こんにちは、ぺー(@pe_log_net)です。

PS5でApex Legendsをプレイしているのですが、フルパーティを組んだときだけ、自分だけがロビーに置いていかれる(もしくは自分だけマッチする)という現象がずっと続いていました。

再インストール、ルーター設定の見直し、DNSやMTUの変更。思いつくことは全部やりましたが直りません。同じ回線のPS4やPCでは何も起きない。「うちだけなんで？」という状態が1年近く続いていました。

正直に書くと、最後まで回線が原因だとは思っていませんでした。当時こんなふうに疑っていました。

全部ハズレでした。PS5も中古であることもApexもLANケーブルも関係なく、犯人は光回線そのものだったのです。

お恥ずかしい話ですが、回線を疑うという発想が最後まで出てきませんでした。

速度は十分すぎるほど出ていましたし、同じ回線でPCは問題なく動いていたからです。「回線が原因かも」と思えていれば、1年も悩まずに済んだと思います。

結論から言うと、原因はNURO光が採用している「MAP-E方式」でした。そしてVPSを1台借りてVPNトンネルを通すことで、完全に解決しました。

この記事では原因の解説から、実際のコンソール画面つきの手順まで、そのまま真似できる形でまとめます。長い記事になりますが、同じ症状で困っている方の役に立てば幸いです。

※症状が当てはまらない(特に回線がNURO光(MAP-E方式の回線)出ない場合は本記事の解説で修復しない場合があるのでご注意ください)

当記事にはアフィリエイトリンクが含まれます

症状：フルパのときだけ、自分だけロビーに置いていかれる

まず、症状を具体的に書いておきます。似た状況の方は、ここで見覚えがあるはずです。

この中で特に重要なのが、「ランダムに失敗する」ことと「一度入れれば安定する」という2点です。あとで説明しますが、これが原因を特定する決定的な手がかりになりました。

効かなかった対策

ネットで調べて出てくる定番の対策は、ひと通り試しました。結果はすべて空振りです。

試したこと	結果
Apexの再インストール	変化なし
PS5のネットワーク設定見直し	変化なし
ルーター設定の見直し・再起動	変化なし
DNSを1.1.1.1に変更	変化なし
MTUの調整	変化なし
IPアドレスの手動設定	変化なし
有線接続（もともと有線）	変化なし

一番惑わされたのは、実は「調べて出てくる情報」でした。

質問サイトで似た症状を探しても、AIに聞いてみても、返ってくる答えはだいたい同じです。「ネットワーク設定を見直しましょう」「Apexを再インストールしましょう」。どこを見てもこの2つでした。

それらしい理屈もついているので、つい信じてしまいます。MTUを変え、IPを手動にし、再インストールし……。「今度こそ直るかも」と期待しては裏切られるのを、何度も繰り返しました。

今なら理由が分かります。問題は「PS5がどう設定されているか」ではなく、「PS5の外に出た通信がどう扱われるか」だったからです。PS5側でいくら設定を変えても、その先で詰まっていたのでは意味がありませんでした。

もし今、同じ対策を試して直らずにこの記事にたどり着いたのなら——あなたのやり方が間違っていたわけではありません。そもそも見る場所が違っていただけです。

原因はNURO光の「MAP-E方式」だった

MAP-Eとは：使えるポートが240個しかない

MAP-Eは、IPv4アドレスの枯渇対策として使われている通信方式です。ざっくり言うとこういう状態になります。

	従来の方式	MAP-E方式
IPv4アドレス	自分専用	他の契約者と共有
使えるポート数	65,535個	約240個だけ
ポート開放	できる	できない
UPnP	動く	動かない

例えるなら、家の電話番号を近所の人と共有していて、自分が使える内線は240個だけという状態です。しかもこの240個は、スマホもテレビもスマート家電も含めた家中の全機器で奪い合いになります。

NURO公式も「一部オンラインゲームは使えない」と明記している

NURO光の公式ページにはっきり書かれています。

MAP-E方式でのインターネット接続時に利用可能なIPv4グローバルアドレスは他ユーザと共有になります

（利用できないサービス）一部オンラインゲームなど、特定ポートを使用するサービス

さらに適用条件も書かれています。ここが厄介なところです。

「NURO 光」を新規でお申し込みの方や、ONU（光回線終端装置）の交換および接続復旧作業などの際に、MAP-E方式が適用される場合があります

NURO光は2024年2月頃からMAP-Eの適用を始めており、その後も対象を拡大しています。つまり2024年以降に契約した方や、ONUを交換した方は対象になっている可能性が高いということです。

「ランダムに失敗する」がポート枯渇の証拠

症状の説明が全部つきます。ゲーム側のバグでもなければ、機器の故障でもありませんでした。

なぜPS5だけ？PS4は半年以上まともに動いていた

時期	環境	結果
2024年11月〜	NURO光（MAP-E）＋ PS4	問題なし
2025年中盤〜	NURO光（MAP-E）＋ PS5	置き去りが発生

回線も家もONUも同じまま。変わったのはPS4からPS5にしたことだけです。ここまで変数が絞れているケースは珍しく、これで原因がほぼ確定しました。理由は2つあると考えています。

① PS5はIPv6に対応しているが、PS4はしていない
PS5はIPv4とIPv6の両方を話すため、通信の経路が分岐します。PSN側の情報はIPv6（制限なし）で流れる一方、Apexのマッチング通信はIPv4（240個制限）を通る。結果として「パーティは繋がっているのに、マッチ確定の通知だけ届かない」という状態が起こりえます。まさに置き去りの症状です。

