ルーターで Windscribe を設定・使用する方法（OpenVPN WireGuard）
概要
ルーターに Windscribe をインストールすると、VPN プロファイルに割り当てたデバイス（スマートフォン、スマート TV、ゲーム機など）のインターネット通信が VPN 経由でルーティングされます。すべてのデバイスに適用するオプションがあるルーターでは、以下の例外を除き、ルーターによってはメインネットワーク上のほとんどのデバイスを保護できます。VPN アプリを直接実行できないデバイスには特に便利で、デバイスごとではなく一度だけ接続を設定すれば済みます。
注意：ルーター VPN は便利ですが、ネットワーク全体を隠してくれる魔法のマントではありません。ゲストネットワークやセカンダリアクセスポイント上のデバイス、同じルーター上のデバイス間を流れるローカル LAN 通信、ルーター自体のバックグラウンドサービス、独自の VPN やプロキシを別途使用しているデバイスの通信は、自動的にはトンネルを通りません。ルーターや構成設定によっては、IPv6 通信もトンネルを迂回する場合があります。
図 1：ルーターレベルのトンネルが保護する範囲と、漏えいテストで見落としやすい穴。
注：このガイドは標準（OEM）ファームウェアのみを対象としています。ルーターで DD-WRT、OpenWrt、Tomato/FreshTomato のいずれかを実行している場合は、Knowledge Base にある Windscribe のファームウェア別ガイドを参照してください。
GL.iNet に関する注記：GL.iNet の標準ファームウェアは OpenWrt をベースにしていますが、GL.iNet 独自のルーターインターフェースを使用します。GL.iNet の標準ファームウェアを使用している場合は、一般的な OpenWrt ガイドではなく、このガイドの GL.iNet 向け手順に従ってください。GL.iNet ルーターの管理画面には、一般に 192.168.8.1 が使用されます。
標準ファームウェアでの WireGuard® 対応は、一部の新しいモデルに限られます。パート 2 を始める前に、現在のルーターファームウェアにネイティブの WireGuard クライアント機能が含まれていることを確認してください。
図 2：VPN サーバーと VPN クライアントは逆の機能です。ルーターにどちらがあるかを確認することが、最初の重要な手順です。
前提条件
- Config Generator へのアクセスと構成ファイルのダウンロードに必要な、有料の Windscribe Pro または Build-A-Plan サブスクリプション
- 通常は
192.168.1.1または192.168.0.1にあるルーター管理画面へのアクセス - 通常は管理者パスワード。TP-Link Deco などのシステムでは、アプリまたはクラウドアカウントとなる場合もあるルーター管理者の認証情報
- Ethernet または Wi-Fi でルーターに接続したパソコンまたはスマートフォン
- 重要：ルーター構成では、Windscribe アプリの Firewall は利用できません。トンネルが切断され、ルーターにキルスイッチがない場合、何事もなかったかのように ISP 経由で通信が送信される可能性があります。ルーターの VPN クライアント設定で Block traffic if VPN disconnects または同等のキルスイッチオプションを探し、プライバシー保護をこの構成に任せる前に有効にしてください。標準ファームウェアを搭載したルーターの多くには、本格的なキルスイッチがありません。ルーターにキルスイッチがなく、障害時に通信を遮断する保護が必要な場合は、代わりに各デバイスで Windscribe アプリを使用してください。
図 3：各ベンダーの公式ドキュメントを基に確認した、標準ファームウェアでのキルスイッチの有無。
始める前に：管理画面のエクスポートまたはバックアップオプションを使用して、ルーターの現在の設定をバックアップしてください。問題が起きた場合にリモート接続を使わず VPN プロファイルを無効にしてインターネット接続を復元できるよう、すべての変更は Ethernet または Wi-Fi でルーターにローカル接続した状態で行ってください。
パート 1：OpenVPN の設定
手順 1：OpenVPN 構成ファイルをダウンロードする
- Windscribe OpenVPN Config Generator を開き、サインインします。
- ドロップダウンから Location / IP を選択します。
- Protocol を選択します。速度を重視する場合は UDP を推奨します。不安定な接続や制限のある接続では、TCP のほうが安定する場合があります。
- Port を選択します。わからない場合は 443 を使用してください。
- ルーターが対応している OpenVPN Version を選択します。わからない場合は、ジェネレーターの互換性ガイダンスとルーターのドキュメントを参照してください。
- Download Config をクリックし、
