ミニ PC と OPNsense で安全なホームネットワークを構築し、FrontierStack で管理する

公開 2026-08-29

置き換えを許されないルータをレンタルさせられるのは、独特のいら立ちがあります。ISP の中には、ゲートウェイをロックし、速度を絞り、広告を差し込み、あるいは — この記事のきっかけになった動画のように — 自前ハードウェアを使ったという理由で顧客の回線を切るところさえあります。朗報は、すべての前段に本物のファイアウォールを置き、ISP を満たしつつ、真にプライベートで監視されたネットワークを家庭で運用できることです。その方法と、稼働後の健全性の保ち方を説明します。

ケースの話は省き、重要な点に絞ります：ハードウェア、OPNsense のセットアップ、接続機器を確認する ISP を通過する巧妙な一手、そして多くのガイドが省く部分 — 稼働後に実際どう見張るか、です。

ハードウェア：小さく静かなファイアウォール機

ラックも騒がしい 1U サーバも不要です。少なくとも 2 基の 2.5 ギガビット NIC を備えた低消費電力の x86 ミニ PC で家庭回線には十分で、冷たく静かに動きます。相性の良い定番は ZimaBoard 2（Intel N150、ファンレス、オンボードでデュアル 2.5GbE）です — そのファイアウォールキットは PCIe の Intel I226 カードを追加し、後で複数ネットワークを切り出せます。Intel i225／i226 NIC を備えた同等のファンレスミニ PC なら同様に使えます。BSD で扱いにくい安価な Realtek 2.5GbE は避けてください。

最小限で有能な買い物リスト：

• ファイアウォール本体 — ファンレス x86 ミニ PC、Intel 2.5GbE を 2 基以上、RAM 8–16 GB、小さな SSD／eMMC。（ZimaBoard 2 ファイアウォールキットは手軽な既製の選択肢です。）
• ISP の ONU／モデム — 可能ならブリッジ／パススルーモードにし、ルーティングは OPNsense 機に任せます。
• マネージド（VLAN 対応）スイッチ — 信頼デバイス・仕事・IoT・ゲストを分けたい場合。
• アクセスポイント 1 台以上 — VLAN に対応づけた複数 SSID を出せるものが理想です。
• Ethernet ケーブルと、初回設定用にコンソール／Web UI へ到達する手段。

自社ゲートウェイしか信用しない ISP を通過する

動画の一手を、きちんと説明します。多くの ISP は、回線に挿さった機器の MAC アドレスで接続を認証し、その MAC が自社機器のものであることを期待しがちです。MAC アドレスの先頭 3 バイトは OUI（組織固有識別子）で、ハードウェアの製造元を示します。まったく違う MAC の自前ルータを挿すと、ISP は接続を拒否したり「未認証デバイス」ページを返したりします。

回避策は、OPNsense の WAN に、ISP がすでに信頼している同じ MAC を提示させることです。動画では Wireshark で ISP ゲートウェイと回線の間の通信を観察し、そのゲートウェイの本物の MAC アドレスを読み取ります（でたらめなランダム MAC ではだめです — その OUI が実在ベンダーと一致せず、なりすましだと丸わかりになります）。それを OPNsense の WAN インターフェイスにクローンします。ISP からは何も変わっていないように見え、そのアドレスの背後で、あなたは自前ファイアウォールを動かしています。

クローン自体は OPNsense では簡単です — WAN のインターフェイス設定に 「MAC アドレス」欄があり、取得したアドレスを貼り付けます（WAN が VLAN サブインターフェイスなら、親の物理 NIC に MAC を設定します）。再接続すれば、ISP 機がまだそこにあるかのように DHCP リースが下りてきます。

OPNsense のセットアップ手順

OPNsense のインストーラをダウンロードして USB に書き込み、ミニ PC の SSD にインストールします。初回起動時、コンソールがインターフェイスの割り当てを求めます — 一方の NIC を WAN（ISP 側）、もう一方を LAN（スイッチ／AP 側）にします。LAN 上のマシンから Web UI を開き、次を進めます：