② PS5は常時つなぎっぱなしの通信が多い
PSNのプレゼンス、アクティビティカード、リモートプレイの待ち受け、自動アップデート。待機中もポートを消費し続けるため、240個の枠を圧迫します。PS4はこの点がずっと軽量です。

※①の経路分岐については、公式に明言されているものではなく、症状から導いた推測を含みます。ただしIPv6対応の有無とMAP-Eのポート制限自体は、いずれも公式資料で確認できる事実です。

フレンドの回線を確認したら答え合わせができた

	回線	ポート制限	症状
フレンドA	ソフトバンク光	なし	出ない
フレンドB	auひかり	なし	出ない
我が家	NURO光（MAP-E）	240個	置き去り

ソフトバンク光はIPIP方式、auひかりはKDDIの独自網で、どちらもポート制限がありません。3人のうちポート上限があるのは我が家だけで、置き去りになるのも自分だけ。きれいに一致しました。

自分がMAP-Eかどうかの見極め方

対策に入る前に、自分がこのパターンに当てはまるか確認しておきましょう。といっても難しい調査は要りません。症状で判断できます。

これだけ揃っていれば、ほぼMAP-Eと考えて差し支えありません。特に「ランダムに失敗する」「一度入れれば安定する」の2つはポート枯渇に特有の症状で、他の原因ではこうなりません。

念のため確認したい方へ

どうしても確証が欲しい場合は、ONUの管理画面を見る方法もあります。

1. ブラウザで 192.168.1.1 を開く（ONUの管理画面）
2. 「ポート開放」「ポート転送」の設定項目があるかを探す

MAP-E適用時はポート開放機能そのものが無効化されるため、項目が無ければMAP-E、普通にあれば従来方式、という判別ができます。

そもそも今回紹介するこの対策は数百円で試せて、効果がなければ元に戻せます。調査に時間をかけるより、実際に試してしまったほうが早い、というのが正直なところです。

解決策の選択肢は3つ。どれを選ぶべきか

	回線を変える	MAP-E解除を交渉	VPS経由で逃がす
確実性	◎	△	○
費用	工事費・違約金	無料	月450〜1,064円
期間	1〜2ヶ月	数日〜	即日
元に戻せるか	×	－	◎

やってはいけないこと

なお、NURO光の個人向けプランに固定IPのオプションは存在しません。法人向けのNURO Bizなら可能ですが、初期費用20万円超・月額2万円超と現実的ではありませんでした。

なぜ回線変更ではなくVPSを選んだのか

「原因が回線なら、回線を変えればいい」——たしかにそれが一番確実です。ですが我が家はVPSを選びました。月額のコストが上乗せになるにもかかわらず、です。

理由は4つあります。

①今日から使える

回線を乗り換える場合、申し込みから開通まで1〜2ヶ月かかります。工事の立ち会いも必要です。その間もずっと、フルパのたびに置いていかれ続けることになります。

VPSなら契約から数時間で使えます。思い立った日の夜には、もう普通に遊べる状態にできます。

②「次の回線も同じだったら」を回避できる ← これが大きい

これが一番の理由でした。

いざ乗り換えようとすると、必ずこの不安にぶつかります。

実際、IPv4 over IPv6の多くはNURO光と同じMAP-E方式です。ドコモ光（v6プラス）やビッグローブ光など、乗り換え先として人気の回線でも同じ壁に当たる可能性があります。

しかも開通してからでないと分かりません。数万円と2ヶ月を投じた後に「症状が変わらなかった」と判明する——これが一番避けたい展開でした。

VPSなら、今の回線のまま、数百円で「本当にこれが原因なのか」を検証できます。この心理的な安全性は、金額以上の価値がありました。

③失敗しても、元に戻せる

効果がなければVPSを削除し、ルーターの設定をオフにするだけで元通りです。工事の跡も残りませんし、違約金も発生しません。

回線変更は一度動くと後戻りできない選択です。この差は大きいと思います。

④家族の同意が要らない

回線変更は家全体に影響する決断です。家族への説明、工事日程の調整、当日の立ち会い。「ゲームのために回線を変えたい」と切り出すのは、なかなか勇気が要ります。

VPSはPS5だけの話で完結します。他の機器は今まで通りですし、ONUにも宅内配線にも触りません。誰にも迷惑をかけずに、自分の判断で始められます。

※もちろん、回線速度そのものに不満がある場合や、他にも困りごとがある場合は、回線変更のほうが根本的な解決になります。あくまで「Apexの症状だけを、最小の手間とリスクで直したい」場合の選択肢としてお読みください。

VPS経由で解決する仕組み

仕組み自体はシンプルです。

上の図で説明します。変更前は、PS5が出す通信がそのままONUを通っていました。PS5はゲーム本体の通信だけでなく、PSNのプレゼンス、アップデート確認、リモートプレイの待ち受けなど何十本もの接続を同時に持っています。それらが1本ずつ240個の枠を消費し、他の家電やスマホとも奪い合った結果、パンクしていたわけです。

変更後は、その何十本もの通信をルーターが暗号化トンネル1本に束ねてVPSまで運びます。ONUから見えるのは「VPS宛の通信が1本ある」だけになるので、消費するポートは1〜2個。240個を食い荒らしていた張本人が、ほとんど何も使わなくなります。

そして実際にインターネットに出るのはVPS側です。VPSは自分専用のグローバルIPアドレスと、65535個すべてのポートを持っているので、そこから先はポート不足とは無縁になります。

