FELIXXRT
日本語English

リモートアクセス VPN

外出先のスマートフォンや PC から、VPN で LAN やインターネットにつなぐ設定です。WireGuard・OpenVPN・IKEv2・L2TP/IPsec の 4 つの方式を使えます。

全体の流れ

  1. 使う方式の画面（例：「REMOTE ACCESS VPN › WireGuard」）で方式を有効にし、適用します。
  2. 「REMOTE ACCESS VPN › VPN グループ」画面でグループを作り、適用します（グループを使わない場合は不要です）。
  3. 「REMOTE ACCESS VPN › VPN ユーザー」画面でユーザーを追加し、デバイス（ピア・クライアント）や VPN パスワードを登録します。
  4. 表示された設定ファイル・QR コード・構成プロファイルを端末に読み込みます。

適用が要るもの・すぐ有効になるもの

操作 有効になるとき
各方式のサーバー設定（有効／無効、ポート、VPN のネットワーク、エンドポイント） 適用して確定したとき
VPN グループの追加・変更・削除 適用して確定したとき
VPN ユーザーの追加・変更・無効化・削除 「保存」などを押した時点ですぐ
ピア・クライアントの追加・削除、VPN パスワード、L2TP の事前共有鍵 押した時点ですぐ

サーバー設定とグループは、保存すると「未適用の変更」に入ります。画面上部の「変更を確認」から適用し、5 分以内に「確定」します（設定の適用と確定）。

ユーザーやデバイスを追加・削除しても、ほかの人の接続は切れません。変更・無効化・削除したユーザーの接続だけが切れます（新しい設定でつなぎ直すか、接続を断られます）。

新しく作ったグループは、適用したあとでユーザーに選べるようになります。

VPN の待ち受けとファイアウォール

方式を有効にすると、その待ち受けポートはルーターが自動で受け付けます。ファイアウォールの設定は要りません。

方式 待ち受け 既定値
WireGuard UDP（リッスンポート） 51820
OpenVPN UDP または TCP（ポート） UDP 1194
IKEv2・L2TP/IPsec UDP 500・4500 固定
  • VPN でつないだ端末が通信できる先は、ユーザーやグループの「アクセス許可先」で決まります。ルーター自身に届くのは DNS と ping だけです。
  • WAN が MAP-E の場合、WireGuard と OpenVPN のポートは、割り当てられたポートの範囲内にしてください。範囲外だと適用できません。

WAN が MAP-E または DS-Lite の場合、IKEv2 と L2TP/IPsec は IPv4 では外から接続できません（UDP 500・4500 を受けられないため）。IPv6 なら接続できます。IPv4 で外から使う場合は WireGuard か OpenVPN を使ってください。

VPN グループ

グループは「許可する VPN 方式」「アクセス許可先」「有効期限」をまとめて決めるものです。例：「家族」はインターネットと LAN、「来客」はインターネットのみ。

  1. 「REMOTE ACCESS VPN › VPN グループ」画面で「グループを追加」を押します。
  2. 項目を入力して「保存」を押し、適用します。
項目 説明
グループ名 英小文字で始まる 15 文字以内。あとから変えられません。例：family
表示名（任意） 一覧に出す名前。例：家族
許可する VPN 方式 接続に使える方式（WireGuard・OpenVPN・IKEv2・L2TP/IPsec）
アクセス許可先 接続後に通信できるゾーン。「インターネット」を許可すると、端末のすべての通信が VPN を通ります
有効期限 この日を過ぎると、メンバーは接続できなくなります。空欄の場合は無期限です

メンバーがいるグループは削除できません。

VPN ユーザー

VPN ユーザーは VPN 接続専用のユーザーです。管理画面にはログインできません。管理ユーザーとは別に作ります。

  1. 「REMOTE ACCESS VPN › VPN ユーザー」画面の下の欄に、ユーザー名・表示名（任意）・グループ・有効期限（任意）を入れ、「ユーザーを追加」を押します。
  2. 一覧でユーザーを押すと、詳細が開きます。ここでデバイスや VPN パスワードを登録します。
項目 説明
ユーザー名 英小文字・数字・_・.・- で 32 文字以内
グループ 許可する VPN 方式とアクセス許可先は、グループの設定が使われます。「グループなし（個別に設定）」の場合はユーザーごとに設定します
有効期限 この日を過ぎると接続できなくなります（その日の終わりまで使えます）。空欄の場合は無期限です
許可する VPN 方式／アクセス許可先 「グループの設定に従う」を外すと、このユーザーだけ別の値にできます。一覧には「個別設定あり」と出ます
デバイス WireGuard のピアと OpenVPN のクライアントの数です
  • 「無効にする」：ユーザーを残したまま接続を止めます。接続中なら切れます。「有効にする」で戻せます。
  • 「削除」：ユーザーと、そのピア・クライアントをすべて削除します。
  • 「状態」が「無効」のときは、かっこ内に理由（有効期限切れ、方式やアクセス許可先が未設定など）が出ます。

VPN パスワード

IKEv2 と L2TP/IPsec で使うパスワードです。WireGuard と OpenVPN は鍵と証明書を使うので不要です。管理画面のパスワードとは別のものです。

  • ユーザーの詳細の「VPN パスワード」で、8〜64 文字のパスワードを入れて「保存」するか、「自動生成」を押します。
  • 「表示」で現在のパスワードを確認できます。「削除」すると IKEv2・L2TP で接続できなくなります。
  • 空白・"・\ は使えません。

