メリークリスマス！

この記事は Wano Group Advent Calendar 2025 の最終日の記事となります。
最終日の記事を書くことになりました、Wano株式会社 VPoE 橋本です。

突然ですが、ご家庭内でこんなことありませんか？

SMSで「宅配便の不在通知です」というメッセージが届いて、リンクを踏んだ家族がいつものIDとパスワードを入力しそうになった
子どものタブレットはいつの間にか広告まみれで、YouTubeから飛んだ先がよく分からないサイト。しかも「見せたくないもの」ほど出てくる
高齢の親のスマホは「設定が変わった」とか「変な画面が出る」と言われても、こちらは遠方。ビデオ通話で画面を見せてもらっても、肝心のボタンが押せない
遠方の実家から「Wi-Fiが急に遅くなった」、「プリンタが繋がらない」、「何もしてないのに壊れた」と電話が来たが、現地に行けるのは半年後の帰省

こういった「小さな事故」や「地味な面倒事」から Tailscale（安全につないで遠隔から助ける） と NextDNS（DNSで危ないアクセスを止める） を 微課金 で組み合わせて、家族の端末を守りつつ、離れて暮らす家族のサポートをしやすくする方法をまとめます。

この記事で改善したいこと

家族のフィッシング対策：偽ログイン・偽配送・偽決済サイトを踏みにくくする
コンテンツフィルタリング：子ども向け／大人向け／高齢者向けに閲覧を調整
離れて住む家族へのITサポート：ポート開放なしで安全に支援（必要時のみ接続）
OSアップデート漏れの“気づき”：放置端末を棚卸しして更新習慣を作る

この記事では触れないこと

公式ドキュメントがしっかりしていますし、陳腐化する可能性もあるため設定コマンドや詳細な設定手順には触れません。
よくある困りごとに対してこういう使い方が出来るよという記事に専念します。
もしご興味を持たれた場合は、利用されているAIチャットツールにこの記事を読み込ませて「手順書を作成して」とプロンプトを入力してみてください。

Tailscaleとは

Tailscaleは、端末同士をインターネット越しに安全につなぐWireGuardプロトコルベースのVPNです。自宅・外出先・実家をまたいで「同じネットワークの一員」のように扱えるため、

ポート開放なしでリモート接続（RDP/SSH/管理画面アクセスなど）
離れて住む家族の端末や実家の機器へ、安全なサポート経路を作れる
端末一覧・状態を把握し、不要端末の整理もしやすい

というのが強みです。

NextDNSとは

NextDNSはDNSを使って、家庭の端末を危険サイトから守ったり、コンテンツ制御するサービスです。

フィッシング／マルウェア／詐欺サイトのブロック
コンテンツフィルタリング（カテゴリ制御）
何が止まったかをログで確認でき、誤ブロックは許可リストで調整可能
端末（利用者）ごとにプロファイルを分けて最適化できる

前提プランと月額コスト（微課金）

本記事は以下の前提で書きます。
それぞれFreeプランもありますが、ITでご飯を食べている以上便利なサービスには対価を支払いたい気持ちと、機能面でも多少の違いがあるため、最安ではありますが有料プランを選択しています。

Tailscale Personal Plus：$5/月（最大6ユーザー、100デバイス）
NextDNS Pro：¥250/月（クエリ無制限）

目安：$5 + ¥250 / 月 からスタートできます。

今回の運用方針

PC

Tailscaleを常時起動し、Tailnetに常時接続
Tailscale側で NextDNSを強制（Tailnet DNSをNextDNSにして、Overrideを有効化）

スマートフォン／タブレット

NextDNSをOSネイティブ設定で常時有効
- iPhone/iPad：NextDNS構成プロファイルを配布
- Android：Private DNSにNextDNSを設定
Tailscaleはサポートが必要な時だけ起動
- 普段はDNS保護だけを安定運用
- いざという時だけ安全な経路（Tailscale）を張る

プロファイル設計例

あくまで例としてですが、下記の様にNextDNSでプロファイルを分けると運用が楽になります。

Kids：危険カテゴリ強め（アダルト/ギャンブル等）＋安全検索系（可能な範囲で）
Adults：脅威ブロック中心、フィルタ控えめ
Seniors：フィッシング最優先、誤ブロックは許可リストで調整