今回使用した機材

手順に入る前に、必要なものを整理しておきます。用意するのはルーターとVPSの2つだけです。

必要なもの	費用	備考
VPNクライアント対応ルーター	1万円前後	手持ちにあれば0円
VPS	月450〜1,064円	1GBプランで十分。長期契約ほど安くなります
PC（SSH接続用）	－	Windows標準のsshで足ります

ルーター：TP-Link Deco X50

今回使ったのはTP-Link Deco X50です。もともとWi-Fiが届きにくい部屋のために買っていたメッシュWi-Fiで、追加購入はゼロで済みました。

Decoシリーズはファームウェア更新でWireGuardのVPNクライアントに対応しており、設定ファイルをQRコードで読み込ませるだけで使えます。コマンド入力が要らないので、ルーター側の作業はかなり楽でした。

他にも使えるルーター（ここが最大の関門）

Deco X50でなくても構いませんが、ルーター選びには決定的な条件があります。
ここを間違えると使えない機械を買うことになるので、必ず確認してください。

機能	用途	今回
VPNサーバー	外出先から自宅に入る	使いません
VPNクライアント	配下の機器をVPN経由で外に出す	これが必要

安心して選べるのは次の2ブランドです。
※ただし当ブログでは未検証である点や手順を公開していないためご注意ください。

GL.iNet（GL-MT3000 など）

この用途では定番の小型ルーターです。最初からWireGuardクライアントを前提に作られているので、設定画面が分かりやすく、1万円前後で買えます。PS5専用に1台置くならこれが手軽です。

ASUS（RT-AXシリーズ）

VPN Fusionという機能があり、機器ごとにVPNを通すか通さないかを振り分けられます。「PS5だけVPN、他は素通し」を細かく制御したい方に向いています。メインルーターごと置き換えたい場合はこちらです。

VPS：ConoHa VPS

VPSはConoHa VPSを使いました。理由は時間課金があることです。

効果があるか分からない段階で月額契約するのは、リスクの取り方として逆になります。時間課金なら使った分だけの請求で、ダメなら削除して終わり。この安心感が決め手でした。東京リージョンがあるのも、遅延を抑えるうえで重要です。

手順①：ConoHa VPSを契約する

ここから実際の手順です。まずはVPSを1台用意します。画面のスクリーンショットを載せていくので、同じように進めてください。

申し込みとログイン

ConoHaにはWINGやGAMEなど複数のサービスがあるので、①上部タブが「VPS」になっているかを先に確認してください。ここが違うと別のサービスを契約してしまいます。

確認できたら、②「お申し込み」または「今すぐ始める」から進みます。どちらのボタンでも同じ画面に移動します。

初めて使う方は左側にメールアドレスを入れて「認証コードを送信する」を押します。届いたコードを入力して、あとは画面の案内通りに個人情報と支払い方法を登録するだけです。すでにConoHaのアカウントを持っている方は右側からログインしてください。

※アカウント作成の流れは一般的なサービスと同じなので、ここでは詳細を省略します。登録が終わるとコントロールパネルに入れます。

サーバーを追加する

コントロールパネルに入ったら、左メニューの「サーバー追加」を開きます。ここからが本番です。

①サービスは「VPS」を選びます。KUSANAGIやWindows Serverではありません。

②イメージタイプは「OS」タブを開いて「Ubuntu」を選び、バージョンは 24.04 (x86_64) にします。隣に「アプリケーション」タブがありますが、そちらは開かなくて構いません（WordPressやDocker用のものです）。

ここが一番大事な画面です。4か所を設定します。

	項目	選ぶもの
①	料金タイプ	時間課金（1ヶ月〜36ヶ月は選ばない）
②	プラン	1GB（1,064円/月）
③	rootパスワード	9〜70文字。必ず控えておく
④	ネームタグ	何でも可（WireGuard など分かりやすい名前に）

プランを見ると 512MB（750円/月）がグレーアウトして選べません。これはUbuntu 24.04が比較的重く、512MBでは組み合わせが制限されているためです。1GBを選んでください。

設定が終わると、画面右側に料金の内訳が出ます。時間課金を選んだ場合、1GBプランは1.9円/時間。そして使い続けても月額1,064円で頭打ちになります。ここを確認したら①「追加」ボタンを押してください。

費用感を整理しておきます。

使った期間	おおよその料金
1日	約46円
1週間	約320円
1ヶ月（使い続けた場合）	1,064円（上限）

つまり1週間試して「効果がなかった」と判断して撤退しても、300円ちょっとで済みます。ちなみに我が家では、構築とテストを終えた初日の時点での請求は14円でした。ワンコインどころではない金額で「本当に直るのか」を検証できます。

時間課金は「お試し期間」のためのものです

ここまで時間課金を強くおすすめしてきましたが、これは「効果があるか分からない最初の期間」に限った話です。実は時間課金は一番割高な料金タイプでもあります。

同じ1GBプランでも、契約期間を決めて前払いする「まとめトク」にすると、ここまで下がります。

料金タイプ	1GBプラン	時間課金との差
時間課金	1,064円/月	－
1ヶ月	762円/月	−302円
3ヶ月	666円/月	−398円
6ヶ月	526円/月	−538円
12ヶ月	488円/月	−576円
24ヶ月	472円/月	−592円
36ヶ月	450円/月	−614円

12ヶ月契約なら月488円、36ヶ月なら月450円。時間課金のまま使い続けると年間で約7,000円も差が出るので、常用が決まったら切り替えたほうが確実にお得です。

