【入門編】パブリッククラウドやVPSを用いた自己ホスト型VPN（Self-Hosted VPN）の構築 – サイバーセキュリティとプライバシー保護実践ガイド

「自分だけの秘密のトンネル」を掘ろう。VPSで構築する自己ホスト型VPNのすゝめ

カフェのWi-Fiで作業中、「この通信、誰かに覗かれていないかな？」と不安になったことはありませんか？

多くの人が利用する「VPNサービス（サードパーティ製）」は手軽ですが、その会社のサーバーに自分の通信ログが残ることに抵抗を感じるエンジニアも少なくありません。そこで今回は、AWSやConoHaといったVPSを使って、自分だけの「VPNサーバー」を構築する方法を紐解いていきましょう。

ネットワークの世界に足を踏み入れたばかりのあなたへ、難しい理屈を抜きにして、その仕組みと魅力を解説します。

—

そもそもVPNって、何をしているの？

VPN（Virtual Private Network）を、「中身が見えない強化プラスチック製の配送パイプ」だと想像してみてください。

通常、カフェのWi-FiでWebサイトを見ると、あなたのデータは「ハガキ」のような状態で街中（インターネット）を流れます。これだと、悪意ある人が途中でそのハガキを抜き取って中身を読めてしまいますよね。

VPNを使うと、そのハガキを頑丈な「金庫」に入れ、さらに自分とサーバーの間にだけ繋がる「専用パイプ」を通します。途中で誰かがパイプを覗こうとしても、中身は暗号化されているので、何が書かれているかさっぱり分からないわけです。

—

なぜ「自分で作る（Self-Hosted）」必要があるのか？

市販のVPNサービスは便利ですが、彼らは「あなたの通信の管理権」を握っています。一方で、自分で構築する「自己ホスト型VPN」には、圧倒的なメリットがあります。

1. 完全なプライバシー: あなたの通信ログ（どのサイトを見たか等）を握る企業は存在しません。自分自身が管理者だからです。
2. IPアドレスの制御: サーバーのIPアドレスは「あなた専用」です。他人の悪質な行動で巻き添えを食らうことはありません。
3. 学習の機会: ネットワーク設定やセキュリティの基礎が、驚くほど身につきます。

もちろん、「サーバーの更新作業を自分でやらなければならない」という運用負荷はあります。でも、自分の手でインフラを制御する快感は、何物にも代えがたいものです。

—

構築の近道：WireGuardを使おう

かつては OpenVPN が主流でしたが、今は WireGuard が圧倒的におすすめです。設定が非常にシンプルで、コードの行数も少なく、何より動作が爆速です。

1. サーバーの準備

ConoHaやAWSで、UbuntuなどのLinuxサーバーを立ち上げます。これだけで、インターネット上に「あなたの拠点」ができました。

2. WireGuardのインストールと設定

サーバーにログインし、以下のコマンドを打ってみましょう。まずはインストールです。

# パッケージリストを更新してWireGuardをインストール
sudo apt update
sudo apt install wireguard -y

次に、サーバー側の設定ファイル（/etc/wireguard/wg0.conf）を作成します。ここは「身分証の確認」を行う場所だと考えてください。

[Interface]
# サーバーのIPアドレス範囲
Address = 10.0.0.1/24
# サーバー側の秘密鍵（後述のコマンドで生成）
PrivateKey = <ここに生成したサーバーの秘密鍵を入力>
# 通信の出口設定
ListenPort = 51820

[Peer]
# クライアント（自分のスマホやPC）の公開鍵
PublicKey = <ここにクライアントの公開鍵を入力>
AllowedIPs = 10.0.0.2/32

3. トラフィックを通すための「門番」設定

サーバーが受け取ったパケットをどこへ流すか、OSに教えてあげる必要があります（IPフォワーディング）。

# IPフォワーディングを有効化
echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

—

運用で気をつけるべきこと

自己ホスト型VPNの最大の敵は「油断」です。

アップデートを怠らない: サーバーのOSは常に最新の状態に保ちましょう。自動アップデート（unattended-upgrades）を設定するのが、プロのエンジニアの嗜みです。
ファイアウォールを絞る: ufw コマンドなどを使って、必要なポート（51820/udp）以外は全て閉じておきましょう。
鍵の管理: PrivateKey は絶対に誰にも見せてはいけません。鍵が漏れたら、金庫の合鍵を渡したのと同じです。

—

最後に：ネットワークを「自分のもの」にするということ

最初は難しく感じるかもしれませんが、パケットがサーバーを経由して世界中へ飛び出し、無事に帰ってくる仕組みを理解すると、インターネットの見え方がガラリと変わります。

「繋がるのが当たり前」のインフラを、「自分で制御している」という感覚。これこそが、エンジニアとしての確かな自信に繋がります。

まずは小さなVPSで、自分だけの秘密のトンネルを作ってみませんか？困ったことがあれば、またいつでも聞きに来てくださいね。一緒に一歩ずつ、深く潜っていきましょう！