自宅VPNが外からつながらないとき、ポート開放の前に考えたい「家庭用IP」の話
Direct型の自宅VPNは技術的に構築できます。ただし、新たに自宅のPublic IPをInternet-facingなVPN Endpointにする前に、公開範囲、継続的な管理、外出先から残る通信先の情報を検討する必要があります。Home側から中継点へOutbound接続する構成も、その目的を実現する選択肢です。
自宅にWireGuardを入れた。
LANの中ではちゃんとつながる。
あとはルーターでポートを開放すれば、外出先からも自宅VPNへ接続できるはず。
ところが、なぜか外からつながらない。
「ポート開放の設定を間違えた？」
「Firewallの問題？」
そんなことを調べて、この記事にたどり着いたのかもしれません。
でも、設定を直してポートを開ける前に、ちょっと待ってください。
この記事は「WireGuardは危険」「Port Forwardは危険だから使うな」という話ではありません。
今から自宅VPNを作るなら、HomeをInternetから直接到達できるEndpointにする設計を、あえて選ぶ必要があるのか。
その話です。
いま、家庭用回線や家庭用IPをめぐって、こんな問題が起きていることを知っていますか？
家庭用IPが、第三者の通信経路として使われている
2026年1月、Google Threat Intelligence Group（GTIG）は、大規模なResidential Proxyネットワーク「IPIDEA」に対する措置を公表しました。
Residential Proxyとは、一般家庭などのISPから割り当てられたIPアドレスを経由してInternetへ通信するProxyです。
Googleによると、IPIDEAではConsumer DeviceがProxy Networkに参加すると、そのDeviceのネットワーク帯域とIPアドレスへのアクセスが顧客へ提供される仕組みになっていました。
さらに、2026年1月の7日間だけで、Googleが追跡する550を超える脅威グループがIPIDEAのExit IPを活動元の難読化に利用していたと報告しています。
参照: Google Threat Intelligence Group：IPIDEAへの措置（2026年1月28日）
つまり、家庭用回線は、
「普通の家庭だから、外部から見て価値がない」
とは言い切れません。
なぜ、わざわざ家庭用IPが使われるのか
Webサービスから見れば、すべてのIPアドレスが同じというわけではありません。
Countryだけでなく、ISPやASN、Hosting / Data Center系のネットワークなのか、VPNやProxyとして知られているIPなのか、といった情報がサービス側の判断材料になる場合があります。
Residential Proxyを利用すると、通信を一般家庭などのISP回線からInternetへ出すことができます。
つまり、
「自分のPCには重要なデータなんてない」
だけでは終わりません。
家庭用Internet回線そのものが、第三者に利用される可能性がある。
回線の分類やASNについては、Residential IPとData Center IPの仕組みで詳しく説明しています。
まず、この点を知っておく必要があります。
約36万9,000台がResidential Proxyとして販売された事例もある
これは仮定の話ではありません。
2026年3月、FBIはAVreconに関する調査結果を公表しました。
RouterやIoT機器が侵害され、その機器へのアクセスがResidential Proxyサービス「SocksEscort」を通じて販売されていた事例です。
FBIによると、対象は約163か国に広がり、2020年以降、約36万9,000台へのアクセスが販売されたとみられています。
参照: FBI：AVrecon Malware-Infected Routers Exploited as Residential Proxies by SocksEscort（2026年3月12日・PDF）
ここで、
「WireGuardのポートを開けると、この事例と同じことが起きる」
と言いたいわけではありません。
この事例と自宅WireGuardのPort Forwardは別の話です。
重要なのは、
「個人宅だから外部から利用価値がない」
とは考えない方がいい、ということです。
「自分の家なんて誰も見つけない」は通用しない
それでも、
「自宅VPNなんて自分しか使わない」
「IPアドレスを誰にも教えなければ分からない」
と思うかもしれません。
しかし、Internetでは公開されている機器やサービスを機械的に探索できます。
