WireGuard + AdGuardHome で構築する最強VPN広告ブロック環境【2025年完全ガイド】

graph TB
    A[外出先デバイス] -->|WireGuard VPN| B[自宅サーバー]
    B -->|DNS Query| C[AdGuardHome]
    C -->|フィルタリング済み| D[上位DNS]
    D -->|クリーンな応答| C
    C --> B
    B --> A
    
    subgraph "自宅ネットワーク"
        B
        C
        E[ローカルデバイス]
    end
    
    F[広告サーバー] -.->|ブロック| C

インターネット
    ↓
[Router/Firewall]
    ↓
192.168.5.0/24 (LAN)
    ├── 192.168.5.1    : AdGuardHome
    ├── 192.168.5.10   : WireGuardサーバー
    └── 192.168.5.x    : その他デバイス

WireGuard VPN Network: 10.0.0.0/24
    ├── 10.0.0.1       : WireGuardサーバー
    ├── 10.0.0.2       : クライアント1（スマホ）
    ├── 10.0.0.3       : クライアント2（PC）
    └── 10.0.0.x       : その他クライアント

# パッケージリストの更新
sudo apt update && sudo apt upgrade -y

# 必要なツールのインストール
sudo apt install -y curl wget gnupg lsb-release ufw

# /etc/sysctl.conf の編集
sudo nano /etc/sysctl.conf

# 以下の行のコメントアウトを解除または追加
net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1

# 設定を即座に反映
sudo sysctl -p

# UFWの基本設定
sudo ufw default deny incoming
sudo ufw default allow outgoing

# SSH接続を許可（ロックアウト防止）
sudo ufw allow ssh

# 設定確認（まだ有効化しない）
sudo ufw --dry-run enable

# AdGuardHome用ディレクトリ作成
sudo mkdir -p /opt/adguardhome/{work,conf}

# 最新版のダウンロード
cd /tmp
curl -s https://api.github.com/repos/AdguardTeam/AdGuardHome/releases/latest | grep "browser_download_url.*linux_amd64.tar.gz" | cut -d '"' -f 4 | wget -i -

# 展開とインストール
tar -xzf AdGuardHome_linux_amd64.tar.gz
sudo cp AdGuardHome/AdGuardHome /usr/local/bin/
sudo chmod +x /usr/local/bin/AdGuardHome

# バージョン確認
AdGuardHome --version

# /opt/adguardhome/conf/AdGuardHome.yaml
bind_host: 0.0.0.0
bind_port: 3000
users:
  - name: admin
    password: $2a$10$YOUR_HASHED_PASSWORD_HERE

auth_attempts: 5
block_auth_min: 15

http_proxy: ""
language: ja
theme: auto

dns:
  bind_hosts:
    - 0.0.0.0
  port: 53
  
  statistics_interval: 24h
  querylog_enabled: true
  querylog_file_enabled: true
  querylog_interval: 2160h
  querylog_size_memory: 1000
  
  anonymize_client_ip: false
  protection_enabled: true
  blocking_mode: default
  blocked_response_ttl: 10
  
  parental_block_host: family-block.dns.adguard.com
  safebrowsing_block_host: standard-block.dns.adguard.com
  
  rewrites: []
  
  blocked_services: []
  
  upstream_dns:
    - https://dns.cloudflare.com/dns-query
    - https://dns.google/dns-query
    - tls://1.1.1.1
    - tls://8.8.8.8
  
  upstream_dns_file: ""
  bootstrap_dns:
    - 9.9.9.10
    - 149.112.112.10
    - 2620:fe::10
    - 2620:fe::fe:10
  
  all_servers: false
  fastest_addr: false
  fastest_timeout: 1s
  allowed_clients: []
  disallowed_clients: []
  blocked_hosts:
    - version.bind
    - id.server
    - hostname.bind
  
  cache_size: 4194304
  cache_ttl_min: 0
  cache_ttl_max: 0
  cache_optimistic: false
  