※③の切り替えにはサーバーの停止が必要です（管理画面で「停止してください」と案内されます）。停止 → 料金タイプ変更 → 起動、という手順で数分かかるので、プレイしていない時間帯にやってください。WireGuardは起動後に自動で復帰します。

逆にやってはいけないのが、いきなり36ヶ月契約することです。まとめトクは途中解約・返金ができません。もし効果がなかった場合、16,000円以上が戻ってこないことになります。

「数百円で試して、効いたら年間契約」——この順番なら、失敗しても痛くありませんし、成功したときの割引も逃しません。

追加を押すとサーバーリストに戻り、しばらくするとステータスが「起動中」になります。これでサーバー自体は完成です。一覧にはIPアドレスも表示されるので、控えておいてください（このあとSSH接続で使います）。

セキュリティグループを設定する（最初のつまずきポイント）

サーバーができたら、通信を許可する設定を入れます。ConoHaの初期状態は default というグループが付いていますが、名前に反してこれは通信を全部ブロックします。

サーバー詳細の「ネットワーク情報」から、以下の3つを割り当ててください。

SSHとICMPは既製のグループがあるので選ぶだけですが、WireGuard用は用意されていないので自分で作ります。

①左メニューの「セキュリティ」を開き、「セキュリティグループ」を選びます。既製のグループがずらりと並んでいますが、この中にWireGuard用（UDP 51820）はありません。右上の②「+ セキュリティグループ」から新規作成します。

①グループ名を入力します。wireguard のように分かりやすい名前にしておくと、あとで迷いません。説明欄は空でも大丈夫ですが、「PS5用」などと入れておくと親切です。入力したら②保存を押します。

保存すると一覧に wireguard が現れるので、それを開いて①「+」からルールを1つ追加します。設定値は以下の通りです。

項目	設定値
通信方向	In（受信）
イーサタイプ	IPv4
プロトコル	UDP（TCPではありません）
ポート範囲	51820
IP/CIDR	0.0.0.0/0（すべての接続元を許可）

プロトコルをTCPにしないよう注意してください。WireGuardはUDPしか使いません。入力したら②保存で完了です。

作ったグループをサーバーに割り当てる

グループを作っただけでは有効になりません。サーバーに割り当てる作業が必要です。ここを忘れると、あとでSSHすら繋がらず悩むことになります。

サーバーリストからサーバー名をクリックして詳細を開き、「ネットワーク情報」を展開します。下のほうに「セキュリティグループ」の欄があるので、①右端の鉛筆アイコンを押して編集モードにします。

①「+」マークでプルダウンを増やして、②3つのグループを選択します。

選び終えたら保存します。初期状態の default は外して構いません。この3つが並んでいれば、ConoHa側の準備は完了です。

手順②：VPSにWireGuardを構築する

ここからはコマンド操作です。初心者でもコピペで進められるようにしてあります。

SSHでVPSに接続する

WindowsのPowerShellを開いて、以下を実行します。

ssh root@【VPSのIPアドレス】

画面を上から順に見ていきます。最初の The authenticity of host... は「このサーバーに繋ぐのは初めてですが本当にいいですか？」という確認です。yes と入力すれば、2回目以降は表示されません。

次にパスワードを聞かれますが、入力しても画面には何も表示されません。これはLinuxの仕様で、故障ではありません。打ち間違えていないか不安になりますが、そのままEnterを押してください。

Welcome to Ubuntu 24.04.3 LTS とメモリ使用量などが表示されたら接続成功です。最後の行に root@〜:~# というプロンプトが出て、コマンドの入力待ちになります。ここから先の作業はすべてこの画面で行います。

※ConoHaの管理画面にあるブラウザ版コンソールでも操作できますが、コピペが効かず入力が大変なのでSSHをおすすめします。

WireGuardのインストールとIP転送の有効化

apt update && apt install -y wireguard qrencode

echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-wireguard.conf
sysctl --system

1つ目のコマンドで、WireGuard本体とQRコード生成ツールをインストールしています。Setting up wireguard ... という行が出れば導入完了です。数十秒で終わります。

2つ目のコマンドのほうが重要です。Linuxは初期状態だと、受け取った通信を別の宛先へ中継しません。ip_forward を有効にすることで、「PS5から受け取った通信を、インターネットへ流す」という中継役の仕事ができるようになります。

これを忘れると、トンネルは繋がるのにインターネットには一切出られないという分かりにくい状態になります。実行後に net.ipv4.ip_forward = 1 と返ってくることを必ず確認してください。0のままなら有効になっていません。

鍵を作る

サーバー側とクライアント側で、それぞれ秘密鍵と公開鍵のペアを作ります。

cd /etc/wireguard
umask 077
wg genkey | tee server_private.key | wg pubkey > server_public.key
wg genkey | tee client_private.key | wg pubkey > client_public.key

cat server_public.key client_public.key

WireGuardは「秘密鍵」と「公開鍵」のペアでお互いを認証します。VPS側とルーター側でそれぞれ1組ずつ必要なので、合計4つのファイルができます。

最初の umask 077 は、これから作るファイルを自分以外は読めない権限にするおまじないです。鍵ファイルなので、これを忘れるとWireGuardが「権限が緩すぎる」と警告を出すことがあります。

どの鍵をどこで使うかが少しややこしいので、整理しておきます。

ファイル	どこに書くか
server_private.key	VPSの設定（wg0.conf）の PrivateKey
server_public.key	ルーター側の設定の PublicKey
client_private.key	ルーター側の設定の PrivateKey
client_public.key	VPSの設定（wg0.conf）の PublicKey

