは別SSIDを作るだけでは分離できません。別のIP範囲とfirewall zoneへ割り当て、GuestからMainへの転送を許可しない構成にします。Guest zoneのInputを拒否する場合も、DHCPとDNSに必要な通信は許可します。
実際にGuestへ接続した端末で、次を確認してください。
インターネットへ出られる
Mainでは開けるLuCI・NASを、Guestからは開けない
Guestから家庭のプリンターへ届かない
Main側で同じ接続先が動いていることも確認すると、機器の停止と分離の成功を区別できます。IPv6を配る構成ではIPv6側も確認します。具体的な操作はゲストWi-Fi設定007へ進んでください。
2. KidsはDNSと端末側の機能を組み合わせる
KidsへFamily DNSを配ると、成人向けコンテンツや既知の危険なドメインを減らす助けになります。ただし、ブラウザ・アプリ独自のDNS、VPN、モバイル回線には別の対処が必要です。DNSではアプリ内の内容も判断できません。
学校管理端末の制約を確認し、端末側のファミリー機能と家庭内のルールを組み合わせます。具体的な方針は子ども用Wi-FiとFamily DNS009で整理できます。
3. IoTは必要な操作が残るか確かめる
IoTからMainへの通信を抑えると、家電の初期設定やキャストに使う機器探索が届かなくなることがあります。具体的な追加手順はIoTネットワーク設定010で確認できます。
IoT用SSIDへの接続とインターネット通信を確認したら、公式アプリからの操作、Mainから必要な操作、不要なIoT→Main通信の拒否を順に試します。
テレビへのキャストやプリンターの発見を残すために、特定の機器をMainに置く判断もできます。探索が動かないからといって、IoTからMainへ全通信を許可しないようにします。
NASやプリンターの予約IPは、LuCIのDHCP lease一覧で端末名とMACアドレスを確認して割り当てます。DHCP予約012を参照してください。公開する画面ではMACアドレスと家庭内の端末名を隠します。
変更後の確認と戻し方
1つ追加するたびに、家族が使う端末で確認します。保存済みの表示だけで終わらせず、必要な通信が通ることと、分離先へ届かないことを確認してからバックアップします。
SSHでは、SSIDとnetworkの対応、DHCP範囲、zoneとforwarding、端末へ渡されたIPを読み取れます。
uci show network
uci show wireless
uci show dhcp
uci show firewall
cat /tmp/dhcp.leases
ifstatus wan
ifstatus wan6
iptables-save
ip6tables-save
家族全員が使えなければMain、特定のSSIDだけならnetwork・DHCP・firewall、特定機器だけなら帯域・暗号化・探索を確認します。最後に追加した設定から戻し、家族全員を新しいSSIDへ移すのは1台で確認してからにします。
設定バックアップの保存・復元は023へ。Main＋Guestで目的を満たせるなら、そこで止めてかまいません。