  bogus_nxdomain: []
  aaaa_disabled: false
  enable_dnssec: false
  edns_client_subnet:
    custom_ip: ""
    enabled: false
    use_custom: false
  
  max_goroutines: 300
  handle_ddr: true
  ipset: []
  ipset_file: ""

filtering:
  protection_enabled: true
  filtering_enabled: true
  blocked_response_ttl: 10
  parental_enabled: false
  safebrowsing_enabled: false
  safesearch_enabled: false

filters:
  - enabled: true
    url: https://adguardteam.github.io/AdguardFilters/BaseFilter/sections/adservers.txt
    name: AdGuard Base filter
    id: 1
  
  - enabled: true
    url: https://adguardteam.github.io/AdguardFilters/MobileFilter/sections/adservers.txt
    name: AdGuard Mobile Ads filter
    id: 2
  
  - enabled: true
    url: https://adguardteam.github.io/AdguardFilters/JapaneseFilter/sections/adservers.txt
    name: AdGuard Japanese filter
    id: 3

whitelist_filters: []

user_rules: []

dhcp:
  enabled: false

clients:
  runtime_sources:
    whois: true
    arp: true
    rdns: true
    dhcp: true
    hosts: true
  persistent: []

log_file: ""
log_max_backups: 0
log_max_size: 100
log_max_age: 3
log_compress: false
log_localtime: false
verbose: false

os:
  group: ""
  user: ""
  rlimit_nofile: 0

schema_version: 20

# /etc/systemd/system/adguardhome.service
[Unit]
Description=AdGuard Home
After=network.target
StartLimitBurst=5
StartLimitInterval=60s

[Service]
Type=simple
User=adguardhome
Group=adguardhome
WorkingDirectory=/opt/adguardhome/work
ExecStart=/usr/local/bin/AdGuardHome -c /opt/adguardhome/conf/AdGuardHome.yaml -w /opt/adguardhome/work
Restart=always
RestartSec=10

# Security settings
NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ProtectHome=yes
ReadWritePaths=/opt/adguardhome

# Network settings
AmbientCapabilities=CAP_NET_BIND_SERVICE
CapabilityBoundingSet=CAP_NET_BIND_SERVICE

[Install]
WantedBy=multi-user.target

# 専用ユーザー作成
sudo useradd --system --home /opt/adguardhome --shell /usr/sbin/nologin adguardhome

# ディレクトリ権限設定
sudo chown -R adguardhome:adguardhome /opt/adguardhome
sudo chmod -R 755 /opt/adguardhome

# サービス有効化と起動
sudo systemctl daemon-reload
sudo systemctl enable adguardhome
sudo systemctl start adguardhome

# 状態確認
sudo systemctl status adguardhome

# 日本語圏向けフィルタ
https://raw.githubusercontent.com/easylist/easylistjapan/master/easylistjapan.txt  # 豆腐フィルタ
https://raw.githubusercontent.com/AdguardTeam/AdguardFilters/master/JapaneseFilter/sections/adservers.txt  # AdGuard Japanese

# 包括的ブロックリスト
https://big.oisd.nl/  # OISD Blocklist Big
https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@release/adblock/pro.plus.txt  # HaGeZi's Pro++

# アノイアンス（UI妨害要素）ブロック
https://raw.githubusercontent.com/DandelionSprout/adfilt/master/Alternate%20versions%20Anti-Malware%20List/AntiMalwareAdGuardHome.txt  # Dandelion Sprout

# カスタムフィルタ（もちフィルタ）
https://raw.githubusercontent.com/eEIi0A5L/adblock_filter/main/mochi_filter.txt

# WireGuardのインストール
sudo apt install -y wireguard wireguard-tools

# カーネルモジュール確認
sudo modprobe wireguard
lsmod | grep wireguard

# WireGuard設定ディレクトリ作成
sudo mkdir -p /etc/wireguard
sudo chmod 700 /etc/wireguard
cd /etc/wireguard

# サーバー用キーペア生成
sudo wg genkey | sudo tee server_private.key
sudo chmod 600 server_private.key
sudo cat server_private.key | wg pubkey | sudo tee server_public.key

