このガイドでは、DD-WRTファームウェアを実行するルーターにWindscribeの'OpenVPNクライアント'を設定する方法を説明します。ポリシーベースルーティングによるバイパスがなく、IPv6が正しく処理されている場合、OpenVPNトンネルの接続中は、そのルーターを介してインターネットにアクセスするすべてのデバイスの通信がVPNトンネルを経由します。
アプリ機能に関する注意：ルーターへの手動設定では、Windscribeの'公式アプリ'で利用できるすべての機能は使用できません。この設定では、アプリレベルのファイアウォール制御、プロトコルの自動フェイルオーバー、アプリによるリーク保護は利用できません。リーク防止は、パート4で説明するように手動で対応する必要があります。
所要時間の目安：15～30分。
設定中はルーターに有線接続してください。VPN設定を変更すると、Wi-Fiが一時的に切断されることがあります。
ファームウェアに関する注意：必ず、お使いのルーターの正確なモデル専用にコンパイルされたDD-WRTビルドを使用してください。誤ったビルドをインストールすると、ルーターが応答しなくなる可能性があります。設定中に接続できなくなった場合に備えて、開始前にデバイスを工場出荷時の状態にリセットする方法を確認してください。
OpenVPNは、TLSを使用してクライアントデバイスとVPNサーバー間の通信を暗号化する、実績のあるオープンソースVPNプロトコルです。Windscribeの有料プランでは、OpenVPN Config Generatorを使用してOpenVPNプロファイルを手動設定できます。現在のジェネレーターでは、一つの.ovpnプロファイルをダウンロードし、OpenVPNの認証情報を別途取得します。DD-WRTを手動設定するには、そのプロファイルの内容をルーターの管理パネルに対応付ける必要があります。
Windscribe-Location.ovpnのような名前のファイルが一つ保存されます。
ダウンロードした.ovpnファイルをプレーンテキストエディターで開きます。DD-WRTでは、ファイル内の値と埋め込みブロックを使用します。
remote行には、サーバーのホスト名とポートが記載されています：remote [hostname] [port]。
proto行には、トンネルプロトコルが記載されています。dev、cipherまたはdata-ciphers、auth、圧縮、証明書検証、MTU、MSSの各ディレクティブを確認します。別のガイドのサンプル値を使わず、この生成されたプロファイルにDD-WRTの各フィールドを合わせてください。<ca>ブロックを探します。<ca>と</ca>の間にある証明書の内容を、DD-WRTのCA Certフィールドにコピーします。
<tls-auth>ブロックを探します。その内容をTLS Auth Keyにコピーし、DD-WRTビルドに該当する設定が表示される場合は、プロファイルのキー方向を維持します。
Windscribeでは、メインアカウントのログイン情報とは別にOpenVPN専用の認証情報が生成されます。
図1：現在のOpenVPNジェネレーターでは一つのプロファイルが生成され、認証情報は別途取得します。この図は、DD-WRTで必要となるプロファイルの値とブロックを示しています。
有効にする前に：Administration > Backupに移動し、現在のDD-WRT設定のコピーを保存します。VPN設定によって接続できなくなった場合は、ルーターをリセットするか再びアクセスできるようになった後に、このバックアップから復元できます。
Start OpenVPN ClientをEnableに設定します。下に追加の設定フィールドが表示されます。
パート1のステップ3の.ovpnファイルからコピーした値と、パート1のステップ4で取得したOpenVPN認証情報を使用します。
DD-WRTのフィールド名はビルドによって異なります。 条件付きフィールドは、生成されたプロファイルとお使いの正確なルータービルドに合わせてください。フィールドがない場合は、代替フィールドを推測したり、別のプロファイルからサンプル値をコピーしたりしないでください。
devディレクティブに合わせます。現在のWindscribeルータープロファイルでは、ルーティング型のTUNデバイスを使用します。
cipher、data-ciphers、およびフォールバック用ディレクティブに合わせます。一つのアルゴリズムがすべてのOpenVPNバージョンに適用されると決めつけないでください。
authディレクティブに合わせます。
古いビルド：User Pass Authenticationを有効にしてもUsernameとPasswordフィールドが表示されないDD-WRTビルドの場合は、お使いの正確なモデルとリビジョンに対応し、OpenVPNのユーザー名とパスワードのフィールドを備えたDD-WRTビルドを使用してください。認証フィールドを空欄にすると、接続時に認証できません。
