MacBook Airから外出先のテザリング回線を利用して、自宅やオフィスのSynology NASへWireGuard VPN経由でアクセスする場合、トンネル自体は有効なのにSMB接続が不安定になったり、ファイル一覧だけ表示されて開けなかったりすることがあります。このような症状は、WireGuardの鍵設定だけではなく、AllowedIPsによるルーティング、FRITZ!Box側のVPN設定、macOS側のネットワーク経路が関係している場合があります。この記事では、FRITZ!BoxとmacOS版WireGuardでNASアクセス用のSplit Tunnelingを構成する際の確認ポイントを解説します。
WireGuardが接続済みなのにNASへアクセスできない主な原因
WireGuardでは、トンネルが「アクティブ」と表示されていても、必ずしも目的のネットワークへ正しく通信できているとは限りません。
特にmacOSからSynology NASへ接続する場合、以下のような原因が多くあります。
・AllowedIPsにNASまたはLAN全体の経路が正しく設定されていない
・FRITZ!Box側のVPNルート設定とMac側の経路が一致していない
・SMB通信がVPN経由になっていない
・DNSやホスト名解決がVPN環境に対応していない
・iPhoneテザリング環境でMTU問題が発生している
iPhoneからは正常にDS fileで接続できる場合、FRITZ!BoxやSynology NAS自体は動作している可能性が高く、Mac側WireGuardのルーティング設定を重点的に確認すると解決しやすくなります。
Split TunnelingではAllowedIPsの設定が重要
Split Tunnelingとは、VPN接続中でもすべての通信をVPNへ流すのではなく、指定したネットワークだけをVPN経由にする構成です。
例えば、自宅LANが「192.168.178.0/24」、Synology NASのIPアドレスが「192.168.178.50」の場合、Mac側WireGuardのAllowedIPsには以下のような設定を行います。
AllowedIPs = 192.168.178.0/24
この設定では、自宅LAN宛ての通信だけがWireGuardトンネルへ送られ、通常のインターネット通信はiPhoneのモバイル回線をそのまま利用します。
NASだけへ接続したい場合は、さらに限定して以下のように設定することもできます。
AllowedIPs = 192.168.178.50/32
ただし、Synology NASへのSMBアクセスでは名前解決や関連通信が発生するため、実際にはNAS単体ではなくLANセグメント全体を指定した方が安定するケースがあります。
Mac側WireGuard設定例
FRITZ!BoxがWireGuardサーバーとして動作している場合、Mac側の設定は基本的にFRITZ!Boxが発行した設定ファイルを利用します。
一般的なSplit Tunneling構成では、以下のような形になります。
[Interface]
Address = VPNクライアント用IPアドレス/32
PrivateKey = Mac側秘密鍵
[Peer]
PublicKey = FRITZ!Box公開鍵
Endpoint = 自宅ルーターのDDNSアドレス:51820
AllowedIPs = 192.168.178.0/24
PersistentKeepalive = 25
AddressにはVPNトンネル内でMacに割り当てるIPアドレスを指定します。これは自宅LANのIPアドレスとは別のVPN専用アドレスになります。
Endpointは外出先からFRITZ!Boxへ接続するための入口です。固定IPを利用していない場合は、FRITZ!BoxのMyFRITZ!などのDDNSサービスを利用すると安定します。
FRITZ!Box側で確認する設定
Mac側だけを変更しても、FRITZ!BoxがVPNクライアントからLANへの転送を許可していなければNASへ到達できません。
FRITZ!BoxのWireGuard設定では、VPNユーザーがホームネットワークへアクセスできる設定になっているか確認してください。
確認ポイントは以下です。
・VPNユーザーにホームネットワークアクセス権があるか
・Synology NASのIPアドレスがFRITZ!BoxのLAN内に存在しているか
・NASのファイアウォールでVPN側IPからのアクセスを許可しているか
例えば、VPN接続後にMacから「ping 192.168.178.50」を実行して応答があるか確認すると、ネットワーク経路の問題かSMB設定の問題かを切り分けできます。
SMB接続でフォルダだけ見える場合の原因
FinderでNASのフォルダ名が表示されるものの、ファイルを開くとタイムアウトする場合、通信経路は一部成功しているものの、大容量通信や応答パケットが正常に戻っていない可能性があります。
この場合はMTUサイズが原因になることがあります。VPNでは暗号化によって通信データに追加情報が付加されるため、通常より小さいMTUが必要になる場合があります。
WireGuard設定に以下を追加して改善するケースがあります。
MTU = 1280
特にiPhoneテザリング、携帯キャリア回線、IPv6環境などではパケットサイズの問題が発生することがあります。
DNSやNASの名前解決にも注意する
Finderで「nas.local」などの名前を使って接続している場合、VPN経由では名前解決ができず不安定になることがあります。
テストとして、Finderの「サーバへ接続」で以下のようにNASのIPアドレスを直接入力して確認してください。
smb://192.168.178.50
IPアドレス指定では正常に接続できる場合、VPNルーティングではなくDNSやBonjour関連の問題である可能性があります。
安定したNASアクセスのための確認手順
原因を効率的に調べるには、以下の順番で確認すると切り分けしやすくなります。
1. WireGuard接続後にNASへpingが通るか確認する
2. AllowedIPsをLAN全体の範囲に変更する
3. NASへIPアドレス指定でSMB接続する
4. MTUを変更して動作確認する
5. FRITZ!Box側のVPNアクセス権を確認する
例えば、pingは成功するがSMBだけ失敗する場合はNAS側設定やMTUの問題が疑われます。一方、ping自体が失敗する場合はWireGuardのルーティング設定を見直す必要があります。
まとめ｜MacBook AirとFRITZ!BoxのWireGuard接続はルーティング設定が重要
MacBook AirからFRITZ!Box経由でSynology NASへ安定して接続するには、WireGuardを有効化するだけではなく、Split Tunnelingに適したAllowedIPs設定を行うことが重要です。
通常のインターネット通信をiPhoneテザリング側へ残しながら、自宅LANだけをVPN経由にしたい場合は、AllowedIPsに自宅ネットワークの範囲を指定する構成が基本になります。
また、FinderでSMB接続が不安定な場合は、MTU、DNS、FRITZ!Box側のLANアクセス許可なども確認すると改善につながります。iPhoneから正常接続できている環境であれば、Mac側WireGuardの経路設定を調整することで安定したNASアクセスを実現できる可能性があります。
コメント