# クライアント用キーペア生成（例：スマホ用）
sudo wg genkey | sudo tee client1_private.key
sudo chmod 600 client1_private.key
sudo cat client1_private.key | wg pubkey | sudo tee client1_public.key

# Pre-shared key生成（追加セキュリティ）
sudo wg genpsk | sudo tee client1_preshared.key
sudo chmod 600 client1_preshared.key

# /etc/wireguard/wg0.conf
[Interface]
# サーバーの秘密鍵
PrivateKey = SERVER_PRIVATE_KEY_HERE

# VPN内でのサーバーIP
Address = 10.0.0.1/24

# VPNで使用するポート
ListenPort = 51820

# DNS設定（重要：AdGuardHomeを指定）
DNS = 192.168.5.1

# 起動時・停止時のスクリプト
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# クライアント1（スマホなど）
[Peer]
# クライアントの公開鍵
PublicKey = CLIENT1_PUBLIC_KEY_HERE

# Pre-shared key（オプション、セキュリティ強化）
PresharedKey = CLIENT1_PRESHARED_KEY_HERE

# クライアントのVPN内IP
AllowedIPs = 10.0.0.2/32

# 接続維持設定
PersistentKeepalive = 25

# クライアント2（PC など）
[Peer]
PublicKey = CLIENT2_PUBLIC_KEY_HERE
PresharedKey = CLIENT2_PRESHARED_KEY_HERE
AllowedIPs = 10.0.0.3/32
PersistentKeepalive = 25

#!/bin/bash
# /etc/wireguard/setup-keys.sh

# 生成されたキーを設定ファイルに自動置換
SERVER_PRIVATE=$(sudo cat /etc/wireguard/server_private.key)
CLIENT1_PUBLIC=$(sudo cat /etc/wireguard/client1_public.key)
CLIENT1_PSK=$(sudo cat /etc/wireguard/client1_preshared.key)

sudo sed -i "s/SERVER_PRIVATE_KEY_HERE/$SERVER_PRIVATE/g" /etc/wireguard/wg0.conf
sudo sed -i "s/CLIENT1_PUBLIC_KEY_HERE/$CLIENT1_PUBLIC/g" /etc/wireguard/wg0.conf
sudo sed -i "s/CLIENT1_PRESHARED_KEY_HERE/$CLIENT1_PSK/g" /etc/wireguard/wg0.conf

echo "Keys configured successfully!"

# 設定ファイル権限設定
sudo chmod 600 /etc/wireguard/wg0.conf

# WireGuardインターフェース起動
sudo wg-quick up wg0

# 自動起動設定
sudo systemctl enable wg-quick@wg0

# 状態確認
sudo wg show
sudo systemctl status wg-quick@wg0

# client1.conf（QRコード生成用）
[Interface]
PrivateKey = CLIENT1_PRIVATE_KEY_HERE
Address = 10.0.0.2/32
DNS = 192.168.5.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY_HERE
PresharedKey = CLIENT1_PRESHARED_KEY_HERE
Endpoint = YOUR_SERVER_IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# QRコード生成用ツールインストール
sudo apt install -y qrencode

# クライアント設定のQRコード生成
sudo qrencode -t ansiutf8 < /etc/wireguard/client1.conf

# client-desktop.conf
[Interface]
PrivateKey = CLIENT_DESKTOP_PRIVATE_KEY
Address = 10.0.0.3/32
DNS = 192.168.5.1
MTU = 1280

[Peer]
PublicKey = SERVER_PUBLIC_KEY_HERE
PresharedKey = CLIENT_DESKTOP_PRESHARED_KEY
Endpoint = your-domain.ddns.net:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# WireGuardポートを開放
sudo ufw allow 51820/udp comment 'WireGuard VPN'