Advanced OptionsをEnableに設定します。これにより、すべての設定フィールドが表示されます。
tls-cipherまたはtls-ciphersuitesディレクティブがある場合は、それに合わせます。それ以外の場合は、DD-WRTビルドのデフォルト値を使用します。
compressまたはcomp-lzoが記載されている場合にのみ、それに合わせます。それ以外の場合は、圧縮を無効のままにします。
tun-mtuが指定されている場合は、それに合わせます。それ以外の場合はビルドのデフォルト値を使用し、パスMTUの問題をテストで確認した場合にのみ変更します。
fragmentが記載されている場合にのみ合わせ、それ以外の場合は空欄のままにします。
mssfixが記載されている場合は、それに合わせます。MTUまたはフラグメンテーションの問題をテストで確認した場合にのみ変更します。
remote-cert-tls、verify-x509-name、または従来のns-cert-type要件を維持します。
Additional Configは、生成された.ovpn内にあり、対応するDD-WRTフィールドがないディレクティブにのみ使用します。
reneg-sec 432000は追加しないでください。現在のWindscribeジェネレーターでは、このディレクティブを意図的にダウンロードプロファイルから削除しています。
スクリーンショットや古いガイドからサンプルブロック全体を貼り付けないでください。ディレクティブを安全に対応付けられない場合は、フィールドを変更せず、生成されたプロファイルとお使いの正確なDD-WRTビルドを照合してください。
.ovpnファイル内で、<ca>ブロックを探します。
<ca>と</ca>の間にある証明書の内容だけをコピーします。完全な-----BEGIN CERTIFICATE-----行と-----END CERTIFICATE-----行も含めてください。
.ovpnファイル内で、<tls-auth>ブロックを探します。
<tls-auth>と</tls-auth>の間にある静的キーの内容をすべてコピーします。ファイル内の実際のヘッダー行とフッター行も含めてください。
key-directionまたは<tls-auth>タグの方向値を維持します。
Public Client CertとPrivate Client Keyは、生成された.ovpnに<cert>または<key>ブロックが含まれていない限り、空欄のままにします。現在のユーザー名とパスワードを使用するWindscribeプロファイルでは、クライアントごとの証明書フィールドは必要ありません。
図2：このガイドで使用するOpenVPN Clientのフィールドです。緑色の値はプロファイルまたは認証情報から取得します。条件付きフィールドは、生成されたファイルとお使いの正確なDD-WRTビルドに合わせる必要があります。
ページ下部のSaveをクリックし、続いてApply Settingsをクリックします。通常、ルーターが変更を適用して接続を試みるまで約30～60秒かかります。
VPNを手動設定しても、すべてのリーク経路が自動的にブロックされるわけではありません。プライバシー保護をこの設定に委ねる前に、以下の両方の手順を完了してください。
キルスイッチなし： このガイドでは、ルーターレベルのキルスイッチは追加しません。別途テスト済みのフェイルクローズ型ファイアウォールとルーティングルールがない場合、一般的なデフォルトルートのDD-WRT設定では、OpenVPNトンネルが切断されると通信が通常のWANに戻る可能性があります。DNS設定だけでは、このフォールバックを防げません。
図3：この設定でトンネルが切断された場合の障害モードです。別途テスト済みのフェイルクローズ型ルールがないと、通信が通常のWANに戻り、ISP側のIPが露出する可能性があります。
想定外のリゾルバーが表示された場合は、DNS経路を修正して再テストするまで、この設定に依存しないでください。
現在のOpenVPNジェネレーターによると、一部の一般家庭用ルーターでは、サーバーからプッシュされたDNSを受け付けません。お使いのDD-WRTビルドが該当する場合は、次のようにWindscribe DNSを手動で設定してください。これによりDNSリークは減少しますが、通信のキルスイッチにはなりません。
10.255.255.1に設定します。これはWindscribeの内部アドレスで、Windscribeへの接続中のみ機能します。
生成されたプロファイルとDD-WRTビルドがIPv6をトンネル経由でルーティングすることを明示的に確認していない限り、このOpenVPNルーター設定はIPv4専用として扱ってください。公式WindscribeアプリのIPv6自動処理によってDD-WRTが設定されることはありません。