• WAN — 通常は ISP からの DHCP。ここに上記のクローン MAC を貼り付けます。既定のプライベート／bogon ブロックは有効のままに。
• LAN と DHCP — サブネットを決め、DHCP サーバを有効にし、ゲートウェイと DNS リゾルバとして OPNsense 機を配布します。
• VLAN — ここが真の見返りです。信頼・仕事・IoT・ゲストの VLAN を作り、スイッチでタグ付けし、各々を AP の SSID に対応づけます。ファイアウォールルールで IoT やゲストが信頼デバイスに到達できないようにします — スマート電球が NAS を見られてはいけません。
• ファイアウォールルール — VLAN 間は既定拒否、各ネットワークがインターネットへ必要な分だけ許可。ブロックはログして、何が通信を試みているか見えるようにします。
• 広告ブロック付き DNS — OPNsense 内蔵の Unbound リゾルバには DNS ブロックリスト機能があります。有名リストをいくつか指定すれば、クライアントに何も入れずに全デバイスで広告・トラッカーがブロックされます。（AdGuard Home／Pi-hole を併用しても可。）
• 侵入検知 — Suricata（侵入検知）プラグインを入れ、WAN で有効化し、ルールセットを購読します。既知の悪性トラフィックを監視して警告します — 「何か変」と「何が引っかかったか正確に分かる」の差です。
• 自宅 VPN — WireGuard を追加すれば、サービスをインターネットに晒さずに、どこからでも自分のネットワークへ安全に到達できます。

これで、自分が所有するハードウェア上に、完全でプライベートかつセグメント化された家庭ネットワークが整いました — 何を動かしてよいかをレンタルゲートウェイが決めることはありません。

ガイドが省く部分：健全性を保つ

ファイアウォールは「置いたら忘れる」ものではありません。WAN 回線は落ち、インターフェイスはキャリアを失い、サービスは死に、Suricata は発報し、管理ログインは総当たりされ、ファームウェアは遅れます。家庭環境では、たいてい既にインターネットが落ちてから気づきます。まさにここで FrontierStack が生きます — いま構築したネットワークのための静かな運用コンソールに、あなたの Mac を変えます。

FrontierStack の ルータとネットワークペインに OPNsense 機をアドレスと API キー（System › Access › Users で作成）で追加すると、ルータ自身の REST API 経由でファイアウォールを管理します — アプライアンスには何もインストールしません：

• 継続監視 — アラートのスイープごとに WAN ゲートウェイ状態・インターフェイスのキャリア・サービスの健全性を照会し、ISP 回線の死を原因不明の障害ではなく名指しのアラート（Telegram・Slack・メール・SMS など）で通知します。
• 侵入・攻撃の兆候 — 同じ API 経由で Suricata の直近アラートを読み取り、侵入検知の瞬間にルータのドットをオレンジにします。管理画面への総当たり（最も多い送信元 IP を名指し）、リソース逼迫、予期しない再起動、古いファームウェアも検出します。
• ライブ状態とサンプリング — バージョン・稼働時間・負荷・インターフェイス別スループットを、Web UI を開かずにオンデマンドで。
• 再起動と操作 — ペイン（または AI 管理者への依頼）から API 経由でルータを再起動し、変更が必要なときはファイアウォールルールや IDS のページへ直接ジャンプします — FrontierStack はこれらのアプライアンスを監視しますが、ルール編集はルータ自身の設定システムに委ね、ネイティブページを案内します。
• VPN メッシュへの参加 — 特に嬉しい点：FrontierStack は OPNsense ルータを Tailscale にオンボードできます。ルータ側のブラウザログインは不要です。Mac で Tailscale にサインインし、事前認証キーを発行してデバイスペインに貼り付けると、os-tailscale プラグインを入れて接続します — どこからでもファイアウォールへ届くプライベートな経路です。
• 平易な言葉で尋ねる — AI 管理者はルータの状態とセキュリティ兆候を報告し、再起動し、そこで行うべき作業には Web UI を開くことを提案します。

役割分担は明快です：ネットワークは一度だけ構築し — ミニ PC、MAC クローン、VLAN・IDS・DNS ブロック・VPN 付きの OPNsense — あとは稼働する限り、FrontierStack が監視し、通知し、ワンクリックで操作できる状態に保ちます。

まずはリモート＆ネットワークガイドをご覧になり、ソリューションで構築のヒントを探し、FrontierStack をダウンロードして、いま構築したファイアウォールを管理してください。