ポイントは「自分の秘密鍵」と「相手の公開鍵」を書くという点です。たすき掛けになるので、貼り間違えないよう注意してください。ここを間違えると接続できません。

サーバー設定ファイルを作る

nano /etc/wireguard/wg0.conf

中身は以下の通りです。eth0 の部分は ip route で表示されるインターフェース名に合わせてください（ConoHaは eth0 でした）。

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
MTU = 1380
PrivateKey = 【サーバーの秘密鍵】
PostUp = iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE; iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE; iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT

[Peer]
PublicKey = 【クライアントの公開鍵】
AllowedIPs = 10.8.0.2/32

設定ファイルの中身を1行ずつ説明します。

項目	意味
Address	トンネルの中でVPSが名乗るIP。実際のIPとは別の内部用アドレスです
ListenPort	ルーターからの接続を待ち受けるポート番号
MTU	1回に送るデータの最大サイズ。MAP-E対策で小さめにしています
PrivateKey	サーバー自身の秘密鍵
PostUp / PostDown	起動時・停止時に自動実行される設定
[Peer]	接続を許可する相手（＝ルーター）の情報

PostUp の中身が今回の心臓部です。長くて身構えますが、やっていることは2つだけです。

1つ目の MASQUERADE が、「PS5から来た通信を、VPS自身のグローバルIPに書き換えて外に出す」という処理です。これがあるおかげで、PS5はVPSのIPアドレスを名乗ってインターネットに出られます。今回の対策の本質はここにあります。

2つ目の FORWARD ... ACCEPT は、トンネルから来た通信の転送を許可する設定です。PostDown はその逆で、停止したときに設定を消して元に戻します。丸ごとコピーで問題ありません。

起動する

systemctl enable --now wg-quick@wg0
wg show

enable --now は「今すぐ起動する」と「次回以降も自動で起動する」を同時に指定するオプションです。これを付けておけば、VPSを再起動しても勝手にWireGuardが復帰します。停電やメンテナンスのたびに手動で起こす必要がありません。

wg show は現在の状態を確認するコマンドです。listening port: 51820 と表示されていれば、サーバーは正常に待ち受けを始めています。

下のほうに peer: という行がありますが、この時点では allowed ips しか表示されていません。まだルーター側から接続していないので、これで正常です。接続が成立すると、ここに通信量やハンドシェイクの時刻が追加されます（後ほど比較します）。

最大の落とし穴「ufw」を開ける

ここで一番ハマりました。ConoHaのUbuntuイメージは最初からufw（ファイアウォール）が有効になっていて、SSH以外の通信を全部落とします。

この画面の読み方を説明します。Status: active はファイアウォールが有効になっているという意味です。そして Default: deny (incoming) が「外から来る通信は原則すべて拒否」という設定を示しています。

その下の許可リストを見ると、OpenSSH（22番）しか載っていません。つまりWireGuardが使う51820番は、VPSに届く前にOSが捨てていたわけです。最後の Chain INPUT (policy DROP) も同じことを示しています。

厄介なのは、ConoHaの管理画面で正しくポートを開けても、この画面は何も変わらない点です。クラウド側とOS側でファイアウォールが二重にかかっているため、片方だけ開けても通りません。エラーメッセージも出ず、ただ静かに繋がらないだけなので、気づくのに時間がかかりました。

以下のコマンドで開けます。

ufw allow 51820/udp
sed -i 's/^DEFAULT_FORWARD_POLICY=.*/DEFAULT_FORWARD_POLICY="ACCEPT"/' /etc/default/ufw
ufw route allow in on wg0
ufw reload
systemctl restart wg-quick@wg0

ufw status verbose

先ほどの画面と見比べると、変わった点が2つあります。

1つ目は、許可リストに 51820/udp ALLOW IN が追加されたこと。これでルーターからの接続がVPSに届くようになります。

2つ目は、上部の Default: の行が disabled (routed) から allow (routed) に変わったことです。これが DEFAULT_FORWARD_POLICY を書き換えたコマンドの効果で、「トンネルから受け取った通信を、インターネットへ転送してよい」という許可にあたります。

この2つ目を忘れると、トンネルは繋がるのにインターネットに出られません。先ほどの ip_forward と似た症状になるので、両方セットで確認してください。一番下の ALLOW FWD ... on wg0 も同じ目的の設定です。

そうなんです。ConoHaのセキュリティグループとufwの両方を開けないと通りません。繋がらないときは、まずここを疑ってください。

ルーターに読ませる設定を作る

最後にクライアント用の設定を作ります。nano /root/client.conf で以下を保存してください。

[Interface]
PrivateKey = 【クライアントの秘密鍵】
Address = 10.8.0.2/24
DNS = 1.1.1.1
MTU = 1380

[Peer]
PublicKey = 【サーバーの公開鍵】
Endpoint = 【VPSのIPアドレス】:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

スマホアプリで設定するルーターの場合は、QRコードにすると読み込みが楽です。

qrencode -t ansiutf8 < /root/client.conf

ターミナルにQRコードが表示されるので、これをスマホで読み取ります。

手順③：Deco側の設定

ここからはスマホのDecoアプリでの作業です。コマンドは使いません。

【前提】ルーターモードになっているか確認する

設定に入る前に、必ず確認してほしいことがあります。ここを見落とすと、この先の作業が一切できません。

Decoアプリで その他 → 詳細設定 → 動作モード を開いてください。

「Wi-Fiルーター（デフォルト）」にチェックが入っていればそのままで大丈夫です。この記事の手順をそのまま進められます。

見分け方はもう一つあります。詳細設定を開いて「動作モード」「スマートDHCP」「高速ローミング」の3つしか項目が無ければブリッジモードです。ルーターモードにすると項目が一気に増え、その中にVPNが現れます。

