HomeGrid VPN ガイド（HomeGrid VPN ガイド）

← ブログの一覧コラム

自宅のOllamaを外出先から使う方法｜OpenClawとVPNでポート開放なしのAIエージェント環境を構築

公開

外出先のノートPCがCloud Hubを介して自宅のAI用PCにつながるイラスト

自宅のOllamaは、VPNで自宅LANへの経路を作れば、InternetへAPIを公開せずに外出先から利用できます。 外出先のPCでOpenClawを動かし、推論だけを自宅のOllamaへ送る構成です。Home側からCloud Hubへ接続するHomeGrid VPNを使う場合、自宅ルーターのポート転送やIPv6のInternet側Inbound許可を前提にせず、自宅LANへアクセスできます。

この記事のOpenClaw CLIとOllama設定例は、2026年10月13日に公式資料と照合したものです。HomeGrid VPN・OpenClaw・Ollamaを組み合わせた実機での一連の動作は未検証です。 バージョンやOSによる違いがあるため、ネットワーク到達性、API応答、モデルの推論、エージェントのツール実行を順に確認してください。

自宅では使えるOllamaが、外出先から使えない理由

自宅のGPU搭載PCでOllamaを動かし、ローカルモデルを使う。外出先でも、その計算資源を利用したい。ここで最初にぶつかるのは、モデルの性能よりもネットワークの到達性です。

Ollamaは既定で127.0.0.1:11434を待ち受けます。これは、そのPC自身からの接続を受けるアドレスです。別のPCから自宅PCのLAN IPへアクセスしても、そのままではつながりません。Ollama公式FAQ

LANから接続できるようにしても、外出先には自宅LANへの経路がありません。Ollamaの待受設定と、外出先から自宅への経路は別の問題として確認します。

Reverse Proxyを自宅で公開すると、侵入リスクが高まる

自宅のReverse ProxyをInternetに公開し、Ollamaへ転送する構成は、外部から到達できるサービスを自宅に増やします。Proxyやその先のサービスの脆弱性、設定不備、認証情報の漏えいなどが、自宅のシステムへの侵入につながる可能性があり、非公開の構成に比べて侵入リスクが高まります。

HTTPSやBasic認証を付ければ、公開に伴うリスクがなくなるわけではありません。認証は必要な対策の一つですが、ソフトウェア更新、アクセス制御、ログ確認、侵害時の分離まで管理が必要です。OllamaのローカルAPI自体も、既定では認証を要求しません。Ollama公式：Authentication

自分の端末から使うことが目的なら、APIをInternetへ公開する必要はありません。自宅LANへ届くVPN経路を用意し、許可した端末から利用する構成にできます。

ポート転送、IPv6 Direct、P2Pで必要になる到達性や公開範囲については、自宅VPNのポート開放の前に考えたいことで説明しています。この記事では方式の比較章を設けず、Ollamaへ接続する手順に絞ります。

OpenClawは外出先、Ollamaは自宅で動かす

この構成では、役割を次のように分けます。

  • 外出先のPC：OpenClawとVPNクライアントを動かします。
  • 自宅のPC：Ollamaとローカルモデルを動かします。
  • 自宅のGrid：VPNと自宅LANを接続するゲートウェイです。OllamaのPCとは別の機器として説明します。
  • Cloud Hub：外出先とGridのVPN通信を中継します。
OpenClawから自宅Ollamaまでの通信経路 外出先のOpenClawからCloud Hub、自宅Grid、自宅LANのOllamaへ推論リクエストを送る。外出先と自宅Gridの両方がCloud HubへOutboundでVPN接続する。下段の矢印はVPN接続の開始方向であり、応答は同じ通信経路を逆向きに戻る。 自宅LAN OpenClaw 外出先のPC Cloud Hub Grid ゲートウェイ Ollama AI用PC 推論リクエスト 外向きに接続 外向きに接続 Hub ポート転送なし
上段は推論リクエストの経路。応答は逆向きに戻ります。下段の破線は、Remoteと自宅GridがそれぞれCloud HubへVPN接続を開始する向きです。

Cloud Hubは経路上の中継点であり、このOllamaアクセスにInternet Exitは必要ありません。自宅回線からInternetへ出る設定と、自宅LANのAPIへアクセスする設定は別です。Cloud Hubも経路上の構成要素として、運用と可用性の設計に含めます。

また、OpenClawのファイル操作やコマンド実行は、ツールの設定に従って行われます。Ollamaの接続先を自宅にしただけで、ツールの実行先まで自宅PCに変わるわけではありません。

