IPoE（v6プラス・transix）環境でVPNはどう動くのか——MAP-EとDS-Liteのポート制約

フレッツ光と光コラボレーション各社では、IPv4の通信をIPv6網の上で運ぶIPoE方式（IPv4 over IPv6）による接続が広く使われている。v6プラス、OCNバーチャルコネクト、transix、クロスパス、v6コネクト——名前は事業者ごとに違うが、中身はMAP-EかDS-Liteのどちらかであることがほとんどだ。この違いが、VPNの挙動をかなりの部分まで決めてしまう。

「v6プラスではVPNが使えない」という説明は、半分正しく半分間違っている。強い制約がかかるのは自宅側で待ち受ける通信で、外向きに張るVPNクライアントは多くの場合そのまま動く。ただし例外があり、送信元ポート番号を自分で選べないプロトコルは発信側でも失敗する。以下、方式の見分け方から順に整理する。

自分の回線がMAP-EかDS-Liteかを確かめる

商品名だけで判断しない。同じブランド名でも提供方式が複数ある場合があり、事業者が方式を切り替えることもある。ルーターと端末に実際に出ている値を見たほうが確実だ。

1. 1ルーターの管理画面でWAN／インターネット接続の状態を開く。MAP-E、v6プラス、DS-Lite、transix、IPv4 over IPv6 といった表記がそのまま出ていることが多い。
2. 2ルーターのWAN側IPv4アドレスを見る。DS-Liteでは、宅内側のトンネル終端（B4）に 192.0.0.0/29 の範囲のアドレス（多くは 192.0.0.2）が付く。RFC 7335で予約された特殊な範囲なので、これが見えたらDS-Liteと判断してよい。
3. 3MAP-Eでは、ルーターのWAN側に他の契約者と共有するグローバルIPv4アドレスが付く。外部のIPアドレス確認サイトに出る値とWAN側の値が一致すればMAP-E、一致せず 192.0.0.2 などが出ていればDS-Liteと考えられる。アドレス変換が宅内で行われているか、事業者側で行われているかの差だ。
4. 4端末で ipconfig（Windows）または ip -6 addr（Linux）／ifconfig（macOS）を実行し、グローバルIPv6アドレスが付いているか確認する。IPoEで接続できていれば通常は付与されている。
5. 5IPv4で tracert／traceroute を実行し、最初の数ホップを見る。DS-Liteでは宅内ルーターの次に 192.0.0.1（AFTR側）が現れることがある。

MAP-Eの「使えるポート」が何を制約するのか

MAP-Eは、1つのグローバルIPv4アドレスを複数の契約者で分け合う方式だ。誰の通信かを区別する手掛かりがポート番号しかないため、契約者ごとに使えるポートの範囲があらかじめ決まっている。範囲は割り当てられたIPv6プレフィックスに含まれるPSID（ポートセット識別子）から算出され、ルールは事業者の設定配信サーバーから取得する。内容は事業者や設備によって違う。

実装上の特徴が2つある。範囲は連続した1本ではなく飛び飛びの複数ブロックとして与えられること、そして1024番未満のwell-knownポートは割り当ての対象外になるのが一般的なこと（RFC 7597のPSIDオフセットに由来する）だ。1契約あたりの総数は数百程度にとどまる実装が多い。ここから次の制約が導かれる。

• 着信は原則として不利。自宅にサーバーを置いて外から入る構成では、割り当てられた範囲内のポートでしか待ち受けられない。443や1194のような決め打ちの番号は、自分の持ち分に入っていないことが多い。
• 送信元ポートが固定されたプロトコルは発信でも失敗する。IPsecの鍵交換（IKE）は送信元にUDP 500を使う実装が多く、この番号はwell-knownポート帯なのでMAP-Eでは割り当てられない。ルーターが書き換えて通す場合もあれば、通さない場合もある。
• ESPにはポート番号がない。プロトコル番号50のESPをそのまま流す構成は、アドレスを共有する環境では誰宛かを判別できない。UDP 4500にカプセル化するNATトラバーサルが効くかどうかで結果が変わる。
• 同時セッション数に天井がある。使えるポート数がそのまま上限になるので、接続を大量に開くアプリや、機器台数の多い家庭では枯渇しうる。
• 枯渇の症状は「遅い」ではなく「一部だけ開かない」。ある時刻から特定のサイトやアプリだけつながらず、ルーターの再起動で直るなら、この線を疑う価値がある。

逆に、UDPやTCPで送信元ポートを自由に選べるVPNクライアントは、必要なセッションが1本で済むこともあり、この制約にはほとんど当たらない。「MAP-Eだから全部だめ」ではなく、使うプロトコルがポート番号をどう扱うかで結論が変わる。

DS-Lite（transix系）の場合

DS-Liteでは、宅内ルーター（B4）から事業者側のAFTRまでIPv4パケットをIPv6でトンネルし、アドレス変換はAFTR側で行われる。宅内には変換テーブルがなく、利用者が着信ポートを決める手段そのものが存在しない。ルーターの画面にポート開放やDMZの設定項目が残っていても、DS-Lite接続では効かない。設定は保存できるのに動作に反映されないため、原因の切り分けに時間を取られやすい。

一方、外向きの通信は素直だ。契約者ごとのポート範囲という概念がないため、MAP-Eで見られるポート枯渇型の症状は起きにくい。代わりに、AFTRが混雑すればその配下の利用者が一様に影響を受ける。宅内の機器をいくら見直しても改善しない種類の遅さは、この層で起きている可能性がある。

症状別の対処

• 会社のL2TP/IPsecにつながらない：UDP 500とESPを使う構成は、アドレスを共有する環境で失敗しやすい。回線の接続方式を丸ごと変えるより、ポート番号を選べるプロトコルに変えるか、ルーターでPPPoEセッションを併用して業務通信だけそちらへ流すほうが現実的。
• 自宅にVPNサーバーを立てたい：MAP-Eなら割り当て範囲内のポートで待ち受ける。DS-Liteでは方式上できないので、PPPoE併用か、事業者の固定IPオプションを検討する。
• つながるが遅い・大きい転送だけ止まる：方式ではなくMTUの問題であることが多い。IPoEでは一般にMTU 1460、PPPoEでは1454が使われ、VPNのカプセル化分がさらに引かれる。測り方は遅さの切り分け手順にまとめた。
• 時間帯や宛先によって挙動が変わる：ルーターがIPoEとPPPoEを併用していて、条件によって経路が切り替わっている可能性がある。ルーティング設定と、どちらのセッションが有効かを確認する。

ひかり電話のHGWと二重ルーター

ひかり電話を契約していると宅内にHGW（ホームゲートウェイ）が置かれ、IPoEの終端をHGW側で行う構成になることが多い。その配下に市販ルーターをルーターモードのまま置くと、アドレス変換が二重になり、ポートの扱いはさらに読みにくくなる。片方でポートを開けても、もう片方で閉じていれば通らない。

対処は単純で、終端する機器を1つに決めること。HGWがIPoEを終端しているなら、配下の機器はブリッジ（アクセスポイント）モードにする。市販ルーターに終端させるなら、HGW側の該当機能を止める。両方が変換していると、症状がどちらの機器に由来するのかを確定できない。

外出先の共有Wi-Fiは前提がまったく別になる。そちらはホテル・公共Wi-Fiの記事を参照してほしい。

よくある質問