WireGuardの設定を読み込む

ここからは、VPSで作った設定をDecoに読み込ませていきます。QRコードで読み込む前提で進めるので、手順②の最後に表示したQRコードを準備しておいてください。

Decoアプリを開いたら、①画面右下の「もっと」をタップします。ここに各種の詳細設定がまとまっています。

メニューから VPN を開くと、この画面になります。上の「VPNクライアント」を選んでください。

NordVPNやSurfsharkなど、市販VPNの簡単設定メニューが並びます。これらは自分のVPSではないので使いません。一番下の「カスタム」を選んでください。

プロトコルの選択画面です。「WireGuard」を選びます。OpenVPNやPPTPではありません。

※ここにWireGuardの項目が無い場合は、その他 → システム からファームウェアを最新に更新してください。WireGuard対応は後から追加された機能なので、古いファームウェアだと表示されません。

設定の入力画面が出ますが、下の入力欄は手で埋めなくて大丈夫です。「QRコードをスキャン」を選んで、パソコンの画面に表示したQRコードをスマホのカメラで読み取ってください。

読み取りが成功すると、秘密鍵・IPアドレス・DNSサーバーなどが自動で入力されます。あとは右上の「保存」を押すだけです。

スマホにファイルを転送できる環境なら、「設定ファイルからインポート」でも構いません。どちらでも結果は同じです。

PS5だけをVPN経由にする

保存が終わったら、VPNクライアントの画面に戻って仕上げをします。ここが最後の設定です。

確認するポイントは3つです。

①「接続済み」になっているか

登録した設定の下に 緑色で「接続済み」と表示されていれば、VPSとのトンネルが確立しています。ここが最大の関門なので、まずここを確認してください。

「接続中」のまま止まっていたり、エラーになる場合は、VPS側のufwかConoHaのセキュリティグループが開いていない可能性が高いです。手順②に戻って51820番の設定を見直してください。

②アクセス許可を「クライアントリスト」にする

ここを「すべてのデバイス」のままにすると、家族のスマホまでVPS経由になってしまいます。VPSの帯域を無駄に使ううえ、他の機器の速度も落ちます。

「クライアントリスト」を選んでください。これで、次に指定する機器だけがVPNを通るようになります。

③クライアントリストにPS5を追加する

一番下の「+」マークからPS5を選んで追加します。PS5は Sony_○○○○ のような名前で表示されることが多いです。追加できていれば、画像のようにアイコンが並びます。

これでPS5だけがVPN経由になり、他の機器は今まで通りの速度で使えます。

※画面にある「キルスイッチ」は、VPNが切断されたときに対象機器の通信を遮断する機能です。オンにすると、トンネルが切れた瞬間にPS5がネットに繋がらなくなります。今回はオフのままで構いません。

手順④：Decoの接続方法（配線）

配線はシンプルです。ONUにも宅内配線にも一切触りません。PS5がある部屋の中だけで完結します。

図の通り、やることは壁のLANコンセントとPS5の間にDecoを1台挟むだけです。今までPS5に直接刺さっていたLANケーブルを、DecoのWANポートに挿し替える。そしてDecoのLANポートからPS5へ新しくケーブルを1本つなぐ。これだけです。

ハブについて補足します。図では壁とDecoの間にハブを描いていますが、これは「ハブが挟まっていても問題なく動きます」という意味です。スイッチングハブは電気的に分岐するだけの機器なので、その先に何がつながっていても関知しません。ハブが無い環境なら、壁のLANコンセントから直接DecoのWANポートへ挿してください。どちらでも同じように動作します。

図の下側にあるPCは、あえてDecoの配下に入れていません。Decoの下に入れるとVPN対象から外していても二重NATになり、余計な影響を受けます。PCや他の機器は今まで通りハブ（または壁）に直結のままにしておくのが安全です。こうすることで、変更の影響範囲を「PS5だけ」に閉じ込められます。

最後の項目だけ補足します。メッシュWi-Fiの子機は、LANポートが親機のネットワークに直結される仕様です。ルーターモードの状態で子機を壁のLANコンセントに挿すと、ONU側とDeco側のDHCPが同じ線上に並んでIPアドレスが衝突します。2台目を残すなら電源だけにして、LANケーブルは挿さないでください。

接続できたら、スマホをDecoのWi-Fiにつないで ifconfig.me を開いてみてください。VPSのIPアドレスが表示されればトンネル成功です。

手順⑤：NATタイプを確認する

PS5の 設定 → ネットワーク → 接続状況 → インターネット接続を診断する でNATタイプを確認します。

タイプ2ならそのままでOKです。タイプ3になった場合は、ルーターとVPSで二重NATになっているのが原因なので、VPS側で「全着信をPS5に転送する」設定を追加します。

wg0.conf の PostUp の末尾に以下を追記してください（PostDown には同じものを -A ではなく -D で）。

; iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22 -j RETURN; iptables -t nat -A PREROUTING -i eth0 -p udp --dport 51820 -j RETURN; iptables -t nat -A PREROUTING -i eth0 -p tcp -j DNAT --to-destination 10.8.0.2; iptables -t nat -A PREROUTING -i eth0 -p udp -j DNAT --to-destination 10.8.0.2

この設定は「VPSに届いた通信を、まるごとPS5へ転送する」というものです。いわばVPSをPS5専用の玄関にしてしまう、DMZに近い考え方になります。これでPS5は外から見て「直接インターネットに繋がっている」状態になり、NATタイプが改善します。

