昨今の情報漏洩に関するニュースに加え、生成AIサーバーを狙う攻撃の報告も目にするようになり、自宅のネットワークを見直しを行ってみました。その過程で、色々と調べてこともありますので、この記事で共有をさせていただきます。手元でAIや各種サーバーを動かすことが増えると、守りたいものは保存したデータだけではありません。入力した情報や認証情報、GPUなどの計算資源も対象になります。
今回、構成の中心にしたのは、回線事業者から提供されるホームゲートウェイ（HGW）の内側に、自分で選び、設定・更新を管理できるルーターを置く二段構えです。回線や電話のために必要な機器を残しながら、その先に家庭内の機器を守る境界を作ります。
まず、なぜ見直したのか、HGWとは何か、二段構えで何を変えるのかを図で説明します。その後に、HGW、内側ルーター、Wi-Fi、生成AIサーバーそれぞれの対策へ進みます。機種を限定せず、役割と確認する順序が分かる形にまとめます。
1．情報漏洩と、生成AIサーバーへの攻撃が気になった
情報漏洩にはさまざまな原因があります。生成AIの分野でも、Wizは2025年1月、DeepSeekのデータベースが認証なしで外部から参照でき、チャット履歴やAPIキーなどを含む情報が露出していたと報告がありました。ただし、これは情報が公開状態だったという報告で、悪意ある第三者による持ち出しを確認したという意味ではありません（Wizの調査、2025年1月29日）。
生成AIサーバーそのものを探し、悪用する動きも具体的に報告されています。GreyNoiseはOllamaを対象とした探索などの通信を観測し、Censysは2026年4月、インターネットに公開されたComfyUIを狙って、計算資源を暗号資産の採掘や通信の中継に使おうとする攻撃を報告しています（GreyNoiseの報告、Censysの調査、2026年4月6日）。
AIを使った攻撃だけでなく、AIを動かしているサーバーも攻撃対象になるわけです。「個人が家で動かしているだけだから、わざわざ狙われない」とは考えにくくなりました。ただし、公開サーバーの数や探索通信の数を、そのまま侵入・漏洩の被害件数として読むことはできません。
通信の入口となる家庭用ルーターも無関係ではありません。IPAは2025年、ルーターなどが他者への攻撃の中継点になる「ORB化」を注意喚起しています。また、FBIなどは2026年、脆弱なルーターのDHCP・DNS設定を書き換え、配下の端末の名前解決にも影響を与える活動を報告しました（IPAの注意喚起、FBIなどの共同発表）。
クラウド事業者側の情報露出を、自宅のルーターで防げるわけではありません。ここから扱うのは、自分が管理する家庭内の入口と端末です。入口の機器を見直し、必要な通信だけを通す構成にするところから始めました。
2．HGWとは何か。なぜ自分のルーターを追加するのか
HGWはHome Gateway（ホームゲートウェイ）の略です。フレッツ光や光コラボなどでは、回線事業者から提供され、インターネット回線と家庭内LANをつなぐルーター機能や、ひかり電話の接続を担う装置です。電話機用の端子や、PCなどをつなぐLAN端子が並んでいる機器、といえば思い当たる方もいると思います。
光信号と電気信号を変換するONU（光回線終端装置）を内蔵するものも、ONUとは別の箱になっているものもあります。Wi-Fiも、内蔵・追加カード・別のAPなど構成によって異なります。「回線のそばにある箱は全部同じ機能」というわけではありません（NTT西日本の接続機器の説明）。
こうしたHGWは、多くの場合、契約に応じてレンタルなどで提供されます。市販のルーターのように、好きなメーカーや機種へ自由に入れ替えられるとは限りません。例えばNTT西日本のひかり電話の提供条件には、ONU一体型と単体型を利用者が選べないことが明記されています。提供形態や交換条件は、契約先へ確認する必要があります（NTT西日本の提供条件）。
そこで、HGWには回線や電話のための役割を残し、家庭内の通信をどう許可するかを、自分で選んだ内側ルーターで管理する構成を考えます。HGWを使うこと自体が危険という話ではなく、自分で選べる部分に、更新と設定を継続して管理できる境界を設ける、という考え方です。
