Shadowrocket WireGuard設定ガイド｜秘密鍵・Peer公開鍵・Allowed IPsの入力方法

1. InterfaceとPeerの役割を確認する

WireGuardはアカウントとパスワードでログインするのではなく、鍵ペアで通信相手を識別します。サービスから提供される設定ファイルには、通常 [Interface] と [Peer] の2つのセクションがあります。ここでいう「端末側」はこのクライアント設定を使うデバイス、「接続先」は接続するサーバーを指します。転記する際はこの関係を保ち、Public Keyを見つけても端末側の公開鍵を接続先の公開鍵欄に入力しないでください。

たとえば、クライアント設定の Address = 10.66.0.2/32 は、トンネル内で端末が使うIPv4アドレスを示します。一方、Endpoint = 192.0.2.10:51820 は通信時に接続する相手のアドレスです。両者を入れ替えても、正しい接続先にもトンネル内の送信元アドレスにもなりません。

2. Private KeyとPublic Keyの入力先

ShadowrocketのWireGuard編集画面では、Private Keyにはクライアント設定の [Interface] にある PrivateKey を入力し、PeerのPublic Keyにはクライアント設定の [Peer] にある PublicKey を入力します。画面上の項目名にはスペースがありますが、設定ファイル内のキーワードにスペースがないだけで、意味は同じです。

WireGuardの鍵は大文字と小文字を区別します。一般的なテキスト形式は44文字のBase64文字列で、末尾に = が付く場合があります。コピーする際は PrivateKey = のような項目名を含めず、末尾の文字も省略しないでください。形式上の長さが合っていても、サーバーに登録された鍵と一致するとは限りません。

3. Endpoint・トンネルアドレス・MTUの入力

Endpointには接続先のアドレスとUDPポートの両方が含まれます。編集画面でアドレスとポートが別欄になっている場合は、それぞれ分けて入力してください。「アドレス:ポート」を、アドレスのみを受け付ける欄にまとめて入力しないでください。51820はよく使われるポートの例で、すべてのWireGuardサービスで固定されているわけではありません。実際の値は手元の設定情報に従ってください。

MTUはトンネル内の1パケットのサイズに影響します。値が大きすぎると、一部の経路で小さなリクエストは通るのに大きなレスポンスが止まることがあります。ただし、DNS、接続先のサービス、パケットロスなどが原因の可能性もあります。サービス指定の値があればそのまま使い、指定がなければアプリの初期値を維持してください。あらゆる不具合に対して、まずMTUを下げるのは避けてください。

• MTUを試験的に変更する場合は、最初に元の値を記録し、一度に変更するのはこの項目だけにします。再接続後、同じテスト先に再度アクセスしてください。
• 現在の値が1420の場合、1380を小幅な調整のテスト値として試せます。改善しなければ、値を下げ続けるのではなく元に戻してください。
• 設定ファイルのDNSアドレスをEndpointに入力しないでください。また、サーバー追加時にファイル内のDNS設定がすべて自動適用されるとは限りません。

4. Allowed IPsとShadowrocketのルールによる振り分けは別の設定

AllowedIPsは、WireGuardでのPeer選択と受信アドレスの検証の両方に関係します。トンネルへ送る通信では、宛先アドレスに対応するPeerを決めるために使います。受信した通信では、復号後の送信元アドレスがそのPeerに許可された範囲内かを確認します。対象はIPネットワークのみで、example.comのようなドメイン名は指定できません。

0.0.0.0/0はすべてのIPv4アドレスを、::/0はすべてのIPv6アドレスを対象にします。ただし、これだけでShadowrocketがすべてのアプリ通信をこのサーバーに送るわけではありません。まずGlobal RoutingのモードとConfigのルールが通信経路に影響し、通信が実際にWireGuardへ送られた後、対象アドレスがそのPeerのAllowed IPsに含まれている必要があります。