# AdGuardHome管理画面（LAN内のみ）
sudo ufw allow from 192.168.5.0/24 to any port 3000 comment 'AdGuard Admin'

# DNS（VPN内のみ）
sudo ufw allow from 10.0.0.0/24 to any port 53 comment 'DNS for VPN clients'

# UFW有効化
sudo ufw --force enable

# 設定確認
sudo ufw status verbose

#!/bin/bash
# /etc/wireguard/firewall-rules.sh

# VPNクライアントからAdGuardHomeへのDNSアクセスを許可
iptables -A INPUT -s 10.0.0.0/24 -p udp --dport 53 -j ACCEPT
iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 53 -j ACCEPT

# VPNクライアント間の通信をブロック（オプション）
iptables -A FORWARD -s 10.0.0.0/24 -d 10.0.0.0/24 -j DROP

# LAN内からの管理画面アクセスのみ許可
iptables -A INPUT -s 192.168.5.0/24 -p tcp --dport 3000 -j ACCEPT
iptables -A INPUT -p tcp --dport 3000 -j DROP

# 設定の永続化
iptables-save > /etc/iptables/rules.v4

# サーバー側でのDNS確認
dig @192.168.5.1 google.com
nslookup google.com 192.168.5.1

# AdGuardHomeのログ確認
sudo journalctl -u adguardhome -f

# VPN接続状態確認
sudo wg show

# VPNクライアントからのping テスト
ping 10.0.0.1  # サーバーへのping
ping 192.168.5.1  # AdGuardHomeへのping

# コマンドラインでのテスト
nslookup ads.google.com
nslookup doubleclick.net
nslookup facebook.com

# ブラウザでのテスト
# - YouTube（広告なしで再生されるか）
# - ニュースサイト（バナー広告がブロックされるか）
# - モバイルアプリ（広告表示が減っているか）

# サーバー側診断
sudo systemctl status wg-quick@wg0
sudo wg show
sudo netstat -ulnp | grep 51820

# ファイアウォール確認
sudo ufw status
sudo iptables -L -n -v

# ログ確認
sudo journalctl -u wg-quick@wg0 -f

# AdGuardHome状態確認
sudo systemctl status adguardhome
curl -s http://localhost:3000/control/status

# DNS応答テスト
dig @localhost google.com
tcpdump -i any port 53

# 設定ファイル確認
sudo /usr/local/bin/AdGuardHome -c /opt/adguardhome/conf/AdGuardHome.yaml --check-config

# MTU最適化（自動検出）
ping -M do -s 1472 google.com  # 成功する最大サイズを確認
# → WireGuard設定でMTU = 検出値 + 28 に設定

# DNS キャッシュ最適化
# AdGuardHome.yaml でcache_size を調整（デフォルト: 4194304）

# CPU使用率監視
top -p $(pgrep AdGuardHome)
htop

# 統計API活用
curl -s "http://localhost:3000/control/stats" | jq .

# 定期的な統計取得スクリプト
#!/bin/bash
# /usr/local/bin/adguard-stats.sh
DATE=$(date '+%Y-%m-%d %H:%M:%S')
STATS=$(curl -s "http://localhost:3000/control/stats")
echo "$DATE: $STATS" >> /var/log/adguard-stats.log

#!/bin/bash
# /usr/local/bin/wg-monitor.sh

# 接続中クライアント数監視
CLIENTS=$(sudo wg show wg0 peers | wc -l)
TIMESTAMP=$(date '+%Y-%m-%d %H:%M:%S')

echo "$TIMESTAMP: Active clients: $CLIENTS" >> /var/log/wireguard-monitor.log

# アラート設定（クライアント数が異常な場合）
if [ $CLIENTS -gt 10 ]; then
    echo "Warning: Too many VPN clients connected ($CLIENTS)" | logger
fi

# crontabに監視スクリプト追加
sudo crontab -e

# 5分ごとに統計取得
*/5 * * * * /usr/local/bin/adguard-stats.sh

# 10分ごとにVPN監視
*/10 * * * * /usr/local/bin/wg-monitor.sh

# 日次でログローテーション
0 0 * * * logrotate /etc/logrotate.d/wireguard-adguard

# /etc/fail2ban/jail.local
[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 3

[wireguard]
enabled = true
port = 51820
protocol = udp
filter = wireguard
logpath = /var/log/syslog
maxretry = 3
bantime = 86400

