OpenWrt WireGuard Tailscaleのセットアップ方法 Velop WRT Pro 7 (LN6001-JP / MBE70)

Velop WRT Pro 7（LN6001 / MBE70）は、OpenWrtベースのQualcomm SDKを搭載したWiFi 7ルーターです。

WireGuardは、外出先から自宅や小規模オフィスのネットワークへ安全にアクセスするためのVPN方式です。Velop WRT Pro 7では、OpenWrtベースの柔軟性を活かして、WireGuardまたはTailscaleを利用したVPN環境を構成できます。

この記事では、以下の3つを紹介しています。

WireGuardのセットアップをVPN Assistantを利用して行う方法
WireGuardの動作に必要なファイルのみダウンロードする方法
TailscaleのセットアップをVPN Assistantを利用して行う方法

はじめる前に確認してください

VPNを外出先から利用する場合、インターネット回線の接続方式により、外部からルーターへ到達できるかどうかが変わります。

PPPoEや固定IPサービスなど、外部から着信できる環境では、WireGuardサーバーとして利用しやすい構成です。
DS-Lite / MAP-EなどのIPv4 over IPv6環境では、IPv4のポート開放や外部からのIPv4着信が利用できない場合があります。
DS-Lite / MAP-E環境で外出先から接続したい場合は、IPv6でのWireGuard接続、固定IPサービス、またはTailscaleなどのNAT越えしやすいVPN構成を検討してください。
ホームゲートウェイや上位ルーター配下で利用する場合は、上位ルーター側のポート開放やファイアウォール設定が必要になる場合があります。

設定前に、以下を確認してください。

確認項目	内容
管理者パスワード	初期パスワードから変更しておくことをおすすめします
回線方式	PPPoE / MAP-E / DS-Lite / IPIP / 固定IPなど、契約中の方式を確認してください
外部からの到達性	WireGuardサーバーとして使う場合、外部からルーターへ到達できる必要があります
DDNS	グローバルIPアドレスが変わる環境ではDDNSの利用を検討してください
クライアントアプリ	iPhone / Android / Windows / macOSなど、接続元端末にWireGuardまたはTailscaleアプリが必要です

※記事作成時のVelop WRT Pro 7のファームウェアバージョンは1.2.0 Build 15, Kernel 5.4.213です。

WireGuardのセットアップをなるべく簡単に済ませたい場合（VPN Assistantを利用する）

VPN AssistantのモジュールをDLしてください。 vpn-assistant_0.93_all.ipk
LuCI Web管理画面の System > Software へと進みます
Update listsをクリックして、まずリストの更新を行います
完了したらDismissをクリックします。ここでエラーが出ている場合は再度やり直すか、配線・通信設定の見直しが必要です。
次にUpload Packageをクリックします。
最初にダウンロードしたvpn-assistant.ipkをBrowseで指定して、Uploadをクリックします。
確認メッセージがでるので、Installをクリックします。
インストールが終わると、installed in root is up to date.と表示されます、Dismissを押して終了です。
これでインストール作業は終了です。WireGuardの動作に必要なパッケージをまとめて導入できるようになっていますので、別途ipkファイルをダウンロードする必要はありません。一旦ルーターを再起動して、再度管理画面を立ち上げるとServiceメニュー内にVPN Assistantが登場します。
VPN AssistantのWireGuard Serverタブを下記を参考に入力して、Save & Applyを押して設定を反映します。LuCIがUCI設定反映後にネットワークおよびファイアウォールの再起動を行いますが、WireGuardサービスを使い始める前に一度ルーター本体を再起動することをおすすめします。

Enable WireGuard VPNのチェックを外すと、ルーター再起動時に一旦関連設定は残したままサービスが停止状態になります。 Generate Keyを押すと新規にキーを作成・更新できます。
Client PeersセクションのShow QRを押すと、クライアント設定用のQRコードとテキスト設定情報が表示されます。例えば、iPhoneのWireGuardアプリではQRコードをカメラで読み取って簡単にWireGuardのVPN設定が可能です。

QRコードや設定テキストにはVPN接続に必要な鍵情報が含まれます。第三者に共有しないでください。接続元端末を紛失した場合や設定情報が漏えいした可能性がある場合は、該当Peerの設定を削除またはキーを再生成してください。

WireGuardの動作に必要なファイルのみダウンロードする方法（上級者向け）

下記のWireGuard関連パッケージを予めDLしてください。そのほかのパッケージは通常のopkg updateから取得できます。
1. kmod-wireguard_5.4.213+1.0.20220627-2_arm_cortex-a7_neon-vfpv4.ipk
2. wireguard_1.0.20220627-2_arm_cortex-a7_neon-vfpv4.ipk
LuCI Web管理画面の System > Software よりインストール作業を行います。