サービスで 10.66.0.0/24 へのアクセスのみが許可されている場合、インターネット上のWebページを試すためにAllowed IPsを勝手にIPv4・IPv6の全アドレス範囲へ変更しないでください。クライアントが変更を受け付けても、接続先でインターネットへの転送やIPv6ルーティングが提供されていなかったり、必要なアクセス権がなかったりする場合があります。設定情報でアクセスが許可されている宛先を使って接続を確認してください。

5. HomeでWireGuardを追加して接続を確認する

追加する前に元の設定情報を保管し、現在のGlobal Routingも記録してください。Homeのサーバー項目、Configのルールファイル、Settingsのアプリ設定はそれぞれ別のものです。サーバー項目を追加しても、ルールファイルが切り替わるわけではありません。以下では手動入力の手順を説明します。編集画面で利用できる項目は、アプリに表示される内容を確認してください。

1. 設定情報を確認

   クライアント設定にInterfaceの秘密鍵とアドレス、Peerの公開鍵、Endpoint、Allowed IPsが含まれていることを確認します。Preshared KeyやMTUが指定されている場合は、それも記録し、設定ファイルの一部だけをコピーしないようにしてください。

2. 種類を選択

   Home → 右上の「+」→ Type → WireGuardの順に進みます。最初にTypeを確認し、WireGuardの公開鍵を別プロトコルのPassword欄に入力しないようにしてください。

3. 各項目を入力

   端末側と接続先の情報を分けて入力します。Endpointのアドレスとポートを編集画面の該当欄に入力し、Private Key、Peer Public Key、トンネルアドレス、および利用可能な追加項目を確認してください。

4. 保存して選択

   保存してHomeに戻り、追加したサーバーをタップして左側に選択マークが表示されていることを確認します。現在のルールでポリシーグループを使っている場合は、Homeの既定の選択だけでなく、そのグループで実際に選択されているサーバーも確認してください。

5. 接続をテスト

   Homeの接続スイッチをオンにします。初回は、システムの案内に従ってVPN構成の追加を許可してください。Connectivity Testでテスト先への接続結果を確認し、サービスでアクセスが許可されている宛先にもアクセスしてみます。

6. 設定を元に戻す

   トラブルシューティングのためにGlobal Routingを一時変更した場合は、確認後に元のモードへ戻してください。Settings → On Demandでオンデマンド接続の設定を確認し、切り分け中に自動接続や切断が発生して手動テストに影響しないようにします。

6. よくある問題：端末・経路・宛先を順に確認

7. 保存前の最終確認と機密情報の取り扱い

同じ条件で再現できるテストを一度行ったら、元の設定と最終的に使用する値の対応を記録しておきます。手動編集、再読み込み、既存の購読設定の更新後は、実際の項目をもう一度確認してください。ローカルで編集した値が次回の更新後も保持されるとは限りません。接続先や鍵が変更された場合は、利用中のサービスから届いた最新の設定情報を確認してください。

• 識別情報の一致：端末側のPrivate Keyと接続先に登録されたクライアント公開鍵が対になっており、Peer Public Keyが現在の接続先に対応していること。
• アドレスの確認：Endpointは接続先への入口、Addressは端末側のトンネルアドレス、Allowed IPsはPeerに対応するIPネットワークの範囲です。
• 経路を記録：テスト時のネットワーク、Global Routing、選択したサーバー、宛先アドレスを記録し、一度に変更する条件は1つだけにします。
• 元に戻せるようにする：MTU、ルール、接続モードを変更する前に元の値を記録します。テストに失敗したら、変更を重ねるのではなく元に戻してください。
• 機密情報を伏せる：問い合わせる際はPrivate Key、Preshared Key、既存の購読リンクに含まれる認証情報を削除してください。設定ファイルを共有する前にも同じ点を確認します。

ShadowrocketはAppleプラットフォーム向けの有料クライアントで、主にiPhoneとiPadで利用できます。入手先はApp Storeのみで、開発元はShadow Launch Technology Limitedです。アプリは買い切りですが、アプリの購入と通信サービスの契約は別です。システム要件と購入条件はApp Storeの表示をご確認ください。この記事では既存の設定情報の入力と確認方法を説明しており、サービスが許可するネットワークへのアクセス範囲を変更するものではありません。