3．HGWの内側に、自分で管理するルーターを置く
接続と役割を分ける
基本は、HGWのLAN端子から、自前ルーターのWAN端子へ接続し、PC・NAS・生成AIサーバー・無線APを自前ルーターのLAN側へまとめる形です。ひかり電話を使う場合、電話機はHGW側に残します。回線終端装置などの配置は、契約と提供機器に合わせます。
内側の機器で、主に次の方針を決めます。
- 外側から新しく始まる通信を原則として拒否し、必要な例外だけ許可する。
- 管理画面へ接続できる端末・ネットワークを絞る。
- DHCPによる家庭内のアドレス配布と、DNSの利用先を自分の方針で管理する。
- 更新、設定の保存、ログの確認を続ける。
通常の通信への応答や、IPv6の動作に必要な制御通信まで一律に遮断する意味ではありません。上流の機器やその設定に問題が起きても、それがそのまま家庭内のサーバーへの直接接続になりにくいように、もう一つの通信制御の境界を置くことが狙いです。上流から配られるDNS設定などを無条件に引き継ぐのではなく、内側でどの設定を採用するかも確認します。
内側ルーターと、無線APのモードを取り違えない
境界を作る内側の機器は、ルーターモードで使います。APモードやブリッジモードにすると、ルーターとしての境界を作る役割が止まるため、今回の目的と違ってきます。
一方、そのさらに内側でWi-Fiを提供する機器は、通常、AP・ブリッジモードで使います。「内側ルーター」と「Wi-Fiを飛ばすAP」は別の役割です。無線機能付きルーター一台に両方の役割を持たせることもできますが、守りたい端末をHGWのWi-Fiへ直接つないだままにしないよう、接続先を確認します。
IPv4の二重NATと、IPv6の扱いを確認する
この接続では、IPv4で二重NATになる場合があります。外側と内側のLANは異なるアドレス帯にし、オンラインゲーム、VPN、外部からの接続などが必要なら、対応と動作を確認します。二段構えの適否や正式サポートの範囲は機種によって異なります。例えばAtermの公式技術情報には、二重ルーター構成を正式サポートしていない旨と、接続への影響が説明されています（Atermの技術情報）。
ヤマハもHGW配下での接続を説明していますが、IPv6 IPoEやIPv4 over IPv6の設定は、契約サービスと機器の条件で変わります。記事の図は役割分担の例であり、ケーブルをつなぐだけでどの回線でも完成する配線図ではありません（ヤマハのIPv6 IPoE接続資料）。
特に、IPv6はケーブルを二段にしただけで、必ず内側ルーターの受信制御を通るとは限りません。IPv6ブリッジ・パススルーで通信制御を迂回していないか、現在の接続方式でどのフィルターが働くかを確認します。IPv4 over IPv6を使う契約では、単純にIPv6を止めるとIPv4の接続にも影響する場合があります。
NATそのものはアドレス変換で、暗号化やマルウェア検査ではありません。この構成で重視するのは、内側ルーターの受信制御と、自分で維持できる設定です。上流での通信妨害、平文通信の盗み見、感染した端末からの外向き通信などまで、これだけで防げるものではないため、以降の端末対策も組み合わせます。
4．ルーターとAPを、役割に合わせて選ぶ
内側ルーターでは、契約回線への対応、IPv4・IPv6の受信制御、更新とサポート、設定の保存、ログを確認します。IoTなどをさらに分けたい場合は、VLANやネットワーク間の通信制限も選定条件になります。Wi-Fiの最大速度と、これらの機能は分けて見ます。
機器の例を、今回の構成で使う役割ごとに挙げます。全機種の実機比較ではなく、公式情報の見方の例です。
| 役割・製品例 | 比較するときの要点 | 保守情報（確認時点） |
|---|---|---|
| 内側の有線ルーター Yamaha NVR510 |
回線方式、必要なフィルターや管理機能を確認する。無線APは別に用意する。 | 2016年発売だが公式現行品一覧に掲載。更新履歴の最新掲載はRev.15.01.26（2024年9月19日）。発売年だけで保守終了と判断しない。 |