始める前に

  • 自宅PCでOllamaが動き、使うローカルモデルを実行できること。
  • 自宅LANに接続されたGridが稼働していること。
  • 外出先のPCにOpenClawと、対応するVPNクライアントを用意すること。
  • 自宅PCのLAN IPを固定するか、ルーターのDHCP予約で変わらないようにすること。
  • 自宅と外出先のLANアドレス範囲が重複していないこと。

以下の192.168.50.10は説明用の架空のLAN IPです。実際のOllama用PCのアドレスへ置き換えます。モデル名も、自宅で実行できるものへ置き換えてください。

手順1：Ollamaを自宅LANから使えるようにする

最初に、自宅PCでモデルの一覧を確認します。

ollama list

モデルは、ツール呼び出しに対応し、使うコンテキスト長を自宅PCのメモリやVRAMで処理できるものを選びます。ここでは公式設定例にもあるqwen3:32bを記述例に使いますが、全PCで実行できることを意味しません。

Linuxのsystemdサービスで待受アドレスを設定する例

LAN側で接続を受けるため、Ollamaサービスの環境変数OLLAMA_HOSTを設定します。LAN IPだけを指定すれば、全インターフェースで待ち受ける設定より受け口を絞れます。

sudo systemctl edit ollama.service

開いた編集画面に次を追加します。

[Service]
Environment="OLLAMA_HOST=192.168.50.10:11434"

保存してサービスを再起動します。

sudo systemctl daemon-reload
sudo systemctl restart ollama

macOSやWindowsアプリでは環境変数の反映方法が異なります。手順はOllama公式のOS別環境変数設定を参照してください。既にサービスが動いている場合、別のollama serveを重ねて起動する必要はありません。

LANで待ち受ける設定は、認証の追加ではありません。 自宅PCのFirewallで必要な送信元からのTCP 11434だけを許可します。送信元を絞るFirewallの設定は、手順3で外出先からの接続元を確かめてから行います。ルーターのポート転送、UPnPによる自動公開、IPv6のInternet側Inbound許可は設定しません。

待受アドレスだけをLAN IPに絞っても、他のLAN端末からのアクセスを制限できるわけではありません。Firewallを別途設定します。

別の自宅LAN端末から、APIの応答を確認します。Windowsではcurlの代わりにcurl.exeを使えます。

curl --connect-timeout 5 http://192.168.50.10:11434/api/tags

モデル一覧のJSONが返れば、LAN内でAPIまで届いています。これは推論やツール呼び出しの成功を確認するテストではありません。Ollama公式：List models

手順2：Spokeを登録して自宅 Grid の LAN へのアクセスを許可する

  1. Dashboardの「Spoke を追加する」から、外出先でOpenClawを動かすPCを登録します。
  2. VPNクライアントで接続します。登録方法はSpokeを追加するガイドを参照してください。
  3. Dashboardの「LAN アクセス制御」で、登録したSpokeの行と、宛先の LAN（自宅 Grid の LAN）の列が交わる欄にチェックを入れます。
  4. 「反映済み」になったことを確認します。

これで、そのSpokeから自宅Grid配下のLANへ行く許可が設定されます。Spokeを登録しただけではLANへアクセスできません。 LAN ACLは既定で拒否です。スマホでDashboardを操作する場合も含め、詳しくはLANアクセス制御のガイドを参照してください。

このチェックはLANへの許可です。Ollamaだけ、TCP 11434だけに限定する機能として扱わず、サービス単位の制限は自宅PCのFirewallなどで行います。

手順3：外出先からOllamaのAPIを確認する

自宅Wi-Fiを使っていない状態でVPNへ接続し、外出先のPCから同じ確認を行います。

curl --connect-timeout 5 http://192.168.50.10:11434/api/tags

JSONが返らない場合、OpenClawの設定へ進む前にネットワークを確認します。JSONが返った場合は、その応答にあるモデル名を控えます。

Firewallで送信元を絞る

外出先から上のcurlを実行した直後に、自宅PCでOllamaのログを確認します。Linuxのsystemdサービスでは、次のコマンドを使えます。

journalctl -u ollama -n 20

実行時刻に対応する/api/tagsの行で、接続元のIPアドレスを確かめます。そのアドレスからのTCP 11434だけを自宅PCのFirewallで許可し、不要な送信元からの許可を外します。ログの参照権限やOSごとの保存先はOllama公式のログ確認方法を参照してください。

設定後、外出先からもう一度確認します。

curl --connect-timeout 5 http://192.168.50.10:11434/api/tags

JSONが返ることを確かめます。リクエストの行がログにない場合、待受設定、経路、Firewallでの遮断を確認してください。送信元を調べるためにInternetへ公開したり、Firewall全体を無効にしたりする必要はありません。