画面の4行を上から見ると、役割がはっきり分かれています。

行	役割
1（22番を RETURN）	SSHは転送しない。自分がVPSに入るため
2（51820番を RETURN）	WireGuardは転送しない。トンネル自体を維持するため
3・4（DNAT）	それ以外の全通信をPS5へ転送する

1行目と2行目の除外が絶対に必要です。これを書かずに「全部転送」だけ設定すると、SSHの接続もPS5へ流れてしまい、二度とVPSにログインできなくなります。WireGuardの通信も同様で、除外しなければトンネル自体が切れて復旧不能になります。

順番も重要です。iptables は上から順に評価されるため、除外の2行が転送より先に来ていないと意味がありません。画像のように num が 1・2 に除外、3・4 に転送と並んでいれば正しい状態です。

あわせて、Deco側でもPS5をDMZに設定します（詳細設定 → アドレス予約 でPS5に固定IPを割り当ててから、DMZ に指定）。VPS側とルーター側の両方をやらないと効きません。

手順⑥：VPSのセキュリティを固める（必ずやってください）

ここまでで動くようになりましたが、最後に必ずやっておくべき設定があります。飛ばさないでください。

VPSはインターネットに直接晒されているため、放っておいても常に総当たり攻撃を受けます。実際に自分のVPSを調べたら、こうなっていました。

24時間で287回、パスワードの総当たりを受けていました。これは特別なことではなく、インターネット上のサーバーとしてはごく普通の日常です。ConoHaのイメージには fail2ban という防御ツールが最初から入っていて、この時点で22個のIPを自動でBANしてくれていました。

問題は passwordauthentication yes の部分です。ConoHaの初期状態では、rootにパスワードでログインできてしまいます。パスワードが単純だと、いつか破られる可能性があります。

まず鍵を作ってログインできるようにする

パスワードを無効化する前に、鍵でログインできる状態を先に作ります。順番を逆にすると自分が入れなくなるので注意してください。

①WindowsのPowerShellで鍵を作る（パスフレーズは空のままEnterでも構いません）

ssh-keygen -t ed25519

②できた公開鍵の中身を表示してコピーする

type $env:USERPROFILE\.ssh\id_ed25519.pub

ssh-ed25519 AAAAC3... という1行が表示されるので、これを丸ごとコピーします。

③VPS側に登録する（SSHで接続した状態で実行）

mkdir -p ~/.ssh && chmod 700 ~/.ssh
echo '【コピーした公開鍵をここに貼る】' >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

④一度ログアウトして、鍵で入れるか確認する

ssh root@【VPSのIPアドレス】

パスワード認証を無効化する

鍵で入れることを確認できたら、パスワードを封じます。

cat > /etc/ssh/sshd_config.d/00-hardening.conf <<'EOF'
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin prohibit-password
PubkeyAuthentication yes
EOF

sshd -t && systemctl reload ssh
sshd -T | grep -iE 'passwordauth|permitrootlogin'

ファイル名を 00- で始めているのには理由があります。ConoHaのUbuntuには 50-cloud-init.conf というファイルがあり、そこに PasswordAuthentication yes が書かれています。

SSHの設定は「最初に見つかった値」が採用される仕様なので、99- のような後ろの名前を付けると既存の設定に負けて無効化できません。ここは地味ですが引っかかりやすいポイントです。

sshd -t は設定ファイルの構文チェックです。これを挟んでから reload することで、書き間違いでSSHが起動しなくなる事故を防げます。restart ではなく reload を使うのもポイントで、今つないでいる接続を切らずに設定だけ反映できます。

結果：完全に解消しました

結論として、置き去りは完全になくなりました。

フルパで何度キューを回しても、普通にマッチに入れます。ストレスなく遊べる状態です。

この画面が正常に動いていることの確認方法になるので、読み方を覚えておくと便利です。手順④の画像（起動直後）と見比べると、peer: の下に3行増えているのが分かります。

表示	意味
endpoint	接続してきている相手のIPとポート。自宅のルーターです
latest handshake	最後にやり取りした時刻。数分以内なら正常
transfer	累計の通信量。増えていれば実際に使われている証拠

特に見るべきは latest handshake です。ここが「数十秒前」や「1分前」になっていればトンネルは生きています。逆にこの行自体が表示されない場合は、一度も接続できていないということなので、ufwやセキュリティグループの設定を疑ってください。

transfer の数字が増えていくかどうかも、PS5の通信が本当にトンネルを通っているかの判断材料になります。設定したのに数字がゼロのままなら、ルーター側でVPN対象のデバイス指定が漏れている可能性が高いです。

気になっていた遅延については、事前にVPSから自宅までの経路を実測しておきました。

項目	実測値
VPS ↔ 自宅の遅延	約8.3ms
パケットロス	0%
ジッタ（揺らぎ）	0.1ms

VPSもApexのサーバーも東京圏にあるため、追加の遅延は+5〜10ms程度に収まっています。プレイしていて重くなったとは感じません。

サーバー側のMTUも揃えること

最後に、見落としやすいけれど効果が大きい設定です。サーバー側の [Interface] にも MTU = 1380 を入れてください。

WireGuardのMTU既定値は1420です。クライアント側だけ1380にしても、サーバー側が1420のままだと左右非対称になり、VPS→PS5方向のパケットがMAP-Eの経路（約1460）を超えて消失します。