CISA（米国Cybersecurity and Infrastructure Security Agency）は、Internet Exposure Reduction Guidanceの中で、Internetからアクセス可能な資産を調査する方法としてShodan、Censys、Shadowserverなどを紹介しています。
参照: CISA：Internet Exposure Reduction Guidance
つまり、
「誰にも教えていない」＝「Internetから見つからない」
ではありません。
特定の家庭を最初から探している必要もありません。
Internet-facingなEndpointは、サービスの応答や公開情報などによって、機械的な探索で発見される可能性があります。
ただし、WireGuardは認証されていない通信に応答しない設計です。一般的なSSHやWebサービスと同じように、スキャンだけでWireGuardの存在を確認できるとは限りません。パケットが到達することと、サービスの存在を確認できることは別です。参照: WireGuard公式発表資料：Stealth（24ページ・PDF）
Internetへ公開すると、実際こうなる
検討する範囲はWireGuardの応答だけでなく、ルーターの管理画面や同じ機器の他サービスの公開設定、外出先から通信先として観測され得るHome Public IPにも及びます。Port Forwardでこれらがすべて公開されるわけではありませんが、公開範囲と管理対象を確認する例として、SSHの体験を紹介します。
以前、AWSにサーバーを立て、SSHをInternetから接続できる状態にしたことがあります。
まだ作って数時間程度のサーバーです。
ところがログを見ると、その後すでに北アフリカやヨーロッパなど、世界各地のIPアドレスからアクセスが飛んできていました。
むしろ重要なのは、
IPアドレスを誰かに教えなくても、Internetへ公開したサービスには外部からアクセスが来る
ということです。
ドメインを宣伝したわけでもありません。
サーバーの存在を公開したわけでもありません。
それでもアクセスは来ました。
Internetへ公開するとは、そういうことです。
自宅VPNでは、自分からHome Public IPへアクセスする
Direct型の自宅VPNには、もう一つ考えておきたいことがあります。
ホテル、カフェ、空港、Free Wi-Fiなどから利用するとき、自分自身が自宅のPublic IPへ直接VPN接続します。
Hotel / Free Wi-Fi
│
│ Encrypted VPN
│
│ Destination:
│ Home Public IP
▼
Internet
│
▼
Home Public IP
│
▼
WireGuard Server
WireGuard Tunnelの中身は暗号化されます。
しかし、パケットを自宅まで届けるには、外側の通信に宛先となるHome Public IPが必要です。
つまり、
通信内容が暗号化されることと、通信先となるIPアドレスまで見えなくなることは別です。
そのWi-Fiや上流ネットワークを観測できる主体からは、Home Public IP宛てに通信していることを確認できる場合があります。
「自分専用だから、Home Public IPを誰にも知られることはない」とは考えない方がいいでしょう。
「GeoIPなんて、せいぜい○○区まででしょ？」
ここで、
「IPアドレスが分かったところで、せいぜい○○区くらいまでしか分からないでしょ」
と思うかもしれません。
GeoIPはGPSではありません。
GeoIPサービスを提供するMaxMindも、IP Geolocationは特定の個人、家庭、番地を識別できるほど正確なものではないと説明しています。
一方で、GeoIPサービスではCountryだけでなく、Subdivision、City、Postal Area、推定位置とAccuracy Radiusなど、より細かな地域情報が提供される場合があります。
参照: MaxMind：IP Geolocation Accuracy、GeoIP / GeoLite APIの地域情報とAccuracy Radius
つまり、
「IPアドレスから正確な自宅住所が分かる」
という話ではありません。
反対に、
「せいぜい都道府県や○○区程度だから、何の情報にもならない」
とも言い切れません。
回線やDatabaseによって得られる地域情報の粒度と精度は異なります。
だから本当に考えるべきなのは、
GeoIP単体で自宅を特定できるかどうかではありません。
今は「IPアドレスだけ」の話ではない
ホテルやFree Wi-FiからDirect型の自宅VPNを利用すれば、その場所からHome Public IP宛ての通信が発生します。
そして現在の公共空間には、ネットワーク以外にもさまざまな記録があります。
