ShadowrocketのWireGuard設定方法｜秘密鍵・Peer公開鍵・Allowed IPs・MTUを解説

1. ローカルのInterfaceとリモートPeerを区別する

Homeで既存のWireGuard項目の編集画面を開き、まず元の設定にある[Interface]と[Peer]を分けて確認します。前者はローカルのトンネル識別情報とアドレス、後者は通信相手を示します。Shadowrocketでは同じ編集画面にまとめて表示される場合がありますが、項目の役割は異なるため、表示順にそのままコピーしないでください。

Private Keyにはローカルのクライアント秘密鍵を入力し、リモートPeerに対応するPublic Keyにはサーバーの公開鍵を入力します。サーバー側にも、このクライアント秘密鍵に対応する公開鍵を登録する必要があります。双方の識別情報が正しく対応して初めて、想定どおりの暗号化通信が確立します。クライアントの公開鍵をリモート公開鍵の欄に入力しても、形式が正しいだけでは本人確認できません。

元の設定でEndpoint = 203.0.113.10:51820と表示されている場合、Addressにはリモートアドレス、Portにはポート番号を入力します。このアドレスは文書用の例示範囲に属しており、実際の接続には使えません。[Interface]のトンネルアドレスをリモートAddressに入力しないでください。また、よく見かけるポート番号だからといって、サービス提供元が指定した別のポートを置き換えないでください。

2. HomeでWireGuardを追加して各項目を保存する

Homeの右上にある+をタップし、Add Serverを開いてTypeをWireGuardに設定してから各項目を入力します。以下は手動確認の順序です。画面のレイアウトによって一部の詳細項目が折りたたまれている場合もあるため、表示内容は現在の編集画面で確認してください。元の設定にあるキー名とフォームの項目名は完全には一致しないことがあります。たとえば、PresharedKeyはPre-shared Keyに対応します。

1. 種類を選択

   Home → + → Type → WireGuardの順に開きます。先にプロトコルを選択してから情報を入力し、WireGuardの鍵を別のプロトコルのPassword欄に入れないようにします。

2. 接続先を入力

   PeerのEndpointをAddressとPortに分けて入力します。元の値にIPv6アドレスが含まれる場合は、フォームの指定に従ってアドレスとポートを別々に入力し、ポート区切り用の角括弧を通常のアドレス値に含めないでください。

3. 識別情報を入力

   Private Keyにはローカルの秘密鍵を、Peerに対応するPublic Keyにはリモートの公開鍵を入力します。元の設定にPre-shared Keyが含まれている場合は、双方で合意した同じ値を入力します。

4. アドレスを確認

   InterfaceのAddressをローカルトンネルアドレスの項目に対応させ、IPv4、IPv6、プレフィックス長を確認します。MTUは既存の設定値を入力してください。ローカルトンネルアドレスをDNSやリモートサーバーのアドレスとして使わないでください。

5. 保存して接続を確認

   保存後、Homeに戻って該当項目を選び、接続を開始します。初回にシステムのVPN構成追加許可が表示されたら、内容を確認して許可します。その後、該当項目を経由することが明確なリクエストで接続を確認してください。保存できたことだけでは、接続可能とは判断できません。

3. Private Key、Public Key、Pre-shared Keyの対応関係

編集画面で鍵を確認する際は、元の設定全体からコピーし、前後の空白や改行、末尾の文字の欠落を避けてください。Private Key、Public Key、Pre-shared Keyは、いずれも似た長さのBase64文字列で表示されることがありますが、見た目が似ていても互換性はありません。サーバーの秘密鍵をクライアントにコピーしてはいけません。クライアントに必要なのはサーバーの公開鍵です。

調査記録には、項目の有無、アドレスプレフィックス、ポートなど必要な情報だけを残し、Private Key、Pre-shared Key、サブスクリプションURL全体は隠してください。Public Keyは秘密鍵ではありませんが、特定の設定を識別する手がかりになることがあります。公開の場で共有する際も、必要最小限の情報にとどめてください。

4. Allowed IPsとGlobal Routingの役割

利用中のWireGuard設定で、[Peer]内のAllowedIPsを確認します。これはPeerに関連付けるIPプレフィックスを示します。送信時は、このPeerに渡せる宛先範囲を選び、受信時はPeerが使用できる内側の送信元アドレスを制限します。実装によっては、これを基にルートが作成されるため、単なるメモ項目として扱わないでください。