.ovpnファイルをパソコンに保存します。 - Get Credentials をクリックします。表示された OpenVPN のユーザー名とパスワードをコピーしてください。これらはメインの Windscribe アカウントへのログイン情報とは異なります。
手順 2：ルーターの管理画面にアクセスする
- ルーターに接続しているデバイスでブラウザを開きます。
- アドレスバーにルーターのゲートウェイ IP を入力します。一般的な例は
192.168.1.1、192.168.0.1、多くの GL.iNet ルーターでは192.168.8.1です。わからない場合は、ルーター底面のラベルを確認してください。 - ルーター管理者の認証情報でログインします。
手順 3：VPN クライアントセクションを探す
メニューの場所は、メーカーやファームウェアのバージョンによって異なります。以下はおおよその出発点であり、モデルによって異なる場合があります。
- ASUS: Advanced Settings > VPN > VPN Client。VPN Fusion 対応の新しいファームウェアでは、VPN > VPN Fusion > Add Profile > OpenVPN の場合もあります
- TP-Link Archer: Advanced > VPN Client
- GL.iNet: VPN > OpenVPN Client。ファームウェア 4.9 以降では、VPN > VPN Client Profile の場合もあります
図 4：三つの標準インターフェースにある VPN クライアントセクション。スクリーンショット：ASUS、TP-Link、GL.iNet。
重要：標準ファームウェアを搭載したルーターの多くは、VPN クライアントによる外向き接続に対応していません。標準ファームウェアを搭載した一般消費者向け Linksys ルーターの大半には、外向き VPN クライアントがありません。続行する前に、正確なモデルの機能一覧を確認してください。一般消費者向け Netgear Nighthawk および D-Link ルーターの多くは、自宅ネットワークへリモートアクセスするための VPN サーバー機能しか備えておらず、外部 VPN サービスへ外向きに接続できません。VPN Client セクションがない場合は、正確なモデルとハードウェアリビジョンが対応していれば DD-WRT または OpenWrt を導入するか、ネイティブの VPN クライアント機能を備えたルーターに交換してください。
手順 4：新しい OpenVPN プロファイルを追加する
- VPN Client セクションで Add Profile または同等のボタンをクリックします。
- VPN の種類として OpenVPN を選択します。
- Windscribe からダウンロードした
.ovpnファイルをインポートします。- 多くのインターフェースには、ファイルを直接アップロードするための Import または Browse ボタンがあります。
- 一部の古いインターフェースでは、
.ovpnファイルの内容全体をテキスト欄に貼り付ける必要があります。
- メインの Windscribe アカウントへのログイン情報ではなく、Config Generator で取得した Windscribe OpenVPN のユーザー名とパスワードを入力します。下の ASUS ベンダー例に表示されている
adminはインターフェースのサンプルデータであり、Windscribe の認証情報ではありません。
図 5：
.ovpnファイルのインポートと OpenVPN 認証情報欄の場所。ASUS のスクリーンショットにはベンダーのサンプル値が含まれています。生成された Windscribe OpenVPN 認証情報のみを使用してください。スクリーンショット：ASUS、TP-Link。 - プロファイルを保存または適用します。
手順 5：OpenVPN 接続を有効にする
- VPN Client の一覧で、作成したプロファイルを探します。
- Connect をクリックするか、トグルをオンにします。
- ステータスが Connected または Active に変わるまで待ちます。Connecting の状態では、トンネルはまだ動作していません。
図 6：三つの標準インターフェースでプロファイルの状態が表示される場所。ASUS は Connected、TP-Link は Connecting と表示し、GL.iNet は緑のステータス点を表示します。以下の説明に従い、クライアントデバイスから実際のトンネルを確認してください。スクリーンショット：ASUS、TP-Link、GL.iNet。
IPv6 に関する注記：ISP が IPv6 を提供している場合でも、標準ルーターファームウェア上の OpenVPN がそれに対応していると決めつけないでください。ルーターまたは WAN 設定で IPv6 を無効にするか、接続中に ISP の IPv6 アドレスが表示されないことを ipleak.net または test-ipv6.com で確認してください。
パート 2：WireGuard の設定
互換性の確認
