NURO光の爆速回線（10Gbps/2Gbps）を開通させ、宅内LANの二重ルーター問題もクリアした我が家のインフラ環境。しかし、前編・後編を経て最後に立ちはだかったのが「MAP-E（IPv4 over IPv6）によるポート開放不可・外部アクセス遮断の壁」でした。「外出先から自宅のSynology NASに繋がらない」「これまで使っていたVPNやDDNSが全滅した」——本記事では、この厄介なトラブルを紐解き、ポート開放に頼らず安全かつ高速に外部アクセスを完全復活させるまでのアプローチを公開します。
なぜ繋がらない？「MAP-Eの罠」の正体
従来のPPPoE接続では、各家庭に固有のIPv4グローバルIPが1つ割り当てられていたため、「ルーターでポートを開放し、DDNSで名前解決する」というクラシックな手法で外部アクセスが可能でした。しかし、NURO光を含む最新のIPoE（MAP-E）環境では仕組みが根本から異なります。
- IPv4アドレスの共有： 1つのグローバルIPv4アドレスを複数ユーザーでシェアしている。
- 利用可能ポートの制限： 各ユーザーに割り当てられるポート番号が限定されており、ウェルノウンポート（Well-Known Port /80, 443, 5000, 1194など）を自由に使えない。
- 従来のDDNS＋ポートフォワーディングの崩壊： 外部からのインバウンド通信がルーター手前でブロックされるため、これまで通りの設定では絶対に到達できない。
つまり、「ルーターのポートを空けて待つ」という従来のアプローチ自体を捨てる必要がありました。
検討した解決アプローチと最適解
外部から自宅LANへ安全にアクセスするために、以下の3つの手段を比較検討しました。
| 手法 | メリット | デメリット / 課題 | 採用判定 |
| ① 割り当てポートの手動マッピング | 追加ソフト不要、直接通信 | ポート番号が特殊になり管理が煩雑。IP変動時に破綻するリスク | ✕ |
| ② Synology QuickConnect | 設定が極めて簡単。ブラウザや公式アプリで即利用可 | 中継サーバー経由のため速度・レスポンスに限界がある | ◯（Synology Active InsightなどNASアプリ用） |
| ③ Tailscale（メッシュVPN / WireGuard） | ポート開放不要（NAT越え）、高速（P2P）、全端末を単一LAN化 | 各端末にクライアント導入が必要 | ◎（メイン採用） |
結論：Tailscaleを主軸とし、QuickConnectを予備とする二段構え
もっとも実用的でセキュア、かつ転送速度も確保できそうな「Tailscale（メッシュVPN）」をメインの外部アクセス基盤として構築することに決定しました。もしもの場合にもQuickConnectによる接続もできるので、この機会に外部接続環境を一新します。
Tailscaleによる外部アクセスの構築
Tailscaleは、WireGuardプロトコルをベースにしたゼロコンフィグVPNです。外部からポートを開けるのではなく、「宅内のNASやPC」と「手元のスマホ・外出先PC」がそれぞれ外に向けてトンネルを張り、P2Pでセキュアに直接接続する（NATトラバーサル）ため、MAP-E環境下でも完璧に動作します。
Synology NASにTailscaleを導入
- DSM（DiskStation Manager）のパッケージセンターからTailscaleをインストール。
- Tailscaleの管理画面（ブラウザ）へログインし、NASを自前ネットワーク（Tailnet）に登録。
- NASにTailscale専用のプライベートIPが即座に払い出される。
- DSMアプリなので、２台目のクライアント導入の案内が…結構至れり尽くせりですね。
サブネットルーター化（宅内全機器へのアクセス許可）
NASだけでなく、宅内の他のサーバーやルーター管理画面にもアクセスできるよう、NASを「Subnet Router」として設定しました。
- NAS側で宅内ローカルIP帯（
192.168.1.0/24等）のルートアドバタイズを有効化。 - Tailscale管理ダッシュボード（Admin Console）上で、該当ルートを「Approve（承認）」。
- これにより、外出先から自宅LAN全体へ透過的にアクセス可能に。
クライアント端末（iPhone・MacBook・Windows）の設定
- スマートフォンやノートPCにTailscaleアプリをインストールし、同じアカウントでログイン。
- スイッチを「ON」にするだけで、外出先のセルラー回線（4G/5G）から自宅のNASが「あたかも同じ部屋のLANにあるかのように」即座に認識されます。
実際に構築してみると、それこそあっけないくらいに簡単に導入できました。旧来はDDNSを設定したり、ポート転送を設定したり、その他諸々を細々と設定して苦労しましたので、初回導入はおっかなびっくりだったのですが…案ずるより産むが易しでした。
割り当てられたIPやホスト名が一覧できます。「MagicDNS」を有効にしておくとIPを意識しないでホスト名でアクセスできる様になります。すごい！
MagicDNSで簡単アクセス
Tailscaleの「MagicDNS」は、100.x.y.zといったTailscale固有のIPアドレスを覚えなくても、「端末名（マシン名）」を指定するだけで相互接続できるようにする自動DNS機能です。Synology NASや外出先PCへの接続でIPアドレスを直打ちする必要がなくなり、設定や日常のアクセスが大幅にシンプルになります。
