HomeGrid VPN ガイド（HomeGrid VPN ガイド）

← ブログの一覧コラム

Macから自宅のNASにアクセスするには？ 外出先から安全につなぐ方法

公開 更新

旅行かばんとノートPCから雲を経て、自宅のNASへ緑の線がつながるイラスト

Macから自宅LANへ届くVPN経路を用意すれば、外出先でもFinderからNASの共有フォルダを開けます。 macOSは標準でSMB 3に対応しています。VPNの経路とアクセス許可を整えることで、NASのSMBポートをインターネットへ公開せずに接続できます。

自宅では smb://192.168.1.100 で開けたNASが、カフェやホテルでは接続エラーになる。これはNASやMacの故障とは限りません。自宅LAN内のNASへ、外部ネットワークから通信する経路がないためです。

この記事では、まず自宅でのSMB接続を確認し、次にVPN経由で使う手順を説明します。IPアドレスとサブネットはすべて架空の例です。自分の環境の値に置き換えてください。

1. 自宅ではアクセスできるNASが、外出先では見えない理由

NASは通常、自宅LAN内のプライベートIPアドレスを使っています。例えば、MacBookが 192.168.1.20、NASが 192.168.1.100、ルーターが 192.168.1.1 という構成です。

自宅のWi-FiにつながるMacBookなら、NASのIPアドレスを指定してアクセスできます。しかし、ホテルやカフェではMacBookは別のネットワークに所属します。プライベートIPアドレスは、そのままインターネットを経由して自宅まで到達できるアドレスではありません。

重要なのは、Finderの操作を変えることではなく、NASへ通信できる経路を用意することです。

2. macOSのFinderはSMB 3に対応している

MacからNASへアクセスする際によく使うのがSMB（Server Message Block）です。Windowsのファイル共有でも使われますが、macOSも標準で対応しています。

macOSはSMB 2.xやSMB 3.xを利用でき、SMB 3対応のNASとも接続できます。一般的なSMB対応NASなら、専用のファイル転送アプリを追加せずFinderから共有を開けます。Apple公式：macOSのSMB 3接続について

FinderからNASへ接続する

まず、自宅LANに接続した状態で確認します。

  1. Finderを開きます。
  2. 「移動」→「サーバへ接続」を選びます。ショートカットは Command + K です。
  3. サーバアドレスに smb://192.168.1.100 を入力して接続します。共有フォルダまで指定する場合は smb://192.168.1.100/share です。
  4. NASのユーザー名とパスワードで認証し、共有フォルダを開きます。

ファイルの参照・コピー・保存など、実行できる操作はNAS側のアクセス権限で決まります。Apple公式：Macのキーボードショートカット、サーバアドレスの入力方法

実際のSMBバージョンを確認する

実際に使うSMBバージョンは、MacとNASのネゴシエーションで決まります。Finderで共有を開いたあと、ターミナルで確認します。

smbutil statshares -a

SMB_VERSION が接続中の共有で使うバージョンです。例えば SMB_3.1.1 なら、その接続ではSMB 3.1.1を使っています。-a はマウント済みの全共有を表示する指定で、未接続のNASを探索するコマンドではありません。Apple公開ソース：smbutilのマニュアル

SMB 3には暗号化機能がありますが、SMB 3で接続しただけで必ず暗号化されるわけではありません。 NAS側の対応・設定や接続の条件も確認してください。

3. 外出先からNASにアクセスするには通信経路が必要

VPNは、Macから自宅LANへ通信する経路を作る方法の一つです。適切にルーティングされていれば、VPN接続後もFinderへ smb://192.168.1.100 と入力して共有を開けます。

ただし、VPN接続の成立と、NASへの到達は別です。 VPN側のルーティングとアクセス制御、NASのファイアウォール、応答がMacまで戻る経路も成立している必要があります。

SMBをインターネットへ直接公開しない

SMBでは一般的にTCP 445番を使います。外出先から使うために、このポートをルーターで転送したり、IPv6のインターネット側から許可したりしないでください。認証への攻撃や脆弱性を狙うアクセスにさらすことになります。

VPN経由でNASへアクセスする構成なら、SMBをインターネットへ直接公開する必要はありません。Microsoft公式：インターネット境界でのSMB通信の遮断

4. 自宅回線によってはVPNのポート開放ができない

自宅のWireGuardサーバーへ外部から直接接続する従来型の構成では、到達可能なPublic IPv4とルーターのUDPポート転送を使います。しかし、家庭用回線では条件がそろわない場合があります。

  • CGNATやマンション側の上位ルーター：利用者が上位側の転送設定を変更できないことがあります。
  • MAP-E：利用可能なIPv4ポートが割り当て範囲に制限され、ルーター側の対応も必要です。
  • DS-Lite：一般的な契約では、利用者がIPv4の着信ポート転送を設定できません。
  • 二重NAT：到達可能なPublic IPv4があっても、複数段のルーターで設定が必要になる場合があります。