| 内側の有線ルーター Yamaha RTX840 |
VLANやフィルターを細かく設計する場合の例。AP・スイッチを含め、自分で設定を維持できるかも考える。 | 2025年8月発売、RTX830の後継で現行品。更新情報はRev.23.02.03（2026年10月6日）。 |
| 内側LANの無線APの例 Buffalo WSR6500BE6P |
APモードの対応、電波の届く範囲、ゲスト・メッシュ利用時の分離条件を確認する。内側ルーターとは役割を分ける。 | 2025年10月発売。製品情報を掲載中。更新情報はVer.1.02（2026年3月18日）。 |
| 内側LANの無線APの例 Aterm 19000T12BE |
ブリッジモードと、メッシュ・ネットワーク分離の適用条件を確認する。二重ルーター用途とは区別して選ぶ。 | 製品・サポート情報を掲載中。更新情報はVer.1.1.0（2026年5月25日）。 |
上の機種では確認したページに生産完了の表示は見当たりませんでしたが、将来のセキュリティ更新の終了日までは確認できていません。現行品・修理対応・セキュリティ更新の保証期間は別に確認します。後継機の有無と購入時の最新情報も見直してください。
高価な業務向け機器を選ぶことが目的ではありません。設定を理解し、更新と点検を続けられるかが大切です。IPAの家庭用ルーターの選び方や、対象の型番を確かめたうえでのJC-STAR適合ラベルも参考になります。ラベルは完全な安全を保証するものではなく、運用と組み合わせて見る指標です。
5．機器ごとに設定と更新を確認する
HGW：回線側の機器も保守の対象にする
HGWについては、契約先の保守・更新の案内を確認し、不明な点は問い合わせます。自分で操作する部分と事業者が管理する部分を分け、交換などの対応も契約先へ相談します。自前ルーターを置いても、外側の機器の保守が不要になるわけではありません。
管理画面の認証や外部管理、不要な転送機能も確認します。ひかり電話など契約上必要な機能は残し、変更した場合は通話や接続を確かめます。
内側ルーター：更新・管理画面・通信の例外を管理する
使い回しのない管理パスワードを設定し、管理画面をインターネット側へ公開する機能は、使わなければ停止します。できれば管理に使う端末・ネットワークも絞ります。Wi-Fi接続用と管理用のパスワードは、別のものとして管理します。
ポート転送、DMZホスト、UPnPで作られた転送を確認し、昔のサーバーやゲームのために残った不要な設定を外します。UPnPはアプリの要求で通信の入口を作る機能なので、必要な用途がなければ停止を検討します。使っているゲームや通話サービスは、変更後に動作を確認します。
自動更新がある機種では有効にし、再起動の時間帯を確認します。その後、表示されるバージョンと公式の更新情報を照らし合わせます。「自動更新を有効にした」ことと「実際に更新された」ことは分けて確かめます。サポート終了品は置き換えを優先します（FBIのサポート終了ルーターに関する注意喚起）。
無線AP：暗号化と、内側への接続を確認する
APは内側ルーターのLANへ接続します。無線でつながる端末が、意図したルーター配下になっているかも確認します。AP・中継機も更新を続けます。
対応端末ではWPA3-Personalを使い、互換性が必要な機器ではWPA2-AESなどの安全な方式を選びます。古いWEPやWPA/TKIPへ家庭全体を合わせず、対応できない家電は分離や買い替えを検討します。WPSも使わなければ停止を検討します（AtermのWi-Fiセキュリティ解説）。
生成AIサーバー：待受範囲と、使える人を絞る
生成AIのWeb UIやAPIを使う場合は、どの接続元へ公開する必要があるかを先に決めます。同じPCから使うだけならループバックで待ち受け、別のPCから使う場合も、OSのファイアウォールや認証で接続元・利用者を絞ります。ポート転送やトンネルを追加したときは、インターネットから使える状態になっていないかを見直します。