注意点とデメリット

項目	影響
ゲーム中のPing	+5〜10ms増える
ゲーム中の帯域	影響なし（Apexは1〜2Mbps程度）
ダウンロード速度	VPSの帯域が上限になる（900Mbps → 100Mbps等）
ランニングコスト	月450〜1,064円（契約期間による）

ダウンロードが遅くなるのは実用上のデメリットです。Apexのアップデートは数GB規模になるので、大きなダウンロードのときだけルーターのVPNをオフにする運用がおすすめです。数十秒で切り替えられます。

もう1点、市販のVPNサービスではなく自分でVPSを立てることを推奨します。NordVPNなどの市販VPNはポート開放に対応していないため、NATタイプ3から抜け出す手段がありません。「VPNにしても直らなかった」という誤った結論を出してしまう恐れがあります。

※データセンターのIPアドレスから接続することになる点は認識しておいてください。接続改善目的のVPN利用が明確に禁止されているわけではありませんが、リスクはゼロではありません。なお共有IPの市販VPNより、自分専用のVPSのほうがこの点でも安全側です。

うまくいかないときのチェックリスト

よくある質問

Q. APEXでフルパのときだけ、自分だけロビーに置いていかれるのはなぜ？

A. 回線で使えるポートが不足していることが原因の場合があります。特にNURO光で2024年以降に契約した方は「MAP-E方式」が適用されている可能性が高く、この方式では家全体で使えるポートが約240個に制限されます。マッチング確定の通知を受け取るためのポートが確保できず、自分だけ取り残されます。

Q. PS4やPCでは問題ないのに、PS5だけ起きるのはなぜ？

A. PS5はPS4よりも消費するポートが多いためです。PSNのプレゼンス、アクティビティカード、リモートプレイの待ち受けなど、待機中も多数の通信を維持しています。またPS5はIPv6に対応している一方でPS4は非対応のため、通信経路が分かれることも影響していると考えられます。PC版APEXはPSNを経由しないため、同じ回線でも問題が出ません。

Q. 回線速度は速いのに、なぜゲームだけ不調になるの？

A. 速度とポート数はまったく別の指標だからです。900Mbps出ていても、同時に張れる接続の数が足りなければゲームのマッチングは成立しません。APEXが実際に使う帯域は1〜2Mbps程度で、速度はまったくボトルネックではありません。

Q. ネットワーク設定の見直しや再インストールでは直らない？

A. 直りません。MTUの変更、IPアドレスの手動設定、DNS変更、APEXの再インストール、LANケーブルの交換——いずれも試しましたが効果はありませんでした。問題はPS5の設定ではなくPS5の外に出た通信の扱いにあるため、本体側をいくら調整しても解決しません。

Q. 自分の回線がMAP-Eかどうか確認する方法は？

A. ONUの管理画面（192.168.1.1）を開き、「ポート開放」「ポート転送」の項目があるかを確認します。MAP-E適用時はこの機能自体が無効化されるため、項目が無ければMAP-Eです。ただし機種により表示が異なり分かりにくいので、症状が一致していれば確認せずに進めても構いません。

Q. NURO光を解約しないと解決できない？

A. 解約しなくても解決できます。VPS（レンタルサーバー）を1台借りてWireGuardでトンネルを張り、PS5の通信だけをVPS経由にすることで、MAP-Eのポート制限を回避できます。回線工事も違約金も不要で、効果がなければ元に戻せます。

Q. VPS経由にすると遅くなりませんか？

A. 遅延は+5〜10ms程度です。VPSを東京リージョンで契約すれば、実測でVPSと自宅の間は約8.3ms、パケットロス0%でした。APEXのプレイ中に重くなったと感じることはありません。ただしダウンロード速度はVPSの帯域が上限になるため、大きな更新のときは一時的にVPNをオフにするのがおすすめです。

Q. 費用はいくらかかりますか？

A. 月450〜1,064円です。まず時間課金（1.9円/時）で契約すれば、1週間試して撤退しても約320円で済みます。効果を確認してから長期プランに切り替えると、12ヶ月契約で月488円、36ヶ月契約で月450円まで下がります。ルーターは手持ちのものが使えれば追加費用はかかりません。

Q.プラン(料金)変更はどのようにすればいいですか？

まとめトクの契約期間を変更する｜ConoHa VPSサポート

ConoHa VPSのご利用ガイド、よくある質問などの各種サポート情報をご案内しています。ConoHa VPSは便利なご利用ガイドと専任スタッフのサポートで安心してご利用いただけます。

support.conoha.jp

こちらの手順で変更が可能です。

ただし、時間料金→まとめトクはできても、まとめトク→時間料金はできないのでその場合は再度サーバーを契約して立て直す必要があります。

料金変更には15分程度かかる場合があります。

サーバーを一時停止する必要があるのでプレイ中は控えてください。

Q. どんなルーターが必要ですか？

A. 「VPNクライアント機能」があるルーターが必要です。VPNサーバー機能では代用できません。国産メーカーの多くはサーバー機能しか持たないため注意してください。TP-LinkのDecoシリーズ、GL.iNet、ASUSのRT-AXシリーズなどが対応しています。まずは手持ちのルーターの型番で「WireGuard 対応」と検索してみてください。

まとめ

1年近く「うちだけなんで？」と思いながら遊んでいましたが、原因が分かってしまえば対策はできました。

NURO光で同じ症状に心当たりがあるなら、難しい調査をする前に、まず試してみてください。数百円で結論が出ます。

回線を乗り換える前に試せる手段がある、というのがこの記事で一番伝えたかったことです。参考になれば嬉しいです。