インストールする順番を必ず守ってください
1. kmod-wireguard_5.4.213+1.0.20220627-2_arm_cortex-a7_neon-vfpv4.ipk
2. wireguard_1.0.20220627-2_arm_cortex-a7_neon-vfpv4.ipk
3. luci-proto-wireguard　（LuCIインターフェース表示用）
4. luci-app-wireguard　（接続時のステータス表示用）
WireGuardの設定はパッケージのインストール完了後に一度ルーターの再起動を行ってから実施してください。

これでWireGuardの動作に必要なパッケージのインストール作業は終了です。

Tailscaleのセットアップをなるべく簡単に済ませたい場合（VPN Assistantを利用する）

VPN AssistantのTailscaleタブへ移動し、Enable Tailscale Serviceを押してTailscaleを有効化します。もしVelop WRT Pro 7のインターネット接続をVPNを経由して使いたい場合は、Advertise as Exit Nodeにチェックを入れます。※この機能は本体およびクラウドサービス側の両方で有効化する必要があります。

サービス有効化後に認証用ダイアログが表示されますが、ルーターが安定するまでバックグラウンドで2~3回デバイスとの接続を試行しますので、安定するまで数分お待ちください。
認証用URLをブラウザに貼り付けしてTailscale.comで追加登録してください。最後にOKをクリックするとログアウトしてルーターが再起動します。
Tailscaleを経由してインターネット通信を使いたい場合は、ルーター側のExit node有効化に加えて、クラウド側でも許可する必要があります。対象のデバイスのEdit Route Settings...をクリックします。
表示されたダイアログでUse as exit nodeにチェックを入れて、Tailscale経由のインターネット通信を許可します。

iPhone等からTailscaleアプリを使ってVPN接続を試し、問題なければ完了です。

うまく接続できない場合

クライアントから接続できない / handshakeが発生しない

外部からVelop WRT Pro 7へ到達できていない可能性があります。DDNS名、グローバルIPアドレス、WireGuardの待受ポート、上位ルーターやホームゲートウェイのポート開放、ファイアウォール設定を確認してください。

DS-Lite / MAP-EなどのIPv4 over IPv6環境では、外部からのIPv4着信が利用できない場合があります。その場合は、IPv6でのWireGuard接続、固定IPサービス、またはTailscaleなどの別方式を検討してください。

handshakeは発生するがLAN内にアクセスできない

Allowed IPs、ルーティング、ファイアウォール設定を確認してください。接続元クライアントから自宅LANへアクセスしたい場合は、クライアント側のAllowed IPsに自宅LANのセグメントが含まれている必要があります。

VPN接続中にインターネットが使えない

クライアント側で全通信をVPNに流す設定になっている場合、DNSやルーティング設定の影響でインターネットに出られないことがあります。VPN経由でLANだけにアクセスしたいのか、インターネット通信もVPN経由にしたいのかを確認し、Allowed IPsとDNS設定を見直してください。

名前解決ができない

VPN接続後にIPアドレスではアクセスできるがホスト名でアクセスできない場合は、DNS設定を確認してください。必要に応じて、クライアント設定に利用するDNSサーバーを指定してください。

Tailscaleの認証が完了しない

ルーターの時刻、インターネット接続、Tailscaleアカウント側の認証状態を確認してください。VPN Assistant有効化直後はバックグラウンドで接続を試行するため、数分待ってから再度確認してください。

Q&A

DS-Lite / MAP-E環境でもWireGuardサーバーとして使えますか？

DS-Lite / MAP-E環境では、IPv4のポート開放や外部からのIPv4着信が利用できない場合があります。外出先から接続するWireGuardサーバーとして利用する場合は、IPv6で到達できる構成、固定IPサービス、またはTailscaleなどのNAT越えしやすい方式を検討してください。

WireGuard関連パッケージがうまくインストールできません。

必ず手順通りの順番でipkファイルをインストールしてください。一部パッケージが、インストール時にほかのパッケージの導入状況を参照するため、未導入の関連ファイルがみつかるとエラーが出て進みません。

設定サポートはありますか？

当該サポート記事内容に関わる関連モジュールのインストール手順、セットアップ手順等の電話およびチャットによるサポートは提供しておりませんので予めご了承ください。

VPN Assistant更新履歴

2025/8/15 ver0.9 - WireGuard対応
2025/8/28 ver0.93 - Tailscale対応を追加、ほか