OPNsenseにおけるWireGuardは、Instance（サーバー側の仮想インターフェース設定）と
Peer（接続を許可する相手）を組み合わせて構成します。OPNsense公式では、トンネル用アドレスは
物理的に別インターフェースが存在するかのように、独立したネットワークとして設計することが推奨されています。^[1][2]

• OPNsense管理UIにログインできること
• WAN側で UDP 51820 を利用できること
• 上位ルータ配下にOPNsenseがある場合は、UDP 51820 を OPNsense WAN に転送できること
• 接続先LANセグメントと重複しない WireGuard 用ネットワークを用意できること
• Windowsクライアントへ公式 WireGuard for Windows を導入できること

記事内の説明は、次の例を使って統一します。数値はあくまでサンプルなので、本番では自社のアドレス体系に置き換えてください。

保存後、もう一度 Instance を開いて Public Key を控えておきます。
この公開鍵は、あとで Windows クライアント設定に入れるサーバー側公開鍵です。^[1]

OPNsenseの現行ドキュメントでは、複数クライアントを配布する用途には
Peer generator の利用が案内されています。インスタンス選択、Endpointの保存、
アドレス自動採番、Configテキストの生成ができ、公開鍵だけが OPNsense 側に保存されます。秘密鍵は
OPNsense に保持されないため、生成した設定は安全に保管してください。^[2][3]

推奨手順: Peer generator を使う #

1. VPN > WireGuard > Peer generator を開きます。
2. 対象の Instance を選択し、クライアント名、接続先FQDN/ポート、必要なネットワーク、DNS を入力します。
3. Address は 10.10.10.2/32 のようなクライアント専用アドレスを割り当てます。現在の実装ではアドレス自動採番も利用できます。^[3]
4. Keepalive intervalは25秒がおすすめ（NATやFW越え時の接続性観点から）
5. DNSは通常空欄でOKですが、VPN先のDNSサーバーでホスト名を引かせたい場合はここで指定する必要があります。
6. Enable WireGuardをチェック
7. Store and generate next で公開情報を保存し、生成された Config をコピーして
   client-windows.conf として安全に保存します。続いて Peers 画面で Apply を実行します。^[2]

手動でPeerを作る場合 #

Peer generator を使わない場合は、VPN > WireGuard > Peers で新規 Peer を作成し、
クライアント公開鍵とクライアント用の /32 アドレスを設定します。^[1]

手動でPeerを作成したら、元の Instance に戻って作成済み Peer を紐づけ、保存して Apply します。^[1]

[Interface]
PrivateKey = <Windowsクライアントの秘密鍵>
Address = 10.10.10.2/32
DNS = 10.10.10.1

[Peer]
PublicKey = <OPNsense Instance の公開鍵>
Endpoint = vpn.example.jp:51820
AllowedIPs = 192.168.10.0/24, 10.10.10.0/24

OPNsense公式では、割り当てたインターフェースに IP を直接設定する必要はなく、
Instance に入れたトンネルアドレスが WireGuard 再起動後に自動反映されると案内しています。^[1]

公式手順では、WAN側でトンネル確立用のUDPを許可し、続いて
WireGuardインターフェース側で通してよい宛先を許可する二段構成です。^[1][2]

WAN側ルール #

WireGuardインターフェース側ルール #

OPNsense公式では、WireGuard側ルールの宛先は any にもできますが、
実運用においては必要なサブネット・必要なサーバーだけを許可する のがおすすめです。^[1]

Windows側は 公式 WireGuard for Windows を使うのが最もシンプルです。インストーラは
WireGuard公式サイトから入手できます。^[4]

1. WireGuard for Windows をインストールします。
2. OPNsense の Peer generator で保存した client-windows.conf を用意します。手動作成の場合は前述テンプレートを利用します。
3. WireGuard for Windows に設定ファイルをインポートします。
4. 対象トンネルを有効化し、接続を開始します。

[Interface]
PrivateKey = <クライアント秘密鍵>
Address = 10.10.10.2/32
DNS = 10.10.10.1

[Peer]
PublicKey = <OPNsense公開鍵>
Endpoint = vpn.example.jp:51820
AllowedIPs = 192.168.10.0/24, 10.10.10.0/24

AllowedIPs に 192.168.10.0/24 のようなLANセグメントを入れることで、
その宛先だけがトンネルへ送られます。もしクライアントの全通信をVPNへ流したい場合は、
公式手順どおり 0.0.0.0/0 や ::/0 を使いますが、その場合は OPNsense 側の NAT / ルーティング設計も追加で必要です。^[1]

• Windowsクライアントでトンネルを有効化する
• 10.10.10.1（OPNsense側トンネルIP）へ疎通確認する
• LAN側の代表ホスト（例: 192.168.10.10）へ ping、RDP、SSH などを試す
• 必要に応じて名前解決を試し、DNS が通るか確認する
• VPN > WireGuard > Status で handshake と送受信量を確認する^[2]

1. OPNsense Documentation, WireGuard Road Warrior Setup
   https://docs.opnsense.org/manual/how-tos/wireguard-client.html
2. OPNsense Documentation, Virtual Private Networking > WireGuard
   https://docs.opnsense.org/manual/vpnet.html
3. OPNsense Documentation, 24.1 “Savvy Shark” Series（Peer generator関連の更新を含む）
   https://docs.opnsense.org/releases/CE_24.1.html
4. WireGuard Official, Installation
   https://www.wireguard.com/install/