例えばOllamaは標準でループバックを使いますが、ローカルAPIには認証が不要です。家庭内の別端末から使うために待受範囲を広げることは、そのまま利用できる相手を増やす変更でもあります。クラウド用APIキーを設定することと、自分のローカルAPIの利用者を制限することは別です（OllamaのFAQ、認証の説明）。
ComfyUIなどのカスタムノードや拡張機能も、サーバー上で動くプログラムです。導入元と必要性を確認し、OS・本体・拡張を更新します。共有ファイルやAPIキーへのアクセス権も、実行に必要な範囲に絞ります（ComfyUIのセキュリティ方針）。
ほかのPCやNASも、使っていない共有・遠隔操作・受信サービスを停止します。SSHを使うなら鍵認証や接続元制限を行い、新しい接続と復旧手段を確認してから旧方式を止めます。クラウド経由の遠隔操作は、提供されていれば多要素認証やパスキーを使い、ログイン済み端末と共有相手を点検します。ブラウザーなどの証明書警告は、理由が分かるまで無視して進めません。
6．家庭内の分離と、異変に備える運用
IoTや来客の端末を、重要な端末と分ける
内側ルーター配下に集めるだけでは、その中の機器同士を分離したことにはなりません。仕事や重要なデータを扱うPCと、来客の端末、更新が難しい家電について、必要な通信の範囲を考えます。
ゲスト用ネットワークやVLANを使う場合は、別名のSSIDを作れたかではなく、有線LAN・主ネットワーク・管理画面への通信を実際に制限できるかを確認します。同じSSIDの端末間分離も、SSID間の分離とは別機能です。APモードやメッシュ子機でも、目的の制限が働くかを機種ごとに確かめます（Atermの分離機能の説明、Buffaloのゲストポートの説明）。
自分のスマートフォンをゲスト側へつなぎ、モバイル通信を切った状態で、主ネットワークの管理画面や共有へ接続できないかを確かめる方法もあります。一つの接続失敗だけで全面的な隔離の証明にはなりませんが、設定を取り違えていないかの確認になります。家電操作・印刷・キャストなど、残したい機能も同じ状態で試します。
設定を見返し、復旧できる控えを残す
月に一度など自分が続けられる間隔で、更新情報、接続端末、管理者・遠隔管理の設定、DNS、ポート転送、設定変更のログを見返します。機器を追加したときや重要な注意喚起が出たときも確認します。端末名が不明なだけで侵入とは限らず、拒否した通信のログと、実際に侵入されたことも別に判断します。
設定の控え、回線契約の情報、問い合わせ先を、ネットが使えなくても読める場所に残します。認証情報を含む控えは暗号化して保管します。重要なデータは、普段の端末から書き換えられない世代を含めてバックアップし、戻せるかも確かめます。
不審な設定変更があれば、可能な範囲で画面やログを保存し、メーカーや契約先の案内に沿って、更新、必要に応じた初期化・再設定、保守終了品の交換などを行います。再起動だけでは不正な設定が解消しない手法も報告されています。不正変更を含む設定の控えを、そのまま復元しないことも大切です（警察庁の注意喚起）。
7．実際に進める順序
- 回線とHGWの役割を確かめる。 接続方式、電話、提供機器、問い合わせ先、戻すための情報をそろえる。
- 内側ルーターを選ぶ。 HGW配下での利用、契約サービス、IPv4・IPv6の受信制御、更新と保守を確認する。
- 二段構えを作る。 HGWのLANから内側ルーターのWANへつなぎ、守りたい端末とAPを内側LANへ移す。電話はHGW側に残す。
- 個々の設定を整える。 管理画面・転送設定・IPv6・Wi-Fi・AIサーバーの待受と認証を確認し、必要ならIoTも分ける。
- 生活上の機能と復旧を確かめる。 Web閲覧のほか、電話、印刷、ゲーム、必要な遠隔接続、設定とデータの復元を確認する。
設定は一度に全部変えず、一区切りごとに通信と必要な機能を確かめると、問題が起きたときに戻しやすくなります。今回の見直しでは、回線側の機器を残したまま、自分で管理できる内側の境界を作ることを軸にしました。その境界と、端末ごとの対策を合わせて維持していく考え方です。