はじめに（この記事で分かること）#

プライバシー対策は、端末ごとの設定から始まり、ネットワークの層で「強制」になる。VPNに接続し忘れた端末、DNSが漏れるIoT、友人が持ってきたスマホ。端末側の設定だけでは、こうした例外を捕まえられない。ネットワーク機器（ルーター）を正しく選び構成すると、「VPN経由でしか外に出られない」「DNSは必ず暗号化される」を家全体の既定にできる。

この記事は、①なぜルーターが要るのか、②機器の4類型（OpenWrt対応ルーター／OPNsense・pfSenseアプライアンス／一般市販機の落とし穴／トラベルルーター）、③構成例、④DNSフィルタ、⑤運用規律、⑥購入の痕跡、を順に整理する。VPNルーターの下にQubesを置く具体的な構成はQubes + VPN Routerの記事に譲る。

前提: 脅威モデルの整理#

ネットワーク機器に関わる脅威モデルは、ISP（通信内容と接続先の記録）、同居人と訪問者（同一LAN上の相手）、IoT機器（更新が止まり、喋り続ける端末）、そしてルーター自体の供給者（クラウド連動とテレメトリ）だ。ISPから内容を隠す手段の比較はVPNの匿名性とIPアドレスの特定で扱った。ルーターの役割は、その手段を「例外なく全端末に適用する」ことにある。

なぜルーターでVPNを終端するのか#

Wall Street Marketの事例（ケーススタディ）が示した教訓は、VPNが切れた瞬間に実IPが露出する、というものだった。一般の家庭でも構造は同じで、端末ごとのVPNアプリは「設定し忘れ」「更新での無効化」「アプリのクラッシュ」を含む。ルーターでVPNを終端すれば、LANの全トラフィックがトンネルを通るのが既定になり、トンネルが切れたら外に出ない設計（キルスイッチ相当）を作れる。

MullvadはOpenWrtルーターでWireGuard接続する公式ガイドを公開している。参考までに、Mullvadは2026年1月15日をもってOpenVPNのサポートを完全に廃止した。ルーター構成はWireGuard前提で考える。なお、ルーターの機種によっては、セキュリティ機能がVPN事業者のAPIを「脅威」と誤判定してブロックする事例があり、MullvadのヘルプはASUSのAiProtectionによるブロックの解除手順を案内している。購入前に「使いたいVPNがルーターで動くか」を確認する習慣が重要だ。

機器の4類型#

1. OpenWrt対応ルーター（手軽さと自由のバランス）#

OpenWrtは、市販ルーターのファームウェアを入れ替えるためのオープンソースプロジェクトで、対応機器のリスト（Table of Hardware）が公開されている。OpenWrt対応機にすれば、WireGuard、DNSの暗号化、フィルタリングをルーター側で構成できる。

初心者〜中級者に扱いやすいのがGL.iNetの製品群だ。Flint 2（GL-MT6000）はWi-Fi 6で2.5GbE×2の自宅向け機で、GL.iNet標準ファームウェアの場合はWireGuard、Tor、AdGuard Homeの機能が用意されている。トラベル向けにはBeryl AX（GL-MT3000）があり、こちらもGL.iNet標準ファームウェアでの機能を公式ガイドで確認する。上流OpenWrtを使う場合は、別途パッケージと構成の確認が必要だ。GL.iNetは2台の自社ルーターでWireGuardサーバー/クライアントを組む公式チュートリアルを公開している。出張先やホテルのネットワークで、自分のトンネルを確保する用途に向く。

2. アプライアンス + OPNsense/pfSense（本格構成）#

ProtectliのVaultのようなファイアウォールアプライアンス（coreboot対応）にOPNsenseやpfSenseを入れる構成は、家庭のネットワークを「専用のOS」で運用する形だ。OPNsenseはWireGuardを内蔵し、VLANやトラフィック管理まで面倒を見る。中古のミニPCで組むこともできる。学習コストと引き換えに、キルスイッチ・VLAN分離・DNS制御を一元的に扱えるのが利点だ。

3. 一般市販機・クラウド連動型メッシュの落とし穴#

広く売られているルーター（特にクラウドアカウントと連動するメッシュWi-Fi）は、設定をアプリ経由で行い、機器の状態をベンダーのクラウドに送る設計が増えた。これは利便性と引き換えに、管理の痕跡とテレメトリをベンダー側に残す。プライバシー重視の立場では、クラウドアカウント必須型を避け、ローカルで完結する管理ができる機種を選ぶのが合理的だ。さらに前述のとおり、ベンダーの「セキュリティ機能」がVPN事業者のAPIをブロックする場合もある。