WireGuard

サーバーの設定

  1. 「REMOTE ACCESS VPN › WireGuard」画面で「有効にする」にチェックを入れます。
  2. 必要なら各項目を変えて「保存」し、適用します。
項目 説明
リッスンポート ピアからの接続を受け付ける UDP ポート。既定 51820
VPN のネットワーク ピアに割り当てるアドレスの範囲。ルーターは先頭（.1）を使います。既定 10.10.0.0/24
エンドポイント ピアが接続する宛先（ホスト名か IP アドレス）。OpenVPN・IKEv2 と共通です。空欄の場合は WAN の IPv4 アドレスを使います。例：vpn.example.com
MTU トンネル内の最大パケットサイズ。空欄の場合は 1380

右側の「ピアの接続状態」に、ピアごとの「最終ハンドシェイク」と通信量が出ます。

端末の追加

  1. VPN ユーザーの詳細の「WireGuard ピア」で、ピア名（例：iphone）を入れて「ピアを追加」を押します。
  2. 設定ファイルと QR コードが表示されます。
    • スマートフォン：WireGuard アプリで QR コードを読み取ります。
    • PC：「設定ファイルを保存」で .conf を保存し、WireGuard アプリにインポートします。
  3. あとから見るときは、ピアの行の「設定ファイル・QR コード」を押します。

設定ファイルにはデバイスの秘密鍵が含まれます。他人に見せないでください。端末 1 台ごとにピアを 1 つ作ります。

設定ファイルの経路（AllowedIPs）はアクセス許可先から作られます。アクセス許可先を変えたら、設定ファイルを端末に読み込み直してください。

OpenVPN

サーバーの設定

  1. 「REMOTE ACCESS VPN › OpenVPN」画面で「有効にする」にチェックを入れます。
  2. 必要なら各項目を変えて「保存」し、適用します。
項目 説明
プロトコル 通常は UDP。UDP が通らないネットワークから接続する場合は TCP にします（速度は落ちます）
ポート クライアントからの接続を受け付けるポート。既定 1194
VPN のネットワーク クライアントに割り当てるアドレスの範囲。既定 10.11.0.0/24
エンドポイント WireGuard と共通です

右側の「接続中のクライアント」に、接続元・接続開始・通信量が出ます。

端末の追加

  1. VPN ユーザーの詳細の「OpenVPN クライアント」で、クライアント名（例：laptop）を入れて「クライアントを追加」を押します。
  2. 「設定ファイルを保存」で .ovpn を保存し、OpenVPN Connect などのアプリに読み込みます。証明書と鍵はファイルに含まれています。

認証は証明書だけです（ユーザー名・パスワードは聞かれません）。ファイルは他人に渡さないでください。

IKEv2

iPhone・Mac・Windows の標準の VPN で接続できます。認証は VPN ユーザーのユーザー名と VPN パスワードです。

サーバーの設定

  1. 「REMOTE ACCESS VPN › IKEv2」画面で「有効にする」にチェックを入れ、「保存」して適用します。
  2. 適用すると「サーバー証明書」が作られます。
項目 説明
VPN のネットワーク 接続した端末に割り当てるアドレスの範囲。既定 10.12.0.0/24
エンドポイント WireGuard・OpenVPN と共通です。サーバー証明書に書かれるので、端末にはこの名前で設定します
サーバー証明書 ルーター内の CA が発行します。接続先の名前やアドレスが変わると作り直します
CA 証明書 「CA 証明書を保存」でダウンロードします。Windows・Android で使います

端末の設定

ユーザーには先に VPN パスワードを設定しておきます。

  • iPhone・iPad・Mac：VPN ユーザーの詳細で「構成プロファイルを保存」を押し、端末で開いてインストールします。CA 証明書と VPN の設定が入ります。「パスワードを含める」にチェックを入れると、接続時にパスワードを聞かれません。
  • Windows：CA 証明書を「ローカル コンピューター」の「信頼されたルート証明機関」に入れ、IKEv2 画面の「端末の設定」に表示される PowerShell のコマンドを実行します。例：
Add-VpnConnection -Name "FELIXXRT" -ServerAddress "vpn.example.com" -TunnelType Ikev2 -AuthenticationMethod Eap -EncryptionLevel Required
Set-VpnConnectionIPsecConfiguration -ConnectionName "FELIXXRT" -AuthenticationTransformConstants GCMAES256 -CipherTransformConstants GCMAES256 -EncryptionMethod GCMAES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -Force
  • Android：strongSwan アプリで「IKEv2 EAP（ユーザー名とパスワード）」を選び、CA 証明書を読み込みます。

接続中の端末は、右側の「接続中の端末」に出ます。

L2TP/IPsec

古い端末向けの VPN です。新しい端末では IKEv2 を使ってください。認証は事前共有鍵（全員共通）と、VPN ユーザーのユーザー名・VPN パスワードです。

  1. 「REMOTE ACCESS VPN › L2TP/IPsec」画面で「有効にする」にチェックを入れ、「保存」して適用します。
  2. 「事前共有鍵」に 8 文字以上の鍵を入れて「保存」するか、「自動生成」を押します。
  3. 端末で VPN の種類に「L2TP/IPsec（事前共有鍵）」を選び、サーバーにルーターのアドレス、事前共有鍵、ユーザー名と VPN パスワードを入力します。
項目 説明
VPN のネットワーク 接続した端末に割り当てるアドレスの範囲。既定 10.13.0.0/24
事前共有鍵 全員共通の鍵。空白・"・\ は使えません。変更すると、すべての端末で設定し直しが必要です

Android 12 以降では、L2TP/IPsec の接続を新しく作成できません。

拠点間 VPN →