MagicDNSの有効化手順
- Tailscale管理画面にアクセス：ブラウザで Tailscale Admin Console にログインします。
- DNS設定を開く：上部メニューの 「DNS」 タブを開きます。
- MagicDNSを有効化：「MagicDNS」の項目にあるトグルスイッチを 「Enable MagicDNS」 に切り替えます（初回はワンクリックで有効になります）。
MagicDNSが有効になると、各端末に「マシン名」と「FQDN（完全修飾ドメイン名）」が自動で割り当てられます。
- 短縮名（マシン名のみ）：同じTailscaleネットワーク内であれば、マシン名単体でアクセス可能です。
- 例:
ping nas - 例:
ssh user@nas - 例: MacのFinderで
smb://nas
- 例:
- 完全修飾ドメイン名（FQDN）：
<マシン名>.<Tailnet名>.ts.netの形式です。ブラウザからのアクセスや確実な名前解決を行いたい場合に使用します。- 例:
[https://nas.your-tailnet.ts.net:5001](https://nas.your-tailnet.ts.net:5001)（Synology DSM管理画面） - 例:
smb://nas.your-tailnet.ts.net
- 例:
便利な活用法とおすすめ設定
- 端末名のわかりやすいリネーム：Tailscale管理画面の「Machines」一覧から、各端末の右側メニュー（
...）＞ 「Edit machine name」 を選ぶと、synology-ds923➜nasのように短く直感的な名前に変更できます。 - Let’s EncryptによるHTTPS証明書の自動取得：MagicDNSを有効にした状態で「HTTPS Certificates」を有効化すると、Tailscaleが公式のLet’s Encrypt証明書を発行してくれます。ブラウザで警告を出さずに
[https://nas.xxxx.ts.net](https://nas.xxxx.ts.net)で安全にWeb管理画面を開くことが可能です。 - スマホアプリ・Synology Driveでの指定：スマートフォン側の「Synology Drive」や「Synology Photos」アプリの接続先サーバー名に、IPアドレスではなく
nasまたはnas.your-tailnet.ts.netを入力するだけで、外出先（5G）からも自宅Wi-Fiからも同じ設定のまま通信できます。
うまく繋がらない場合の確認点
- TailscaleアプリがONになっているか： クライアント側（スマホやPC）のTailscale接続が有効になっている必要があります。
- 名前の重複： 同じTailnet内に同じ名前のマシンが存在する場合、自動的に
-1,-2などの連番が付与されるため、管理画面で正しい名前を確認してください。
外部アクセスの動作検証とパフォーマンス測定
構築完了後、スマートフォンのWi-FiをOFF（5G通信）にした状態で各種テストを実施しました。
Synology Drive & 写真バックアップ（Synology Photos）
- 挙動： TailscaleのプライベートIPまたはMagicDNSホスト名で接続。
- 結果： 外出先で撮影した写真や動画が、爆速のアップロード速度で自宅NASへ瞬時に吸い上げられることを確認。中継サーバーのオーバーヘッドがないため、レスポンスは有線LAN直結とほぼ遜色ありません。
もちろんQuickConnet経由での接続も問題ありませんが、やはり速度的な制限が出ているようです。Tailscaleの降り出したIPを使って接続してみるとその差は歴然でした。
リモート管理・ファイル操作（SMB / SSH）
- 外出先のMacBookからFinderでを叩くだけで、自宅の共有フォルダが瞬時にマウント。
- ルーター管理画面やNASのDSM設定画面も、HTTPS経由でセキュアに開けることを確認。
VPN以上に簡単に接続できるのでありがたいです。自宅ネットワークで接続しているのとなんら変わりません。これならもっと早くに導入してもよかったかもしれません。
（小規模マンションでの）NURO光導入を終えて
「築古・小規模マンションだから無理」と諦めかけていたところからスタートした今回のNURO光導入プロジェクト。
- 管理会社の提案を契機とした建物設備のクリア（前編）
- キャッシュバック失効の仕組み化と、屋内工事・宅内LAN配線の最適化（前編）
- 二重ルーター回避と、10Gbps/2Gbps爆速通信の実現（後編）
- MAP-Eの制約をTailscale（メッシュVPN）でエレガントに突破（解決編）
トラブルや技術的な壁はありましたが、ひとつひとつ原因を切り分けて再設計することで、「下り・上りともに圧倒的な高速通信」と「セキュアで縛りのない外部アクセス環境」を完全に両立させることができました。同じ料金はらうのなら早いに越したことはないですよね。使ってみると回線速度の速さを確かに感じます。ダウンロードとか圧倒的に早くなっています。気持ちいいですね👍
回線速度に悩んでいるマンション住まいの方や、NURO光への移行でNAS・自前サーバーの扱いに不安を抱えている方の参考になれば幸いです。
コメント