これらは「VPNが使えない」という意味ではなく、外部から自宅へ直接接続する構成が回線条件に制約されるという問題です。IPv6 Directにも、自宅側のFirewall許可と接続元のIPv6接続性が必要です。詳しい条件は自宅VPNのポート開放の前に考えたいことで説明しています。

5. HomeGrid VPNは自宅側のポート開放を前提にしない

HomeGrid VPNは、外出先の端末と自宅のGridが、それぞれCloud Hubへ接続するHub & Spoke型です。自宅GridからOutbound通信で接続を開始するため、原則として自宅ルーターのIPv4ポート転送、IPv6 Inbound許可、DDNSを前提にしません。

接続後の経路では双方向に通信します。Outboundは接続の開始方向を表し、利用するネットワークでCloud Hubへの外向きのVPN通信が許可されている必要があります。

macOS版クライアントも公開されています。専用アプリの対象はmacOS 15以降・Appleシリコン（M1以降）搭載Macです。Intel Macなどでは、対応環境を確認したうえでWireGuard公式アプリを利用できます。

MacからNASまでの通信経路

Macから自宅NASまでの通信経路 NASへの通信はMac、Cloud Hub、自宅Grid、NASの順に進み、応答は逆方向に戻ります。下段は接続開始方向で、MacとGridがそれぞれCloud HubへOutbound接続します。 自宅LAN 外出先のMac Cloud Hub 自宅Grid NAS 上段：NASへ向かう通信（応答は逆方向） Mac Cloud Hub Grid 下段：VPN接続の開始方向（Outbound）
NASへの通信はCloud HubとGridを経由します。接続はMacとGridのそれぞれからCloud Hubへ開始します。

MacとGridはそれぞれCloud HubへVPN接続を開始します。NASの応答は逆方向へ戻ります。NASは自宅でSMB共有を提供するままで、NAS自体にVPNソフトを追加する必要はありません。ただし、GridからNASへの到達性と戻り経路が必要です。

Cloud HubはVPN通信の中継点で、NASのファイル保存先ではありません。また、Cloud HubとInternet Exitは別の役割です。自宅GridをInternet Exitにしたインターネット通信は、自宅ISP回線から出ます。NASへのアクセスは、自宅LAN内の共有への通信です。

Cloud Hubも経路上の構成要素なので、その運用と可用性を含めて信頼境界を考えます。構成の説明はHomeGrid VPNの通信経路を参照してください。

6. macOSから自宅NASへ接続する手順

STEP 1：自宅側にGridを用意する

ISOを使う場合の基本フローは、ダッシュボードからISOをダウンロードし、USB起動メディアを作成して、用意したPCをUSB起動し、自動インストール後にTokenで有効化して自宅LANへ接続する、という流れです。所要時間はUSB作成や機器・回線条件で変わります。

Gridは常時稼働させ、ダッシュボードで接続状態とNASが属するLANの登録を確認します。導入方法の選択と詳しい操作はGridを追加するガイドで確認してください。

STEP 2：Macを登録し、LAN ACLで許可できる状態にする

Macの登録が先に必要です。公式ダウンロードページのmacOS欄で要件を確認し、次の順に進めます。

  1. .dmg をダウンロードして開き、HomeGrid VPNを「アプリケーション」フォルダへドラッグします。
  2. dmgの窓ではなく「アプリケーション」フォルダからアプリを起動します。
  3. 初回は画面の案内に従い、システム設定でネットワーク拡張を許可します。Macの管理者パスワードが必要です。VPN構成の追加も許可します。
  4. ダッシュボードで「+ Spoke を追加 (QR コード)」を押して端末登録を始め、「HomeGrid VPNアプリで登録」で発行したアクティベーショントークンをアプリに入力し、有効化します。
  5. ダッシュボードの「登録済みデバイス」に、対象Macが表示されることを確認します。

トークンや接続設定は他人へ渡さないでください。Intel MacなどでWireGuard公式アプリを使う場合の登録方法は端末登録ガイドの設定ファイル方式を参照してください。

STEP 3：LAN ACLでNASがあるLANへのアクセスを許可する

HomeGrid VPNは、VPNに接続しただけでは自宅LANへのアクセスを許可しません。 LAN ACLはデフォルト拒否（Default Deny）です。Finderを開く前に、登録したMacへの明示的な許可を設定します。

Macの行と自宅LANの列の交点を許可 LAN ACLの組み合わせを示す模式図です。MacからNASがある自宅LANだけを許可し、別のLANと未許可の端末は拒否します。実際の画面の再現ではありません。 端末 ↓ ／ 宛先LAN → 自宅LAN（NAS） 別のLAN Mac 許可 — 未許可 別の端末 — 未許可 — 未許可 初期状態は拒否。必要な端末 × サブネットだけを許可 NASだけ・TCP 445番だけの許可ではありません
LAN ACLの設定例を示す模式図です。Macの行とNASがある自宅LANの列の交点を許可します。実際の画面の再現ではありません。
  1. ダッシュボードの「LAN アクセス制御」を開きます。
  2. 対象Macの行と、NASがある自宅LANの列が交わる欄にチェックを入れます。スマホ表示では、対象Macのカード内で宛先LANを選びます。
  3. 保存と反映を確認します。変更の反映には最大5分かかることがあります。