VPNはRemoteからGridまでの通信経路を保護します。一方、この例のGridからOllamaまでの自宅LAN区間はHTTPです。LAN内の盗聴も考慮する環境では、ホスト間の分離や内部HTTPSなど、その区間も別途保護します。

手順4：OpenClawのOllama接続先を設定する

OpenClawを未導入なら、公式のインストール手順に従います。初回設定はopenclaw onboardで行い、Ollamaのローカル利用を選びます。既存の設定がある場合は、変更前にバックアップします。OpenClaw公式：Ollama setup

以下は、既存設定に組み込む設定部分の例です。設定ファイル全体を置き換えないでください。openclaw config fileで使用中のファイルを確認し、変更前に設定ファイルをバックアップしてから編集します。

openclaw config file

{
  "models": {
    "providers": {
      "ollama": {
        "baseUrl": "http://192.168.50.10:11434",
        "apiKey": "ollama-local",
        "api": "ollama",
        "models": [
          {
            "id": "qwen3:32b",
            "name": "qwen3:32b"
          }
        ]
      }
    }
  },
  "agents": {
    "defaults": {
      "model": {
        "primary": "ollama/qwen3:32b"
      }
    }
  }
}

idとnameには、自宅のollama listまたは/api/tagsに出る正確なモデル名を指定し、primaryにも同じ名前を使います。baseUrlの末尾に/v1は付けません。api: "ollama"でネイティブAPIを指定します。OpenClaw公式：Ollama configuration

apiKey: "ollama-local"は、ローカル・プライベートLANのOllamaを扱うためのOpenClaw側のマーカーです。Ollamaに認証を追加する秘密鍵ではありません。

保存後、設定とモデルの認識を確認します。

openclaw config validate
openclaw models list --provider ollama

設定の検証に成功したら、使用している起動方法でGatewayを再起動し、OpenClawから短い依頼を送ります。モデル一覧に載ることと、推論・ツール実行が成功することは別です。まず文章の応答、次に影響の小さいツール操作を確認します。OpenClaw公式：Config CLI

つながらないときは、層ごとに切り分ける

症状 確認すること
自宅LANからもAPIが返らない Ollamaサービス、待受アドレス、LAN IP、OSのFirewall。
自宅LANでは返るがVPN経由では返らない VPN接続、自宅Gridの状態、自宅 Grid の LAN へのチェックと反映、経路、LANアドレスの重複。
「LAN アクセス制御」に自宅の LAN の列が無い／「宛先 LAN がありません。…」と出る Grid の LAN が宛先として登録されているか。Docker 版の Grid では、作るときに入れた「自宅 LAN のサブネット (CIDR)」が宛先になります。上の手順2で案内したLANアクセス制御のガイドも参照してください。
接続拒否になる 宛先に届いている可能性がありますが、待受ポートやFirewallの拒否も確認します。
接続がタイムアウトする 経路やFirewallでの破棄などを確認します。タイムアウトだけで原因を断定しません。
APIは返るがOpenClawでは失敗する OpenClawが動く環境からの到達性、baseUrl、api、正確なモデル名、設定の反映。
応答は返るがツール呼び出しに失敗する モデルのツール対応、コンテキスト長、OpenClawのツール権限、実行先の環境。
応答が遅い 自宅PCのGPU・RAM・VRAM、モデルのロード、コンテキスト長、回線品質。VPNだけを原因と決めつけません。

OpenClawをDockerやWSLで動かす場合、ホストPCでcurlが通っても、その実行環境からは届かないことがあります。OpenClawが実際に動いている環境からAPIを確認します。

VPNで到達先を絞り、エージェントの権限も絞る

この構成は、自宅にOllamaの公開APIや公開Reverse Proxyを増やさずに使うためのものです。VPNにつながった端末の侵害や、OpenClawに与えた権限の問題まで解消するものではありません。

OpenClawには、必要なフォルダーやツールだけを許可します。重要なファイルの変更や外部サービスへの操作は、実行前に確認できるようにします。認証情報、導入するスキルやプラグイン、ソフトウェア更新も管理対象です。OpenClaw公式：Security

推論を自宅に置いても、検索や外部ツール、クラウドモデルへの切り替えを有効にすれば、それらへの通信は発生します。「すべてのデータが自宅だけに留まる」とは限りません。

自宅の計算資源を外から使うことと、自宅のサービスをInternetへ公開することは分けて考えられます。 まずVPN経由でAPIまで届くことを確認し、次にOpenClawの推論とツール実行を確認してください。公開範囲の縮小とネットワーク分離をさらに検討する場合は、WireGuardでAttack Surfaceを減らす設計も参考になります。