ZimaOS NordVPN：qBittorrentとGluetunによるVPNルーティング

qBittorrentでZimaOS上のNordVPNを使う：NAS全体のVPN接続とGluetunによるコンテナ選択的ルーティング

A November 2025 thread where a new ZimaOS user initially asked how to route the whole NAS through NordVPN, then clarified the main goal was torrent traffic. IceWhale distinguished remote-access VPN needs from provider-VPN egress and pointed to a NordVPN Docker image, but the thread contains no final user-confirmed configuration.

この質問では、VPNという言葉が2つの異なる意味で使われています。ZimaClient、Tailscale、WireGuardは、リモートアクセスのためにNASへ安全な経路を作成できます。一方、NordVPNは通常、選択した通信をNordVPNサーバー経由で外部へ送信するための送信側プロバイダーVPNとして使われます。

質問者が、本当の目的は主にトレント通信だと明確にした後は、NAS全体をNordVPN経由にする必要はなく、問題を引き起こす可能性もあることが分かりました。よりすっきりした構成は、qBittorrent（およびVPNが必要なコンテナだけ）をVPNゲートウェイコンテナ経由にし、ZimaOSの管理、SMB、Plex/Jellyfin、バックアップ、リモートアクセスは通常のネットワークに残す方法です。

リモートアクセスVPNとプロバイダーVPNは異なる問題を解決する

Zima-Giorgioはまず、なぜVPNが必要なのかを尋ね、ZimaOS Remote/ZimaClientですでにリモートアクセスに対応できることを指摘しました。NASに外部からアクセスすることが目的なら、これは適切です。

ただし、NASの外向きインターネット通信をNordVPN経由にするものではありません。

NAS全体をNordVPN経由にすると副作用がある

ホスト全体のデフォルトルートを変更すると、次の機能に影響する可能性があります。

ZimaClientなどのリモートアクセス経路
DNS名前解決
App Storeおよびアップデートへのアクセス
Plex/Jellyfinのリモート接続
Webhookおよびクラウド同期
公開しているDockerサービス

qBittorrentだけにプロバイダーVPNが必要な場合、この影響範囲は大きすぎます。

選択したアプリ専用のVPNゲートウェイコンテナを使う

Gluetunは、現在NordVPNのOpenVPNおよびWireGuardモードに対応している、メンテナンスされたVPNクライアントコンテナです。ファイアウォール／キルスイッチを備え、他のコンテナがそのネットワーク名前空間を共有できるようにします。

現在のGluetun VPNゲートウェイ機能を参照してください。

qBittorrentはVPNコンテナのネットワークを共有する

Composeの概念的な構成は次のとおりです。

gluetun
  ├─ /dev/net/tun
  ├─ NET_ADMIN
  ├─ NordVPNの認証情報／設定
  └─ qBittorrent WebUIポートを公開

qbittorrent
  └─ network_mode: service:gluetun

qBittorrentがGluetunのネットワーク名前空間を共有すると、VPNゲートウェイをフェイルクローズに設定した場合、通常のDockerネットワークへフォールバックできません。

qBittorrentのWebUIポートはVPNゲートウェイで公開する

この構成ではqBittorrentが独自のDockerネットワークスタックを持たなくなるため、LANからアクセスするWebUIポートはGluetunサービスで公開します。このWebUIには、信頼できるLANまたはプライベートネットワーク上のクライアントからのみアクセスできるようにしてください。

NordVPNの手動接続用認証情報、または現在サポートされているキー方式を使う

通常のアカウントパスワードを、無作為に見つけたCompose例へ貼り付けないでください。現在のNordVPN手動接続と、選択したGluetunプロトコル向けにドキュメント化された認証情報またはキーの仕組みを使用し、可能な限りシークレットは公開YAMLの外部に保存してください。

標準のNordVPNサーバーでは従来型の着信ポート転送を利用できない

NordVPNの現在のサポートページによると、標準の共有サーバーではポート転送を利用できません。そのため、外向きのトレント通信が機能していても、トレントクライアントへの着信ピア接続が減少する可能性があります。

NordVPNの現在のポート転送ポリシーを参照してください。

qBittorrentのネットワーク内からパブリックIPを確認する

Gluetunコンテナに「running」と表示されているだけで、VPNが機能していると判断しないでください。qBittorrentのネットワーク名前空間から外向きIPを確認するか、合法的なトレント／IP確認手段を使用してください。選択的な構成では、qBittorrent側にはVPNの出口IPが表示され、通常のZimaOSホスト通信は通常の経路を維持しているはずです。

キルスイッチを意図的にテストする

VPN接続を停止または切断し、qBittorrentが自宅のWAN IPを密かに使うのではなく、インターネットアクセスを失うことを確認してください。その後VPNを復旧し、接続が戻ることを確認します。

ZimaOSでNordVPNを使う場合のFAQ

ZimaOSのWireGuardはNASを自動的にNordVPN経由にしますか？

いいえ。自分でホストするWireGuard／リモートアクセス用トンネルと、商用プロバイダーVPNは別の構成です。

qBittorrentだけにNordVPNが必要な場合、NAS全体をNordVPN経由にすべきですか？

通常はすべきではありません。コンテナ単位の選択的なルーティングにより、NASの管理機能やその他のサービスが壊れる可能性を抑えられます。

標準のNordVPNは着信ポート転送に対応していますか？

NordVPNは現在、標準の共有サーバーでは従来型のポート転送を提供していないと説明しています。