Shadowrocketでは、まずGlobal RoutingとConfigのルールで各リクエストに使うポリシーを決め、そのうえでWireGuard項目が対象の通信を処理できるかを確認します。両者は別のレイヤーです。WireGuardの編集画面にAllowed IPsがある場合は元の値と照合してください。項目がない場合はAddress、Public Keyなど無関係な欄に入力せず、元の設定のルーティング動作がConfigのルールにすべて自動で反映されるとも考えないでください。

Home → Global Routingで確認するときは、以下の2つの設定方法で「項目自体が使えるか」と「ルールでその項目が選ばれているか」を切り分けられます。通常の利用方法は既存の設定に合わせてください。Global RoutingのDirectはプロキシ項目を経由せず、Sceneは状況に応じた選択に使います。どちらもAllowed IPsのアドレス範囲とは別のものです。

5. MTUの設定：まず元の値を維持し、経路の問題を確認する

WireGuardの編集画面でMTUを見つけたら、まず既存の設定値を維持してください。MTUはトンネル内の1つのIPパケットのサイズを制限します。WireGuardの外側のカプセル化にも追加の領域が必要となるため、トンネル内で使えるサイズは通常、基盤となるリンクのMTUより小さくなります。Wi-Fiやモバイル回線の値をそのまま流用しないでください。

接続は確立できて短いリクエストも完了するのに、大きな応答だけ停止する場合に限り、経路MTUを原因候補の一つとして検討します。「サイトが開かない」というだけではMTUの問題とは判断できません。DNS、リモート側の出口、ルーティングの選択でも似た症状が起こります。よく見かける1420は調整の出発点にすぎず、すべてのネットワークに適用できる固定値ではありません。

• まず記録：元のMTU、接続中のネットワーク、テスト対象、失敗時の症状を記録し、後から元に戻せるようにします。
• 次に個別に調整：MTUだけを変更して接続を再確立し、同じ対象でテストを繰り返します。DNS、鍵、ルールを同時に変更しないでください。
• 条件を確認して値を下げる：たとえば元の値が1420の場合、サービスの設定内容を理解したうえで1380と比較できます。数値は診断例です。
• IPv6に注意：1280はIPv6の最小リンクMTUです。IPv6を使う場合、これより小さい値を一般的な解決策として設定しないでください。
• 改善しなければ元に戻す：MTUを小さくすると、同じデータを送るために必要なパケット数が増えます。「小さいほど安定する」と考えて恒久設定にしないでください。

6. 症状別の確認：保存できてもアクセスできない場合

Homeで保存したWireGuard項目を選択したら、まず接続スイッチと、実際のリクエストに使われているポリシーを確認してから、通信結果を調べます。システムにVPNアイコンが表示されるのは、該当するネットワーク拡張機能が動作中であることを示すだけで、リモート側とのハンドシェイク完了を意味しません。WireGuardはアイドル時に通信が継続して発生するとは限らないため、再現可能なテストリクエストを自分で送信してください。

Settings → On Demandで自動接続の条件を確認します。手動で切断しても条件によって再接続され、テスト状況を誤認することがあります。On Demandは接続を開始するタイミングを制御するもので、WireGuardの設定値を修正する機能ではありません。確認が終わったらGlobal RoutingとOn Demandを元の状態に戻し、有効だった設定値を記録してください。

7. 保存前の最終確認とクライアントの入手方法

項目の編集画面に戻り、以下のチェックリストで最終確認してから設定を保存します。既存のサブスクリプションから追加した項目は、次回更新後も重要な値がサーバー側と一致しているか確認してください。手動で変更した値とサブスクリプションの内容の違いは、利用者自身で記録・管理する必要があります。

• Private Keyは現在のクライアント用、Peer Public Keyはリモートサーバー用で、取り違えていない。
• Pre-shared Keyは双方で合意した場合のみ入力し、設定されていない場合は無効のままにする。
• AddressとPortにはリモートの接続先を入力し、ローカルトンネルアドレスには割り当て済みのアドレスとプレフィックス長を使う。
• Allowed IPsが対象アドレス範囲と一致し、Global RoutingとConfigのポリシーでも意図した項目が選択される。
• MTUには根拠のある値を設定し、テストで変更した場合は元の値を記録している。

Shadowrocketを入手するには、まず当サイトの正規アプリ確認ページを開き、その後App Storeに進みます。開発元はShadow Launch Technology Limited、アプリIDは932747118です。Shadowrocketは買い切りのクローズドソース商用アプリです。アプリの購入と通信サービスの契約は別であり、接続設定は利用者がすでに使っているサービスから提供されます。主にiPhoneとiPadで利用できます。ほかのApple製デバイスとの互換性およびシステム要件は、App Storeの掲載内容をご確認ください。