ホテルやWi-Fiサービスには接続記録が残る場合があります。
ホテルなら利用者と滞在時間を関連付けられる場合もあります。
駅、空港、店舗、ホテルなどには監視カメラもあります。
一方、Home Public IPには、ISP、ASN、GeoIPなどの情報を関連付けられる場合があります。
これら一つ一つから、ただちに本人や自宅住所が判明するわけではありません。
しかし、それらを観測・照合できる主体であれば、
その場所・時間帯にいた利用者
↓
Wi-Fiなどの利用記録
↓
Home Public IPへの通信
↓
ISP / ASN / GeoIP
↓
地域情報
というように、複数の情報を関連付ける材料になり得ます。
場合によっては、その時間帯の監視カメラなど、現実世界側の記録と通信記録を関連付ける材料になる可能性もあります。
もちろん、自宅VPNを使っただけで、顔や氏名、正確な自宅住所が自動的に判明するという話ではありません。
しかし、
「GeoIPだけでは○○区までしか分からない」
で終わる話でもありません。
一つの情報だけで本人を特定できるかではなく、
複数の情報を組み合わせたとき、現実世界の利用者とHome Public IPを関連付ける材料がどれだけ残るか
という観点もあります。
監視カメラやさまざまなデジタル記録が増えた現在、
普段使っているHome Public IPを、公共のネットワークからDirect VPNの接続先として使い続ける必要があるのか
は、一度考えておくべきでしょう。
これも、今からHome Public IPへのDirect接続を前提とした自宅VPNを積極的には勧めない理由の一つです。
自宅VPNのために、その入口を本当に作る必要があるのか
Direct接続する自宅VPNは、一般的には次のようになります。
Remote
↓
Internet
↓
Home Public IP
↓
Router / Firewall
↓
WireGuard Server
↓
Home LAN
Port Forwardを設定すれば、それまでInternetから直接到達できなかったVPN Serverへ外部からパケットを届けられるようになります。
つまり、
Internet-facingなEndpointを自宅に一つ増やす
ということです。
そして管理対象はWireGuardだけではありません。
RouterのFirmware。
VPN ServerのOS。
Firewall。
同じ機器で動作しているSoftware。
それらの更新と設定。
Internet-facingなEndpointを維持するなら、こうした要素を継続的に管理する必要があります。
CISAもInternet Exposure Reduction Guidanceで、まずその資産をInternetからアクセス可能にする必要が本当にあるのか評価することを推奨しています。
これは、
「WireGuardが危険だから使うな」
という話ではありません。
もっと基本的な設計の話です。
必要のないInternet-facingな入口は、最初から増やさない。
では、自宅VPNについても同じように考えたらどうでしょうか。
「Port Forwardしなければ大丈夫」でもない
今回考えたいのは、Port Forwardという設定だけではありません。
UPnPによってPort Mappingを作る仕組みもあります。
P2P型のシステムでは、STUNなどを利用したNAT TraversalによってDirect通信を成立させるものもあります。
それぞれ技術的な仕組みは異なります。
そのため、
「Port Forward不要」＝「HomeへのDirect接続がない」
とは限りません。
重要なのは、
どうやって外から到達できるようにするか
ではなく、
HomeをInternetからDirectに到達するEndpointとして使う必要が、本当にあるのか
ということです。
そもそも、何をしたかったのか
なぜ自宅VPNを作ろうとしていたのでしょうか。
Port Forwardを成功させるためでしょうか。
Routerの設定をするためでしょうか。
おそらく違います。
外出先から自宅LANへアクセスしたい。
自宅NASや開発環境を使いたい。
海外から日本の家庭用回線をInternet Exitとして利用したい。
ホテルやFree Wi-Fiからでも、自宅の環境を使いたい。
欲しかったのは、そういう環境だったはずです。
だったら、問いを変えてみます。
その目的のために、本当にHome側でInboundを待ち受ける必要があるのでしょうか。
自宅VPNは欲しい。でも自宅へのInboundはいらない
発想を逆にします。
RemoteからHomeへDirect接続するのではなく、
Home側から外へVPN接続を確立します。
概念的にはこうです。
Cloud Hub