設定手順概要

1) NextDNS：プロファイルを作る

Kids / Adults / Seniors を作成
それぞれのプロファイルID（端末設定に使う）を控える

2) PC：TailscaleでNextDNSを強制

Tailscale管理画面でNameserverにNextDNSを設定（NextDNS側の案内に沿ってエンドポイントを入力）
Override DNS servers を有効化
注意：NextDNSをグローバルDNSとして使う場合、他のグローバルDNSを併用しない（フィルタ迂回になり得る）

3) iPhone/iPad：NextDNS構成プロファイルで常時保護

NextDNSの案内に従って 構成プロファイル（.mobileconfig） を作成・インストール
端末ごとに Kids / Seniors など入れ分ける（＝端末単位でプロファイル適用）

4) Android：Private DNSで常時保護

設定 → ネットワークとインターネット →（詳細）→ プライベートDNS
「プロバイダのホスト名」に NextDNSのホスト名（プロファイル別）を設定

遠方の家族のネットワーク管理者になる

TailscaleのSubnet routers機能を利用したリモートネットワーク管理術

「実家のWi-Fiが遅い」「プリンタが繋がらない」「NASが見えない」「ルーターの設定を見てほしい」——こういうスマホ本体ではなくネットワーク側の問題は、現地に行かないと手が出せません。
ここで効くのが、実家側に1台常時ONの中継役を置いて Subnet router として動かす方法です。

実家のLAN内にあるPC（小型PCや使っていないノートPCでもOK）にTailscaleを入れ、Subnet router（サブネットルータ）としてLANの経路を広告させます。すると、自宅側のあなたのPCから、Tailscale経由で実家LANの機器へアクセスできるようになります。

できるようになること（例）

ルーターの管理画面（192.168.x.x）に自宅からアクセスして状態確認・設定変更
プリンタやNASのWeb UI、監視カメラの管理画面など「LAN内でしか開けない画面」にアクセス
実家のPCにRDP/SSHで入るだけでなく、LAN全体の“ネットワーク管理者”っぽい立ち回りができる

運用のコツ

Subnet router役は「常時起動」「OS更新が当たる」端末を選ぶ
誰でも実家LANに入れると危ないので、Tailscale側で「自分の端末だけ許可」などアクセス範囲は絞る
まずは「ルーターの管理画面に入れる」だけでも効果が大きい（切り分けが速くなる）

スマートフォンのヘルプデスク

iPhoneはFaceTimeで画面共有とリモート操作

Apple純正の FaceTime を軸にするのが現実的です。

画面共有：相手がどこを見ているかをこちらが把握できる
リモート操作：対応環境では、相手の許可を得て操作を手伝える

おすすめのやり方

まずFaceTimeで画面共有
「どの画面で詰まっているか」を把握
必要ならリモート操作で“押すべきボタンだけ”代わりに押す
ネットワーク起因っぽければ、前述のSubnet routerでネット側も並行確認

AndroidはRustDeskをTailscaleネットワークでセキュアに利用

Androidは機種差はあるものの、iPhoneに比べて遠隔サポートの自由度が高いです。ここでは RustDesk を例に、Tailscaleと組み合わせて安全に運用する考え方を紹介します。

ポイントは RustDeskの通信をTailscaleの内側に閉じること。
困った時だけ家族にTailscaleをONにしてもらい、RustDeskは Tailscale IP（100.x.x.x）宛てに接続する形にすると、インターネットに不用意に公開せずに遠隔操作を成立させやすくなります。

運用として分かりやすい手順

困ったら家族に「TailscaleをONにしてね」と案内
こちら側のPCもTailscale接続
RustDeskで相手のTailscale IP（またはホスト名）へ接続
終わったら家族はTailscaleをOFF（普段はNextDNSの保護だけでOK）

まとめ

セキュリティやネットワークメンテナンスにコストを掛けられるご家庭はそう多くないと思います。
企業セキュリティの様にコストを掛けてガチガチに防御出来ない以上、事故を起こしにくい仕組みと、困ったときに安全に助けられる導線を最低限確保する位の割り切りも大事だと思います。

NextDNSで止めて、Tailscaleで安全につなぐ。
この2つの組み合わせであればそこまで高く無いコストで、ご家庭のセキュリティリスクを下げ、メンテナンス性やサポート体験を向上出来ます。

お読み頂いた皆様の一助になれば嬉しいです。

最後に

今年もなんとか完走できました。
グループ各社の執筆者と今年も牽引してくれたメンバーのお陰です。
ありがとうございました！