例えば、自宅LANとして実際に登録されている範囲が 192.168.1.0/24 なら、その列を許可します。NASのIPが 192.168.1.100 というだけではサブネット長は決まりません。ダッシュボードと自宅LANの設定を照合してください。

LAN ACLは端末ごと・宛先サブネット単位の許可です。NASだけ、TCP 445番だけを許可する機能ではありません。 /24 を許可すれば、そのサブネットが許可対象になります。必要なLANだけを選び、機器・ポート単位の制限はNAS側のFirewallや権限設定で補います。詳しい画面の見方はLAN ACLのガイドにあります。

STEP 4：VPNへ接続し、FinderからNASを開く

MacでVPNを接続し、自宅とは別の回線で確認します。Finderで Command + K を押し、smb://192.168.1.100 を入力します。NASのユーザー名とパスワードで認証して共有フォルダを開きます。

Finderの「ネットワーク」にNASが自動表示されなくても、IPアドレスを直接指定すれば接続できる場合があります。自動検出の通信がVPN越しに届くとは限らないためです。

7. VPN接続済みなのにNASを開けない場合

最初に確認するのはLAN ACLの許可と反映です。 次の順で切り分けます。

LAN ACLで、対象Macから正しい宛先LANを許可しているか

別の端末や別のLANの欄にチェックしていないか確認します。新しく登録したMacは、既存の端末と同じLANへ自動で許可されません。NASが属する登録済みサブネットを許可し、反映待ちなら待ってから再接続を確認します。

宛先LAN自体が表示されない場合は、Grid側のLAN登録を確認します。許可の範囲はサブネットであり、NASやSMBポート単位ではありません。

NASのIPアドレスとVPN経路は正しいか

NASのIPが変更されていないか確認します。DHCPを使う場合はルーターでアドレスを予約すると管理しやすくなります。Gridの接続状態、宛先への経路、NASからの戻り経路も確認してください。

自宅と外出先のアドレス帯が重複していないか

自宅とホテルWi-Fiがどちらも 192.168.1.0/24 だと、MacがNAS宛て通信をホテル側へ送る場合があります。この記事の例も、重複に注意したいよくあるアドレス帯です。

ホテル側の設定を変えられない場合は、自宅にいるときに自宅LANのアドレス帯を見直します。例えば、よく使われる 192.168.0.0/24 や 192.168.1.0/24 を避け、ほかの利用ネットワークと重ならない 192.168.47.0/24 などへ変更する方法があります。この例でも重複を必ず防げるわけではありません。

変更時はNASの固定IP・DHCP予約なども新しい範囲へそろえます。GridのLAN登録を新しいサブネットに合わせ、LAN ACLでも新しい宛先LANの列を確認して、Macへの許可を設定し直してください。古い列への許可が新しいLANに引き継がれるとは考えず、反映後に接続を確認します。変更中はLAN内の通信が途切れるため、現地で復旧できる状態で行ってください。

NAS側のSMB、Firewall、共有権限は適切か

自宅LANからも接続できない場合は、NASのSMBサービス、共有名、ユーザー権限を先に確認します。NASのFirewallがVPN経由の通信を拒否していないかも確認してください。接続できないからといってSMB 1へ戻したり、署名などの保護を安易に無効化したりしないでください。

TCP 445番へ到達できるか

Macのターミナルで、例のIPを自分のNASに置き換えて実行します。

nc -vz -G 5 192.168.1.100 445

成功すれば、その宛先のTCP 445番まで接続できています。これはSMB認証や共有権限の成功を示すものではありません。 失敗・タイムアウトなら、LAN ACL、Gridの接続、VPN経路、NASの待受とFirewallを確認します。この確認のためにインターネット側のポートを開ける必要はありません。

8. NASを安全に使うために確認したいこと

VPNだけでNASの保護が完結するわけではありません。

  • NASのOSとアプリを更新する。
  • ユーザーごとに共有の権限を設定し、不要な管理サービスと外部公開を無効にする。
  • LAN ACLで必要な宛先サブネットだけを許可する。
  • 重要なファイルは、NASとは別の場所にもバックアップする。

SMB 3の暗号化とVPNの暗号化は別の仕組みです。MacからNASまでSMB自体を暗号化したい場合は、NASのSMB暗号化対応と設定、実際の接続状態を確認します。

大容量ファイルの転送速度は、自宅回線の上り速度、外出先の回線、Cloud Hubまでを含む遅延などに左右されます。まず小さなファイルで読み書きを確認してください。

まとめ：必要なのは通信経路とアクセス許可

macOSのFinderは標準でSMB 3に対応しています。外出先では、自宅NASのプライベートIPへ届くVPN経路と、LAN・NASそれぞれのアクセス許可が必要です。

HomeGrid VPNは、自宅GridからCloud HubへOutbound接続する構成です。ポート転送に制約のある家庭用回線でも、必要な外向き通信が可能なら利用できる設計です。Macを登録し、LAN ACLでNASがあるLANを許可してから、VPN接続とFinderでの読み書きを確認してください。