ShadowrocketのWireGuard設定方法｜秘密鍵・公開鍵・アドレス・DNS・MTUの入力手順

1. 入力前に設定の入手元と項目の区分を確認

ShadowrocketのWireGuardでは、有効な対向側の設定が必要です。サーバーアドレスだけでは接続できません。利用中のサービスと設定を用意するか、該当するWireGuardの対向側を管理していることが前提です。本サイトではノードやサブスクリプションの提供・販売・推奨は行っていません。手元の情報が通常のサブスクリプションURLだけの場合は、WireGuard形式の設定が含まれているか確認してください。サブスクリプションURLをサーバーアドレス欄に入力しないでください。

WireGuardの設定は一般に、[Interface]と[Peer]の2つのセクションで構成されます。前者はローカルの識別情報とトンネルインターフェース、後者はリモート側の識別情報と接続先を記述します。Shadowrocketではこれらの情報をサーバー編集画面の各項目に入力します。項目の並びや表示名は現在の画面に従い、以下では照合しやすいよう設定ファイルのキー名をそのまま記載します。

設定を受け取ったら、まず安全な場所にバックアップを保存してから入力してください。公開の質問にPrivate Key、Preshared Key、サブスクリプションURL全体を載せないでください。接続権限に関わる情報が含まれている場合があります。形式の確認だけなら、具体的な鍵を公開せず、文字数や空白の有無、記載されているセクションを伝えれば十分です。

2. Private KeyとPublic Key：ローカルの秘密鍵と対向側の公開鍵を取り違えない

[Interface]のPrivateKeyはクライアントの秘密鍵で、対向側に登録されたクライアント公開鍵と対応している必要があります。[Peer]のPublicKeyはサーバーの公開鍵で、リモート側の識別に使います。どちらもBase64形式の文字列に見えますが用途は異なります。見た目だけで判断したり、クライアント自身の公開鍵を対向側のPublic Keyに入力したりしないでください。

WireGuardの標準的な鍵はBase64で44文字になることが多く、末尾に=が付く場合があります。文字数が合っていても、鍵の組み合わせが正しいとは限りません。貼り付ける際は前後の空白、引用符、改行を取り除き、鍵そのものに含まれる+、/、=などは残してください。

• クライアントの秘密鍵を再生成した場合は、そこから導出される新しいクライアント公開鍵を対向側にも登録する必要があります。端末側だけを変更しても、接続が復旧するとは限りません。
• サーバー側の[Interface]からPrivateKeyをコピーしてクライアントに入力しないでください。該当クライアント専用に割り当てられた設定を使用します。
• 元の設定にPresharedKeyがない場合は未設定のままにしてください。PrivateKeyやPublicKeyを代わりに入力しないでください。
• 2台の端末で同じクライアント識別情報を同時に使わないでください。対向側が直近に通信したエンドポイントへ応答を送る場合があり、接続が交互に切れることがあります。

3. Address、Endpoint、ポート：トンネル内外のアドレスを区別する

Addressはトンネル内部のアドレス、Endpointはリモート側への接続に使う外部の接続先です。互いに置き換えることはできません。たとえば、クライアントに10.66.0.2/32が割り当てられ、Endpointが192.0.2.10:51820の場合、前者はトンネル内でのローカルアドレス、後者は暗号化されたUDPパケットの送信先です。このEndpointには文書用の予約アドレスを使用しているため、実際には接続できません。

/32はIPv4のプレフィックス長であり、ポートではありません。IPv6の単一アドレス設定には/128が使われる場合もあります。画面でIPv4アドレスのみを求められた場合、ポートやEndpoint全体を貼り付けないでください。IPv6アドレスは元の設定に明記され、ネットワークが対応している場合に限り入力します。存在しないアドレスを推測して追加しないでください。

WireGuardのAllowedIPsは、Peerが扱う宛先範囲と送信元の検証範囲を示すもので、クライアントのAddressを別の形で記述したものではありません。元の設定に0.0.0.0/0や::/0が含まれていても、そのサーバーを実際の通信に使うかどうかは、ShadowrocketのGlobal RoutingやConfigのルールと合わせて判断する必要があります。この2項目だけで、すべてのアプリの通信がそのサーバーを経由すると断定することはできません。

4. HomeからWireGuardを追加して、基本動作を確認する

初回はサーバーを1つだけ設定し、ルーティング、DNS、MTUを同時に変更せずに確認します。問題が起きたとき、どの変更が影響したのか切り分けやすくなります。WireGuardサーバーの追加には以下の手順を使います。Configは設定ファイルやルールを扱う画面なので、2つの入口を混同しないでください。

