VPN VPS、WireGuard と OpenVPN の個人 VPN サーバー

最も早い方法は、サーバー作成時に WireGuard アプリのイメージを選ぶことです。サーバーが起動したら SSH で接続してサーバーと機器のキーペアを作成し、設定ファイル wg0.conf にサーバーのアドレスと機器の公開鍵を書いてから、wg-quick でインターフェースを立ち上げます。WireGuard は標準で UDP 51820番ポートを使うので、ファイアウォールでこのポートを開けておいてください。

機器側は、Windows、macOS、iOS、Android、Linux のすべてに公式の WireGuard アプリがあります。サーバーで作成した機器の設定ファイルをアプリに取り込むか、qrencode で作った QR コードをスマートフォンで読み取れば、接続は完了です。すべてのインターネットトラフィックを VPN に送るには AllowedIPs を 0.0.0.0/0, ::/0 にし、社内ネットワークだけを送るならプライベートアドレスの範囲だけを書きます。

管理をもっと楽にしたいなら、Docker アプリのイメージでサーバーを作成し、wg-easy のような管理画面を動かします。ブラウザで機器を追加・削除し、接続状態を確認できます。管理画面は VPN の内側や自分の IP からだけ開けるようファイアウォールを設定しておけば安全です。

WireGuard は Linux カーネルに組み込まれた最新の VPN で、コードが短く設定がシンプルなうえ、同じサーバーでより速い速度が出ます。スマートフォンが Wi-Fi とモバイルデータを切り替えても接続がすぐにつながるので、個人 VPN やサーバー間の接続に最も多く使われています。新しく VPN を作るなら、WireGuard から始めることをおすすめします。

OpenVPN は長く使われてきた VPN で、対応する機器や OS がとても幅広く、証明書ベースのユーザー管理がしっかりしています。標準で UDP 1194番ポートを使い、必要なら TCP 443番ポートに変えて運用することもできます。会社のファイアウォールのポリシーや既存の機器のために OpenVPN クライアントを使う必要があるときに適しています。

2つのプログラムは同じサーバーに一緒に載せられます。ポートと内部アドレスの範囲だけを互いに別にすれば、新しい機器は WireGuard、古い機器は OpenVPN で接続するように使い分けられます。OpenVPN はインストールスクリプトや Docker イメージを使えば、証明書の作成まで一度に準備できます。

まず SSH キーを登録しておき、サーバー作成時に選べば、パスワードログインより安全に接続できます。ファイアウォールは SSH と VPN のポートだけを開け、サーバーのパッケージは unattended-upgrades でセキュリティ更新を自動で受け取るようにしておくのがおすすめです。機器をなくしたら、その機器の公開鍵だけをサーバーの設定から削除すれば、すぐにブロックできます。

速度は、サーバーと接続する人との距離で最も大きく変わります。主に接続する国に近い都市を選び、複数の国にメンバーがいるなら、1つのアカウントにサーバーを複数台置いて、地域ごとの VPN を別々に運用するのもおすすめです。1つのアカウントにサーバーを10台まで置けます。

VPN サーバーでも、利用ポリシーをあわせて守ります。プライバシー保護、リモートワーク、サーバー間の接続に使い、自分がキーを発行した人だけが接続するようにしておけば、誰でも使えるオープンプロキシにならず、ポリシーにもよく合います。メール送信用の25番ポートの代わりに外部のメール配信サービスをつなげば、メールも安定して送れます。