自宅NWをKeepalivedとdnsmasqで作り直した話

Sat, 18 Apr 2026 19:00:00 +0900

背景

自宅のネットワーク構成が辛かった。

具体的には以下の問題があった。

ルータが1台構成で、死んだら自宅NW全滅
メンテナンスで定期的に落としたいとかあっても、コストが大きい
DNS/DHCPがルータに同居していて、役割が混在している
WireGuardで外部接続していたが、外部からの入り方がだるい。

特に「冗長化したい」という気持ちは何年も前からあったが、DNSとDHCPの同期という難問の前に何度も挫折してきた。

結論からいえば、DNS,DHCPの冗長化は諦めた。

諦めた上で出口のルータとDNS、DHCPは役割を分けた上で出口のルータとWIFIルータのみ冗長化を実施した。

設計方針

過去の失敗から学んだ一番の教訓はやはり「DNS/DHCPの冗長化は難しい」ということだ。

理論上可能ではあるが、私は万年初級自宅インフラエンジニアでいつまで経ってもできる目処が立たない。

それでいて、生成AIという過ぎた兵器を持ってしても、この問題は解決しなかったので、難しいというよりは不可能とした。

2台のサーバでDHCPを冗長化しようとすると、リースの同期問題が必ず発生する。同期ツールを使ったりしたが、どうしても同期しきれなかった。

そこで今回は思い切って諦めた上で役割を分離する方針にした。

ルータ（冗長化） → GWとTailscaleだけ担当
AP             → hostapdのみ
DNS/DHCP       → 専用機1台に集約（冗長化しない）

DNSとDHCPは単一障害点になるが、自宅ラボであれば許容範囲だと判断した。

てかどうしようもない。

構成

使用機材はすべてRaspberry Pi。封印していたタワーからも引っ張り出した。

ホスト	役割
ルータA (MASTER)	Keepalived + Tailscale
ルータB (BACKUP)	Keepalived + Tailscale
DNS/DHCP機	dnsmasq専用
AP x2	WIFI冗長化

ネットワークセグメントはひとつ。VIPをデフォルトゲートウェイ兼DNSとして各クライアントに配布する。

Keepalivedの設定

まずルータ2台にKeepalivedを入れる。

sudo apt install -y keepalived

MASTER側の設定:

vrrp_instance VI_1 {
    state MASTER
    interface lan-if
    virtual_router_id 51
    priority 100
    advert_int 1
    authentication {
        auth_type PASS
        auth_pass xxxxxxxx
    }
    virtual_ipaddress {
        192.168.xx.1/24
    }
}

BACKUP側は state BACKUP と priority 90 に変えるだけ。シンプルだ。

AdGuard HomeをProxmox LXCに立ててTailscale経由でDNSブロックする

Mon, 06 Apr 2026 07:00:00 +0900

概要

はてな匿名ダイアリーとウーバーイーツをインフラレベルで封鎖したかった。 AdGuard HomeをProxmox LXCに立てて、Tailscale経由でDNSブロックする構成を作った。

環境

Proxmox VE
Tailscale導入済み
AdGuard Home v0.108.0

手順

1. AdGuard Home LXCをスクリプト一発で作成

Proxmoxのノードシェルで以下を実行する。

bash -c "$(curl -fsSL https://raw.githubusercontent.com/community-scripts/ProxmoxVE/main/ct/adguard.sh)"

community-scripts/ProxmoxVEが提供するスクリプト。 LXCのコンテナ作成からAdGuard Homeのインストールまで全自動でやってくれる。

デフォルト構成はDebian 13、CPU 1コア、RAM 512MB、HDD 2GB。DNS用途なら十分。

2. LXCにTUNデバイスを追加する

TailscaleはWireGuardベースのVPNで、動作に/dev/net/tunが必要。

/dev/net/tunはLinuxの仮想ネットワークデバイス（TUNデバイス）。通常のネットワークデバイス（eth0等）は物理NICに紐づいているが、TUNはソフトウェアで作った仮想NIC。

Tailscaleは以下の流れで通信を処理する。

通信をTailscaleプロセスが横取り
WireGuardで暗号化
暗号化したパケットを相手に送る

この「横取り」の実装に/dev/net/tunを使う。TUNデバイスを通してカーネルのネットワークスタックとTailscaleプロセスがやり取りする仕組みになっている。

unprivileged LXCはセキュリティ上の理由でホストのデバイスに触れないようになっているため、明示的に/dev/net/tunをコンテナに見せてあげる必要がある。

Proxmoxのノードシェルで以下を実行してTUNを有効化する。

pct stop 106
echo "lxc.cgroup2.devices.allow: c 10:200 rwm" >> /etc/pve/lxc/106.conf
echo "lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file" >> /etc/pve/lxc/106.conf
pct start 106

106の部分は自分のLXCのIDに置き換える。IDはpct listで確認できる。

3. LXCにTailscaleを入れる

LXCのシェルに入って以下を実行する。

curl -fsSL https://tailscale.com/install.sh | sh
tailscale up

認証URLが表示されるのでブラウザで開いてログインする。認証後、TailscaleのMachines画面からAdGuard HomeのTailscale IPを確認しておく。

Homelab on 怠惰技術ブログ