#!/bin/bash
# /usr/local/bin/wg-key-rotation.sh

# 新しいキーペア生成
cd /etc/wireguard
sudo wg genkey | sudo tee new_server_private.key
sudo cat new_server_private.key | wg pubkey | sudo tee new_server_public.key

# 設定ファイルバックアップ
sudo cp wg0.conf wg0.conf.bak.$(date +%Y%m%d)

# 注意: 実際のキー更新は全クライアントとの調整が必要
echo "New keys generated. Manual client update required."

# VPNクライアント用の専用VLAN設定
# /etc/netplan/01-netcfg.yaml
network:
  version: 2
  renderer: networkd
  ethernets:
    eth0:
      dhcp4: true
  vlans:
    vlan100:
      id: 100
      link: eth0
      addresses: [192.168.100.1/24]

# AdGuardHome.yaml の上位DNS設定
upstream_dns:
  # 日本国内向け高速DNS
  - https://dns.google/dns-query
  - https://cloudflare-dns.com/dns-query
  - tls://dns.quad9.net
  
  # 地域別負荷分散
  - "[/jp/]https://dns.google/dns-query"
  - "[/com/]https://1.1.1.1/dns-query"

#!/bin/bash
# /usr/local/bin/ddns-update.sh

# 現在のパブリックIP取得
CURRENT_IP=$(curl -s https://api.ipify.org)
STORED_IP=$(cat /var/cache/ddns-current-ip 2>/dev/null)

if [ "$CURRENT_IP" != "$STORED_IP" ]; then
    # DDNS更新（例：Cloudflare）
    curl -X PUT "https://api.cloudflare.com/client/v4/zones/YOUR_ZONE_ID/dns_records/YOUR_RECORD_ID" \
         -H "Authorization: Bearer YOUR_API_TOKEN" \
         -H "Content-Type: application/json" \
         --data "{\"type\":\"A\",\"name\":\"vpn.yourdomain.com\",\"content\":\"$CURRENT_IP\"}"
    
    echo $CURRENT_IP > /var/cache/ddns-current-ip
    echo "DDNS updated: $CURRENT_IP" | logger
fi

# 複数の上位DNSサーバーでロードバランシング
# /etc/dnsmasq.d/loadbalance.conf
server=1.1.1.1
server=8.8.8.8
server=9.9.9.9
all-servers

#!/bin/bash
# /usr/local/bin/maintenance.sh

# 毎週のメンテナンススクリプト
echo "=== Weekly Maintenance Started ==="

# ログローテーション
sudo logrotate /etc/logrotate.d/adguardhome
sudo logrotate /etc/logrotate.d/wireguard

# システム更新確認
sudo apt update && sudo apt list --upgradable

# ディスク使用量確認
df -h | grep -E "(/$|/opt|/var)"

# サービス状態確認
sudo systemctl is-active adguardhome wireguard
sudo wg show

echo "=== Maintenance Completed ==="

#!/bin/bash
# /usr/local/bin/backup-config.sh

BACKUP_DIR="/backup/vpn-configs"
DATE=$(date +%Y%m%d-%H%M%S)

mkdir -p $BACKUP_DIR

# 設定ファイルバックアップ
tar -czf "$BACKUP_DIR/wireguard-config-$DATE.tar.gz" /etc/wireguard/
tar -czf "$BACKUP_DIR/adguard-config-$DATE.tar.gz" /opt/adguardhome/conf/

# 古いバックアップ削除（30日以上）
find $BACKUP_DIR -name "*.tar.gz" -mtime +30 -delete

echo "Backup completed: $DATE"