4. トラベルルーターとモバイル回線#

外出先のネットワークは「信用できない前提」で構成する。ホテルのWi-Fiは、他の利用者と同一のネットワークに置かれ、管理側も不特定だ。トラベルルーター（Beryl AXなど）を持ち込み、自分の端末を自分のトンネルの後ろに置くのが基本構成になる。モバイル回線そのもの（SIM/eSIM）の匿名性は別の論点で、回線事業者が端末と契約情報を結びつけるため、「回線自体が識別子になる」問題を含む（IPアドレスからの特定参照）。

構成例#

構成向いている脅威モデル要点
ISPモデム（ブリッジ）→ VPNルーター（GL.iNet/OpenWrt）→ LAN広告・ISP・一般の追跡全端末をVPN経由に設定。GL.iNet標準ファームウェアの場合はAdGuard Homeを内蔵。上流OpenWrtは別途パッケージ・構成を確認
ISPモデム → OPNsenseアプライアンス → VLAN分離（通常/ゲスト/IoT）標的型・同居人・IoTIoTをVPNなしの独立VLANに閉じる。ゲストはインターネットのみ
VPNルーター → Qubes OS端末取材源・身元の保護Whonix経由に構成した区画ではTor over VPN。その他の区画は別途経路を確認
トラベルルーター + 信用できないWi-Fi移動中・出張自分のトンネルを持ち込む。実名の仕事用端末を隔離

DNSフィルタ: ネットワーク全体で最初の壁#

Pi-holeとAdGuard Homeは、自身に届くDNSクエリを検査し、広告・トラッキングドメインへの問い合わせを遮断する。端末がこれらをDNSリゾルバとして利用する構成が前提であり、端末の設定に関係なく効くわけではない。上流はQuad9のような暗号化DNSリゾルバにつなげられる。ただし、外部53番（通常のDNS）・853番（DoT）の制限だけでは、HTTPSの443番を使うDoHによる迂回を防げない。管理対象端末やブラウザのDNS設定等も必要で、完全な遮断は保証できない。

運用規律: ルーターそのものの防御#

ルーターは構成した瞬間に「家で最も重要なサーバー」になる。管理UIはLANからのみアクセス可能にし、リモート管理は無効にする。WPSは無効化する。ファームウェアの更新を定期的に確認する（OpenWrt/OPNsenseは更新の供給が明確で、市販機は機種によって止まりがちだ）。Wi-FiはWPA3を優先し、ゲストネットワークを訪問者とIoTに分ける。UPnPは原則無効にする（内部機器が勝手にポートを開けるのを防ぐ）。

MACアドレスの位置づけも押さえておきたい。ISP側のDHCPでは、ルーターのMACアドレスが回線契約と結びついて記録される。LAN内部の端末のMACはISPには見えないが、公衆Wi-Fiでは観測されるので、スマホ側のMACランダム化は有効のままでよい。

購入の痕跡と、匿名性の限界#

ルーターの購入は、ハードウェアの記事で扱った「購入の痕跡」の話がそのまま当てはまる。アカウント連動型の機種は登録を求めることがあり、痕跡を減らしたい立場ならアカウント不要で現地購入できる機種を選ぶ。サーバー側の匿名性と組み合わせる場合は、匿名VPSの比較とクリアネット匿名公開の設計につながる。

限界も明確にしておく。ルーターがVPNを終端しても、ブラウザのフィンガープリントは残る（フィンガープリント解説）。Torをルーターで終端しても、Tor Browserの統一フィンガープリントと等価にはならない。ルーターは「IPとDNSの層」を強制する装置であって、人を匿名化する装置ではない。WireGuardの暗号化はルーターの性能に影響するので、速度要件と機種のVPNスループットの確認は購入前に必須だ。

まとめ#

予算と手間別に三つの道がある。

低コスト: GL.iNetのFlint 2などで、GL.iNet標準ファームウェアのWireGuard + AdGuard Homeを設定する。上流OpenWrtでは別途パッケージと構成を確認する。中コスト: Protectliなどの中古・新品アプライアンスにOPNsenseを入れ、VLANでIoTとゲストを分離する。上級: VPNルーターの下にQubesを置く。Whonix経由に構成した区画ではTor over VPNとなり、その他の区画は別途経路を確認する。

どれでも最初にやることは同じだ。リモート管理とWPSを切る、管理UIをLAN限定にする、更新の確認をカレンダーに入れる。

出典#