【ITニュース解説】Setting up a home VPN server with WireGuard (2019)

外出先の公衆無線LANなど、安全性が確保されていないネットワークを利用する際に通信を暗号化したり、自宅のネットワーク内にあるファイルサーバーやIoT機器に安全にアクセスしたりするために、VPN（Virtual Private Network）という技術が広く使われている。VPNは、インターネット上に仮想的な専用線を構築し、安全な通信経路を確保する仕組みである。この記事では、WireGuardという比較的新しく、高速かつ設定が簡単なVPNプロトコルを用いて、自宅にVPNサーバーを構築する具体的な手順を解説する。

まず、VPNを実現するためのソフトウェアとしてWireGuardを紹介する。これまでVPNの構築にはOpenVPNやIPsecといった技術が主流であったが、これらは設定が複雑で、パフォーマンス面での課題もあった。一方、WireGuardは、より少ないコードで実装されており、設定がシンプルで理解しやすいという特徴を持つ。また、最新の暗号化技術を採用しており、高いセキュリティを確保しながらも、通信速度が非常に高速であるため、近年注目を集めている技術である。

VPNサーバーの構築は、まずサーバーとなるコンピューターにWireGuardをインストールすることから始まる。これはRaspberry Piのような小型コンピューターでも、一般的なLinuxサーバーでも構わない。インストール後、VPNの通信で最も重要な要素である「鍵」を生成する。WireGuardでは公開鍵暗号方式が用いられており、サーバーと、接続するクライアント（スマートフォンやノートPCなど）のそれぞれが、「秘密鍵」と「公開鍵」のペアを持つ。秘密鍵は誰にも知られてはならない自分だけの鍵であり、公開鍵は通信相手に渡すための鍵である。この鍵のペアを使って、お互いが正当な通信相手であることを認証し、通信を暗号化する。

サーバー側の設定は、主に一つの設定ファイルに記述していく。まず、サーバー自身の設定として、VPNネットワーク内で使用するプライベートIPアドレス、通信を待ち受けるためのポート番号、そして先ほど生成したサーバーの秘密鍵を指定する。次に、接続を許可するクライアントの情報を記述する。ここには、クライアントの公開鍵と、そのクライアントに割り当てるVPNネットワーク内のIPアドレスを指定する。これにより、サーバーは登録されたクライアントからの接続のみを受け付けるようになる。

さらに、サーバーが単にVPN接続を受け付けるだけでなく、その通信をインターネットへ中継するための設定が必要になる。これを実現するのがIPフォワーディングとNAT（Network Address Translation）である。OSの設定でIPフォワーディングを有効にすると、あるネットワークインターフェースから受け取ったパケットを別のインターフェースへ転送できるようになる。そして、ファイアウォールの設定（iptablesなど）を用いてNATを構成する。これにより、VPNクライアントから送られてきたプライベートIPアドレスを持つ通信パケットが、サーバーのグローバルIPアドレスを持つパケットに変換され、インターネットへと送り出される。この設定によって、クライアントはあたかも自宅のネットワークからインターネットに接続しているかのような状態になる。

次に、クライアント側の設定を行う。スマートフォンやPCにWireGuardのアプリケーションをインストールし、サーバーと同様にクライアント用の秘密鍵と公開鍵のペアを生成する。クライアントの設定ファイルには、VPNネットワーク内で自身が使用するIPアドレスと、クライアントの秘密鍵を記述する。そして、接続先であるサーバーの情報として、サーバーの公開鍵、サーバーのグローバルIPアドレスとポート番号（エンドポイント）を指定する。ここで重要なのが「AllowedIPs」という設定項目である。ここに「0.0.0.0/0」と設定すると、クライアントのすべてのインターネット通信がVPNサーバーを経由するようになる。これにより、外出先のWi-Fiを利用していても、通信は一度自宅のVPNサーバーを通ってからインターネットに出るため、通信経路全体が暗号化され、安全性が大幅に向上する。

最後に、構築したVPNサーバーに外部からアクセスできるように、自宅のルーターでポートフォワーディング設定を行う必要がある。これは、インターネット側から特定のポート番号（WireGuardが待ち受けているポート）へのアクセスがあった場合に、その通信をLAN内にあるVPNサーバーへ転送するための設定である。また、一般家庭のインターネット回線はグローバルIPアドレスが変動することが多いため、ダイナミックDNS（DDNS）サービスを利用することが推奨される。DDNSを使えば、IPアドレスが変わっても常に同じドメイン名でサーバーにアクセスできるようになり、利便性が向上する。

これらの手順を正しく行うことで、自宅に自分専用のVPNサーバーを構築できる。これにより、外出先からでも安全にインターネットを利用したり、自宅のネットワークリソースへリモートアクセスしたりすることが可能になる。WireGuardを用いたVPN構築は、セキュアなネットワーク環境を自ら構築する上で非常に価値のあるスキルと言える。