fe80::/10のようなリンクローカルアドレスは、インターネット上でルーティングできません。
IPv6が必要な場合は、お使いの正確なDD-WRTビルドで、生成されたIPv6ルート、DNS経路、トンネル切断時の動作を確認するまで、この設定に依存しないでください。
図4：トンネルステータス、パブリックIP、DNS、IPv6を個別に確認する四つの項目です。一つに合格しても、他も安全であることの証明にはなりません。
接続とリークの確認に合格したら、この設定に依存する前に意図的にトンネルを停止し、想定したフェイルクローズまたはWANへのフォールバック動作になることを確認してください。
.ovpnプロファイルを生成します。
remote、proto、cipher/auth、証明書検証、<ca>、<tls-auth>の各値を確認します。
<ca>ブロックと<tls-auth>ブロックの内容が、行を欠くことなくすべてコピーされていることを確認します。TLSキーの方向を維持してください。
10.255.255.1に設定します。このDNS設定をキルスイッチとして扱わないでください。
お使いのDD-WRTビルドがWireGuardに対応している場合、低性能のルーターではOpenVPNより高いパフォーマンスを発揮できることがあります。Setup > Tunnelsを探してください。見当たらない場合、そのビルドにはWireGuardが含まれていません。設定手順については、Windscribeの推奨DD-WRT WireGuardガイドをご覧ください。
はい。ルーター用プロファイルを手動で設定するには、ProまたはBuild-A-Planサブスクリプションが必要です。Build-A-Planでプロファイルを生成できるのは、プランに含まれるロケーションのみです。FreeプランにはOpenVPN設定ジェネレーターが含まれていません。
OpenVPNトンネルが有効な間、このルーターをインターネットゲートウェイとして使用するデバイスが対象になります。ただし、別のルーター、VPNアプリ、ゲストネットワーク、VLAN、またはポリシーベースルーティングルールによって別の経路に送られるデバイスは対象外です。テスト済みのフェイルクローズ型ルールがない場合、トンネルが切断されると通信が通常のWANに戻る可能性があります。
いいえ。公式アプリには、Windscribe Firewall、プロトコルの自動フェイルオーバー、IPv6の自動処理が含まれています。ルーター用プロファイルを手動で設定しても、これらのアプリ機能は設定されません。R.O.B.E.R.T.のフィルタリングは、アカウントと、ルーターが実際にWindscribe DNSを使用しているかどうかによって異なります。使用していると決めつけず、DNS経路を確認してください。
別途テスト済みのフェイルクローズ型ファイアウォールとルーティングルールがない場合、一般的なデフォルトルートのDD-WRT設定では、通信が通常のWANに戻る可能性があります。アプリケーションの通信には引き続きHTTPSなどの暗号化が使用される場合がありますが、VPNトンネルでは保護されなくなり、ISP側のIPが露出する可能性があります。
生成されたプロファイルとお使いの正確なDD-WRTビルドがIPv6をトンネル経由で明示的にルーティングし、IPv6、DNS、トンネル切断の各テストに合格しない限り、IPv4専用として扱ってください。それ以外の場合は、パート4のステップ2の説明に従ってIPv6を無効にしてください。
はい。OpenVPN Config Generatorで、Location / IPからお使いのStatic IPを選択します。求められた場合は、認証情報を取得する前に正しいStatic IPデバイスを選択してください。
古いCPUや低性能のCPUを搭載したルーターでは正常です。OpenVPNの暗号化はCPUに大きな負荷をかけます。お使いのDD-WRTビルドがWireGuardに対応している場合、WireGuardはハードウェアへの負荷が大幅に軽くなります。
はい。ただし、新しい.ovpnプロファイルを生成し、関連するすべての値と埋め込みブロックを比較してください。ホスト名、ポート、プロトコルだけを変更すれば十分だと決めつけないでください。
ルーター用プロファイルを手動で設定するには、ProまたはBuild-A-Planサブスクリプションが必要です。Build-A-Planでプロファイルを生成できるのは、プランに含まれるロケーションのみです。
設定済みなのに、まだ何かが動作しませんか？RedditとDiscordのWindscribeコミュニティでは、存在するほぼあらゆるルーター設定の問題が話題になっています。