1. タイプを選択

   Home → + → Type → WireGuardに進みます。編集画面に戻ったら、タイプがWireGuardのままであることを確認してから入力します。

2. 接続先を入力

   Endpointのホストとポートを、それぞれ該当する欄に入力します。たとえば文書用の例192.0.2.10:51820は、アドレスとポートに分けます。実際の設定では有効な接続情報を使用してください。

3. 鍵を確認

   クライアントのPrivate Keyと対向側のPublic Keyを入力し、元の設定に従ってローカルのトンネルアドレスを追加します。Preshared Keyは明記されている場合のみ入力してください。

4. 保存して選択

   サーバーを保存し、Homeに戻って該当項目を選択します。初回接続時は、システムの案内に従ってVPN構成の追加を許可してください。許可はシステムVPN構成の作成を認めるもので、リモート側への到達を保証するものではありません。

5. 接続を確認

   Home → Global Routingで一時的にProxyを選択し、接続を開始して、アクセス権のあるテスト先に接続します。確認後はGlobal Routingを元の設定に戻し、通常のルールによる振り分けも確認してください。

Global RoutingのProxyはルールによる変数を減らすために使えますが、サーバー自体のアクセス権やネットワーク上の制限を回避するものではありません。DirectではWireGuardが通信を運んでいるか確認できません。Configを使う場合は、テスト先がそのサーバーを使うポリシーに実際に一致しているか確認してください。システムにVPN接続中と表示されても、それはローカルのトンネル状態を示すだけで、リモート側との鍵交換やサービスへのアクセス成功を意味しません。

5. DNSとMTUの設定：まず元の値を使い、必要なら個別に調整

DNSはドメイン名の名前解決を担い、鍵の誤りを修正するものではありません。従来のWireGuard設定に記載されたDNSは、その設定を使用するアプリが解釈することが多く、プロトコルのハンドシェイク項目ではありません。WireGuardの設定をShadowrocketに手動入力する場合、元のファイルにあるDNSが現在の設定に自動反映されるとは限りません。Settings → DNSと現在のConfigのDNS設定も確認し、実際に有効な設定に従ってください。

• Endpointにドメイン名を使う場合、接続の確立前にその名前を解決できる必要があります。利用できる唯一のリゾルバーが未確立のトンネル内部にあると、名前解決が接続に依存する状態になることがあります。元の設定における名前解決の設計を確認してください。
• 管理対象の接続先へIPアドレスでアクセスでき、ドメイン名では失敗する場合は、まずDNSを確認してください。ただし、HTTPSでIPアドレスに直接アクセスすると、証明書や仮想ホストの設定が原因で失敗することがあります。この現象だけでDNSの問題と断定しないでください。
• 内部ドメインの名前解決にサービス提供元指定のDNSが必要な場合、別のネットワークのリゾルバーをそのまま使うと、トンネル接続後も内部リソースにアクセスできないことがあります。

MTUはインターフェースで扱える最大パケットサイズです。WireGuardは外側のカプセル化によるオーバーヘッドを加えるため、トンネル内部のパケットサイズは経路の許容サイズに制限されます。MTUが大きすぎると、小さなリクエストは通る一方で大きなページの表示やアップロードが止まることがあります。小さすぎる場合は分割と処理の負荷が増えます。こうした症状はパケットロスやサーバー負荷でも起きるため、「読み込みが遅い」というだけでMTUが原因と判断しないでください。

テストごとにネットワークの種類、元のMTU、変更後の値、同じ操作での結果を記録します。下げても安定して改善しない場合は元の値に戻し、UDPの到達性、パケットロス、サーバー側のルーティングを確認してください。DNSやポートも同時に変更すると、接続が復旧しても原因を特定できません。

6. 症状に応じたトラブルシューティング：鍵からルーティングまで順に確認

まず接続の基本条件を確認し、その後にサービスへのアクセスを調べます。ポートへの到達性、鍵の対応、アドレス、対向側の転送と戻り経路を確認してから、DNSやルールによる振り分けを調べてください。サーバーを自分で管理している場合は、対向側の最終ハンドシェイク時刻や送受信カウンターも確認できます。利用中のサービス提供元が管理している場合は、個人情報を伏せたうえで時刻と症状を伝えてください。

Proxyでは正常に動作し、Configに戻すと失敗する場合は、WireGuardの鍵を再生成するのではなく、実際に適用されたルールとポリシーを確認してください。たとえばDOMAIN-SUFFIX,example.com,PROXYはexample.comとそのサブドメインに一致します。IP-CIDRはIPアドレスの範囲で、GEOIPはIPの地理情報データベースで照合し、FINALはそれ以前のルールに一致しなかった接続に適用されます。ルールは上から順に処理されます。接続先に適用されるポリシーは現在の設定で確認してください。