↑ ↑
│ │
Outbound │
│ │
Home Remote
Home側からCloud HubへOutbound接続しておけば、VPN接続のためにHome側でIPv4 Port Forwardを設定することを前提にする必要がありません。
IPv6 Inbound Ruleも前提にしません。
RemoteからHome Public IPv4へDirect接続することも前提にしません。
RemoteからHome Global IPv6へDirect接続することも前提にしません。
Home側はOutbound Only。
これは接続を開始する向きを指します。確立したVPN経路では双方向に通信し、Home LANへアクセスを許可する範囲や機器の更新管理は引き続き必要です。
自宅VPNを諦めるのではありません。
Internet → Homeという入口を作る前提をなくす
という考え方です。
HomeGrid VPNは、この考え方で作っている
HomeGrid VPNは、この考え方を採用したHub & Spoke型のVPNです。
公式サイト: HomeGrid VPN
Home側とRemote側はCloud Hubへ接続します。
Remote
↓
Cloud Hub
↓
Home
Home側ではCloud HubへのOutbound通信を利用します。
そのためVPN接続のためのIPv4 Port ForwardやIPv6 Inbound Rule、RemoteからHome Public IPへのDirect接続を前提にしていません。
ただし、Cloud HubもVPN経路上に存在する構成要素です。Cloud Hubの運営者である当社は接続元IPなどの接続情報を記録する方針であり、保有する情報について法令に基づく開示の求めに応じます。この構成が減らすのは、外出先のネットワークからHome Public IPがDirect VPNの通信先として見えることであり、運営者からの匿名性を提供するものではありません。
そして、
Cloud Hub ≠ Internet Exit
です。
HomeをInternet Exitとして使う場合は、
Remote
↓
Cloud Hub
↓
Home
↓
Residential ISP
↓
Internet
と通信します。
接続先のWebサービスから見える出口はCloud HubのData Center IPではなく、実際にInternetへ通信を出しているHome側のPublic IPです。
「自宅IPに偽装する」のではありません。
通信そのものが実際に自宅回線を通ってInternetへ出ます。
そしてRemoteはHome Public IPへDirect VPN接続するわけではありません。
つまり、自宅回線をInternet Exitとして利用しながら、
Home Public IPをRemote側のDirect VPN Endpointとして外出先から利用する必要がない
という構成です。
具体的な経路と運用条件は、HomeGrid VPNとは？自宅回線をVPNの出口にする仕組みを参照してください。
外からつながらなくて、むしろよかったかもしれない
WireGuardが外からつながらない。
Port Forwardがうまくいかない。
その原因を調べて、この記事にたどり着いたのかもしれません。
でも、設定を成功させる前に、
家庭用IPが第三者の通信経路として利用されている事例があること。
誰にもIPアドレスを教えていなくても、Internet-facingなEndpointは機械的に発見され得ること。
Direct型の自宅VPNでは、自分自身がホテルやFree Wi-FiなどからHome Public IPへ通信すること。
そのIPにはISP、ASN、GeoIPなどの情報を関連付けられる場合があること。
そして、公共の場所に残る通信記録や監視カメラなど別の情報も、現実世界の利用者とHome Public IPを関連付ける材料になり得ること。
そこまで知ったうえで、
「そもそも自宅をInternetからDirectに到達できるVPN Endpointにする必要があるのか？」
と考えてみてください。
自宅VPNを諦める必要はありません。
ただ、
「自宅VPNを作る = 自宅をInternetからDirectに到達できるようにする」
という前提まで受け入れる必要はありません。
今はもう、
「できるか、できないか」だけで自宅VPNの構成を決める時代ではない
と私たちは考えています。
目的を実現できるのであれば、Home側に必要のない入口を増やさない。
HomeGrid VPNは、その考え方から設計しています。
業務や委託先の保守接続について、公開入口とアクセス権を一つずつ見直す方法は、SOHO・小規模事業者でもできる「公開入口」の減らし方で説明しています。