#!/bin/bash
# /usr/local/bin/health-check.sh

# サービス死活監視
if ! systemctl is-active --quiet adguardhome; then
    echo "AdGuardHome service is down!" | mail -s "VPN Alert" admin@yourdomain.com
fi

if ! systemctl is-active --quiet wg-quick@wg0; then
    echo "WireGuard service is down!" | mail -s "VPN Alert" admin@yourdomain.com
fi

# DNS応答確認
if ! dig @localhost google.com > /dev/null 2>&1; then
    echo "DNS resolution failed!" | mail -s "DNS Alert" admin@yourdomain.com
fi

# モバイル向け最適化設定
[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.0.0.2/32
DNS = 192.168.5.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = your-server.ddns.net:51820
AllowedIPs = 0.0.0.0/0, ::/0

# バッテリー効率のためKeepAliveを調整
PersistentKeepalive = 60  # デフォルト25秒から60秒に延長

# 特定のトラフィックのみVPN経由
[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.0.0.2/32
DNS = 192.168.5.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = your-server.ddns.net:51820

# 広告ブロックが必要なアプリのみVPN経由
AllowedIPs = 192.168.5.0/24, 10.0.0.0/24

# /opt/adguardhome/conf/custom-blocklist.txt
# カスタムブロックルール

# 国内悪質サイト
||bad-site.jp^
||spam-domain.com^

# 特定カテゴリのブロック
||gambling-site.net^
||adult-content.xxx^

# IoTデバイスの不要通信
||telemetry.manufacturer.com^
||analytics.device-vendor.net^

#!/bin/bash
# /usr/local/bin/time-based-filtering.sh

HOUR=$(date +%H)

# 深夜時間帯（23:00-06:00）は厳格なフィルタリング
if [ $HOUR -ge 23 ] || [ $HOUR -le 6 ]; then
    curl -X POST "http://localhost:3000/control/filtering/config" \
         -H "Content-Type: application/json" \
         -d '{"enabled": true, "interval": 24}'
else
    # 通常時間帯は標準フィルタリング
    curl -X POST "http://localhost:3000/control/filtering/config" \
         -H "Content-Type: application/json" \
         -d '{"enabled": true, "interval": 1}'
fi

#!/usr/bin/env python3
# /usr/local/bin/adguard-analytics.py

import requests
import json
import matplotlib.pyplot as plt
from datetime import datetime, timedelta

def get_adguard_stats():
    response = requests.get('http://localhost:3000/control/stats')
    return response.json()

def visualize_blocking_stats():
    stats = get_adguard_stats()
    
    # ブロック統計のグラフ化
    blocked = stats['num_blocked_filtering']
    total = stats['num_dns_queries']
    
    plt.figure(figsize=(10, 6))
    plt.pie([blocked, total-blocked], 
            labels=['Blocked', 'Allowed'], 
            autopct='%1.1f%%')
    plt.title('DNS Query Blocking Statistics')
    plt.savefig('/var/www/html/adguard-stats.png')
    plt.close()

if __name__ == "__main__":
    visualize_blocking_stats()

#!/bin/bash
# /usr/local/bin/weekly-report.sh

# 週次レポート生成
REPORT_DATE=$(date '+%Y年%m月%d日')
STATS=$(curl -s "http://localhost:3000/control/stats")

cat > /tmp/weekly-report.html << EOF
<html>
<head><title>VPN使用レポート - $REPORT_DATE</title></head>
<body>
<h1>WireGuard + AdGuardHome 週次レポート</h1>
<h2>期間: $(date -d '7 days ago' '+%Y/%m/%d') - $REPORT_DATE</h2>

<h3>DNS統計</h3>
<pre>$STATS</pre>

<h3>VPN接続状況</h3>
<pre>$(sudo wg show)</pre>

<h3>システム状態</h3>
<pre>$(sudo systemctl status adguardhome wg-quick@wg0 --no-pager)</pre>
</body>
</html>
EOF

# メール送信
mail -s "[$HOSTNAME] VPN週次レポート" -a "Content-Type: text/html" admin@yourdomain.com < /tmp/weekly-report.html