標準ファームウェアで WireGuard クライアントに対応しているのは、一部のモデルのみです。モデルやファームウェアによって異なりますが、一般的な例は次のとおりです。
- ASUS:新しいファームウェアと VPN Fusion に対応する ASUS モデル。VPN Fusion の ASUS WireGuard VPN Client に関するサポート記事で、ご利用のモデルを確認してください。
- GL.iNet:現在販売されている GL.iNet モデルの大半は、標準ファームウェアで WireGuard クライアントに対応していますが、正確なモデルについて確認してください。
- TP-Link Archer:一部のモデルとファームウェアバージョンのみです。続行する前に、該当するモデルとハードウェアリビジョンのリリースノートで WireGuard クライアント対応を確認してください。
- TP-Link Deco:一部のモデルとファームウェアバージョンのみです。ルーターの Web 管理画面ではなく、Deco モバイルアプリで設定します。該当するモデルとハードウェアリビジョンのリリースノートで対応状況を確認してください。
続行する前に、ルーターのリリースノートまたはメーカーの機能一覧で対応状況を確認してください。
図 7：標準ファームウェアで WireGuard 対応が確認されている場所と、各ベンダーの公式一覧をどこまで信頼できるか。
手順 1：WireGuard 構成を生成する
- Windscribe WireGuard Config Generator を開き、サインインします。
- ドロップダウンから Location を選択します。
- Port を選択します。わからない場合は 443 を使用してください。WireGuard は UDP を使用するため、UDP をブロックまたは制限するネットワークでは、ポートに関係なく接続がブロックされる場合があります。
- Key Pair で New Key Pair を選択したままにするか、以前生成した既存のキーペアを選択します。
- Download Config をクリックし、
.confファイルを保存します。
このファイルには、秘密鍵、サーバーの公開鍵、事前共有鍵、エンドポイント、ルート、インターフェースアドレス、DNS 設定が含まれます。ファイルを共有したり、安全でない場所に保存したりしないでください。
手順 2：ルーターの管理画面またはアプリにアクセスする
- ASUS、TP-Link Archer、GL.iNet ルーターでは、パート 1 の手順 2 と同じブラウザベースの手順に従います。
- TP-Link Deco ルーターでは、スマートフォンで Deco アプリを開き、TP-Link アカウントにログインします。
手順 3：WireGuard クライアントセクションを探す
- ASUS（対応モデル）： VPN > VPN Fusion > Add Profile > WireGuard
- GL.iNet: VPN > WireGuard Client。ファームウェア 4.9 以降では、VPN > VPN Client Profile の場合もあります
- TP-Link Archer（対応モデル）： Advanced > VPN Client > WireGuard tab
- TP-Link Deco（Decoアプリの対応モデル）： More > Advanced > VPN Client > Add Profile > WireGuard の順に進み、構成をインポートします
メニューラベルは、モデルやファームウェアのバージョンによって異なる場合があります。
手順 4：WireGuard 構成をインポートする
- WireGuard クライアントセクションで Add Profile、Import、または同等のオプションをクリックし、Windscribe からダウンロードした
.confファイルをアップロードします。
図 8：Deco アプリを含む四つのインターフェースで WireGuard
.confをインポートする様子。TP-Link Archer の例に入力されている鍵とトンネルアドレスの値は伏せています。スクリーンショット：ASUS、TP-Link、GL.iNet。 - ほとんどのルーターでは、
.confファイルから各フィールドが自動的に入力されます。手動入力が必要な場合は、ダウンロードした構成の各値を正確に対応させてください。- Private Key:
PrivateKeyにあるクライアント鍵 - Address:
Addressにある生成済み IPv4 アドレスと、任意の IPv6 アドレス - DNS:
DNSにある生成済みの Windscribe DNS 値 - Public Key:
PublicKeyにある Windscribe サーバー鍵 - Preshared Key:
PresharedKeyにある独立した必須の値 - Allowed IPs:
AllowedIPsの値全体を、生成されたとおり正確に維持します。ルートを追加、削除、限定しないでください。 - Endpoint:
Endpointにあるサーバーアドレスとポート
図 9：ファイルをインポートできないルーターで入力を求められるフィールド。生成されたすべての鍵とルートを、提供されたとおり正確に維持してください。
ルーターが IPv6 アドレスまたは MTU 行を拒否する場合は、該当するファームウェアのドキュメントで非対応と明記されているフィールドだけを削除してください。
PresharedKeyを削除したり、AllowedIPsを変更したりしないでください。IPv6 フィールドを削除した場合は、ルーターまたは WAN レベルで IPv6 を無効にし、ISP の IPv6 アドレスが表示されないことを ipleak.net で確認してください。 - Private Key:
- 構成を保存します。
手順 5：WireGuard 接続を有効にする
- インポートしたプロファイルを選択します。
- Connect をクリックするか、トグルをオンにします。
- ステータス表示が Connected または Active になるまで待ちます。
デバイスの割り当て
ルーターによっては、各 VPN プロファイルを使用するデバイスを選択できます。デバイス割り当て、VPN Fusion、ポリシールーティング、または apply to clients オプションがある場合は、接続を確認する前に、Windscribe 経由でルーティングするすべてのデバイスにプロファイルが適用されていることを確認してください。
接続を確認する
いずれかのプロトコルを有効にしたら、ルーター配下のデバイスからトンネルを確認します。
- Windscribe の What Is My IP ページまたは ipleak.net を開きます。公開アドレスが通常の ISP アドレスではなく、VPN の出口アドレスであることを確認してください。位置情報ラベルはデータベースによって異なるため、都市名だけでは証明になりません。
- ipleak.net で DNS を確認します。想定される結果は Windscribe の DNS です。VPN の出口とは異なる IP や都市ラベルが使用される場合があります。ISP のリゾルバーや予期しないサードパーティーのリゾルバーが表示された場合は、確認が必要です。
- IPv6 は個別に確認します。安全にトンネルされた VPN の IPv6 アドレスであれば問題ありません。ISP から割り当てられた IPv6 アドレスが表示される場合は漏えいです。ルーターが生成済みの IPv6 ルートをトンネルできない場合は、ルーターまたは WAN で IPv6 を無効にして再度テストしてください。
ISP のアドレスや予期しない DNS リゾルバーがまだ表示される場合は、VPN プロファイルを切断してから再接続し、もう一度確認してください。問題が続く場合は、構成に入力ミスがないか確認してください。
図 10：三つの確認項目。DNS の結果が VPN の出口と異なって見えても、漏えいとは限らない点も含みます。
トラブルシューティング
接続を確立できない場合：
- メインの Windscribe アカウントへのログイン情報ではなく、Config Generator で取得した Windscribe OpenVPN のユーザー名とパスワードを使用していることを確認してください。
- OpenVPN では、プロトコルの切り替えを試してください。UDP ではなく TCP、または TCP ではなく UDP を指定して、新しい構成をダウンロードします。
- WireGuard では、
Endpointフィールドに表示されているポートを確認します。WireGuard は UDP 専用のため、制限のあるネットワークではポートに関係なくブロックまたは速度制限される場合があります。443 が動作しない場合は、別の利用可能なポートで構成を再生成してください。そのネットワークですべての UDP ポートが動作しない場合は、OpenVPN over TCP を使用してください。
一部のデバイスが VPN を迂回しているように見える場合：
- すべてのデバイスに適用するオプションに対応するルーターでは、通常、メインネットワーク上のデバイスはトンネル経由でルーティングされます。ただし、前述のゲストネットワーク、セカンダリアクセスポイント、デバイスレベルの VPN やプロキシ、ハードコードされた DNS、ルーターがトンネルしない IPv6 通信は例外です。一部の ASUS や TP-Link モデルなど、VPN Fusion やデバイスレベルの割り当てに対応するルーターでは、各デバイスを VPN プロファイルに明示的に割り当てる必要があります。
速度が想定より大幅に遅い場合：
- 現在地に地理的に近い Windscribe サーバーを選択してください。
- OpenVPN では、まだ試していなければ TCP から UDP に切り替えてください。
- 同じルーターハードウェアでは通常、WireGuard のほうが OpenVPN より高いパフォーマンスを発揮します。ただし実際の速度は、ルーターの CPU、ファームウェア、VPN アクセラレーションの有無に大きく左右されます。
OpenVPN で TLS、証明書、認証のエラーが発生する場合：
- ルーターの日付と時刻が正しく設定されていることを確認してください。ルーターの時計が間違っていると、VPN ハンドシェイクに失敗する場合があります。ほとんどのルーター管理画面では、Administration または Advanced Settings に時刻や NTP の設定ページがあります。
一定時間操作しないと VPN トンネルが切断される場合：
- ルーターによっては、アイドル状態の VPN セッションを切断します。VPN クライアント設定で Keep Alive または Reconnect on Disconnect オプションを探し、ご利用のファームウェアにある場合は有効にしてください。
- WireGuard では、永続的キープアライブを 25 秒に設定すると、NAT タイムアウトを防げることがよくあります。このフィールドは、ルーターの WireGuard ピア構成に表示される場合があります。
トンネルは接続されるものの、Web サイトが応答しない、または大きなページを読み込めない場合：
- VPN の MTU をデフォルト値から少しずつ下げてみてください。ルーターにこの設定がある場合、トラブルシューティングでよく使われる値は OpenVPN で 1400 前後、WireGuard で 1380 前後です。標準ファームウェアによっては設定できません。
このルーターが ISP ゲートウェイまたは別のルーターの配下にある場合：
- VPN クライアントが保護するのは、このルーターをゲートウェイとして使用するデバイスだけです。ISP ゲートウェイも Wi-Fi を送信している場合、その Wi-Fi に接続したデバイスは Windscribe ルーターの VPN を使用しません。保護するデバイスを Windscribe ルーターに接続するか、対応していれば ISP ゲートウェイをブリッジモードまたはモデム専用モードにしてください。
ルーターの管理メニューがこのガイドと異なる場合：
- オプションの名前や場所は、モデルやファームウェアのバージョンによって異なります。正確なルーターモデルとファームウェアバージョンを確認のうえ、Windscribe Help Center を参照してください。
ルーターレベルでの Windscribe 機能に関する注意事項
- Split Tunneling:標準ルーターファームウェア上で VPN を実行する場合、Windscribe アプリの Split Tunneling は利用できません。ルーターのポリシールーティングやデバイス単位の割り当てによって、同様のルーティング制御ができる場合があります。Windscribe のアプリ単位の Split Tunneling を使用するには、デバイスに Windscribe アプリを直接インストールしてください。
- Firewall protection:Windscribe アプリの Firewall は、ルーターレベルの構成には引き継がれません。ルーター独自のキルスイッチがある場合は、有効にしてテストしてください。VPN を切断し、ISP にフォールバックするのではなく通信がブロックされることを確認します。
- R.O.B.E.R.T.:R.O.B.E.R.T. が DNS リクエストをフィルタリングできるのは、リクエストが VPN トンネル経由で Windscribe DNS を通る場合のみです。DNS がハードコードされたデバイスや DNS over HTTPS を使用するデバイスは、ルーターの DNS を迂回する場合があります。
- Static IPs:Static IP はルーター構成でも使用できます。購入には対象の有料プランが必要です。Build-A-Plan では、Unlimited Bandwidth and R.O.B.E.R.T. アドオンも必要です。Static IP は年間アドオンです。購入後、Config Generator に戻り、Static IP のロケーションを選択して、対応する OpenVPN または WireGuard 構成を生成してください。
図 11：ルーター構成に引き継がれる Windscribe 機能と、アプリ専用のままの機能。
よくある質問
ルーターに VPN を設定するには、有料の Windscribe アカウントが必要ですか？
設定全体をやり直さずに、サーバーのロケーションを変更できますか？
VPN を使うとインターネット接続は遅くなりますか？
ルーターに接続するデバイスに Windscribe アプリをインストールする必要はありますか？
ルーターが VPN クライアントモードに対応していない場合はどうすればよいですか？
Windscribe のプラン & 料金
ルーターでの設定には、有料の Windscribe プランが必要です。Pro では、Windscribe のすべてのロケーション用構成を利用できます。Build-A-Plan では、プランに含まれるロケーション用構成のみを利用できます。現在のプラン詳細と料金については、Windscribe のアップグレードページをご覧ください。
「WireGuard」は Jason A. Donenfeld の登録商標です。Windscribe のオープンソースソフトウェアの帰属表示をご覧ください。