VPN初心者向けガイド：サブスクリプション、ノード、回線、プロトコルと通信ルールを解説

VPNを初めて使うときは、設定の入手元、接続先、通信の振り分け先を区別しましょう。サブスクリプションはクライアントに設定を渡し、ノードは接続先の選択肢、回線は通信経路、プロトコルは通信方式、ルールはプロキシを使う通信を決めます。それぞれ関連しますが、互いに置き換えられるものではありません。

日常会話で「VPN」は、プロキシのサブスクリプションサービスを指すこともあります。厳密には、システムVPNのトンネルとアプリケーション層のプロキシは別の概念です。端末の通信すべてをクライアントが処理するかどうかは、システム権限や動作モード、アプリがプロキシ設定に従うかによって異なります。接続アイコンだけでは判断できません。

サブスクリプション、ノード、クライアントの役割

サブスクリプションURLは、設定を取得するためのアドレスです。クライアントがこのアドレスにアクセスすると、通常はノード一覧を取得します。形式によっては、プロキシグループ、通信ルール、DNS設定も含まれます。動画配信サービスの会員契約とは異なり、接続が確立したことを意味するものでもありません。設定を追加した後も、ポリシーを選び、接続を開始して、通信が想定どおりプロキシ経由になっているか確認する必要があります。

ノードは、クライアントに登録する接続設定の一つです。通常、サーバーアドレス、ポート、認証情報、プロトコルのパラメーターが含まれます。ノード名に付いた地域名は出口の目安ですが、サービス提供者が付けたラベルであり、実際の所在地を証明するものではありません。異なる名前でも入口や出口を共有する場合があり、別々の経路を使う場合もあります。ノード数から独立したサーバーの数を判断することはできません。

クライアントは設定を読み込み、接続を実行するソフトウェアです。サブスクリプションサービスは接続手段を提供し、クライアントは操作画面とネットワーク処理機能を提供します。両者は別のものです。同じサービスでもクライアントによって異なる形式のサブスクリプションが必要なことがあり、対応していないソフトにそのまま貼り付けると、エラーや設定の一部が反映されない原因になります。

直結・中継・IEPL専用線の違い

サービスの回線について使われる「直結」は、一般に、利用者のネットワークから海外の接続サーバーへ直接つなぎ、サービス提供者が別途設けた中継入口を経由しないことを指します。経路は比較的シンプルですが、実際の通信品質は利用者側の通信事業者、国際回線の出口、接続先のネットワーク、利用時間帯にも左右されます。「直結」だからといって低遅延とは限らず、暗号化されていないという意味でもありません。

中継では、クライアントと海外の出口の間に転送ポイントを設けます。クライアントはまず中継入口に接続し、そこから後続のサーバーへ通信が転送されます。経路の一部で接続性や混雑が改善する可能性がある一方、経由するポイントも増えます。入口が近くても経路全体が速いとは限らず、クライアントの測定結果が、最終的なサイトへのアクセス全体を反映しているとも限りません。

IEPLは、通信事業者が提供する国際イーサネット専用線サービスです。サブスクリプションサービスで使われる場合、通常は地域間のバックボーン経路の一部にこの種の回線を使用していることを意味します。利用者の端末から目的のサイトまで、すべての区間が専用線になるわけではありません。家庭用ブロードバンド、接続ノード、出口からコンテンツプラットフォームまでの通信も、利用体験に影響することがあります。

「直結」には二つの意味があります。回線の説明にある直結は、サービスへの接続経路を表します。通信ルールの直結は、通常、その通信をプロキシに通さず、利用者のネットワークから直接アクセスすることを指します。この言葉を見たら、まずどの設定画面に表示されているか確認しましょう。

地域限定のコンテンツを視聴する場合は、出口の地域とプラットフォーム側の判定を別途確認してください。専用線という表示があっても、特定のコンテンツが必ず視聴できるとは限りません。プラットフォームは、アカウントの地域、配信権、プロキシの検出結果などをもとに判断する場合があります。ラベルだけを比べるのではなく、利用したいアプリで実際に確認して回線を選びましょう。

主なプロトコル：まず互換性、次に通信品質

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICはいずれもプロキシクライアントで使われますが、名前を自由に置き換えられるわけではありません。サーバー側で使用するプロトコルにクライアントが対応し、そのパラメーターも一致している必要があります。画面上でプロトコルを変更しても、既存のサーバー設定が別のプロトコルに自動変換されることはありません。

• Shadowsocks：暗号化プロキシプロトコルです。クライアントとサーバーでパスワード、暗号化方式、関連する拡張設定を一致させる必要があります。ソフトウェアがこの名称をサポートしているかだけで判断しないでください。
• VMess：認証と暗号化の仕組みを備えたプロキシプロトコルです。複数の転送方式と組み合わせて使えます。転送層の設定もサーバー側と一致させる必要があります。
• Trojan：通常、TLSを使ってプロキシ通信を転送します。証明書、サーバー名、検証設定は正しく接続できるかどうかに関わるため、エラーを解消する目的で証明書の検証を無効にするのは避けてください。
• VLESS：軽量なプロキシプロトコルで、プロトコル自体には通信の暗号化機能がありません。通常はTLSやREALITYなどのセキュリティ層と組み合わせて構成します。VLESSという名称だけでは、通信全体がどのように保護されているか判断できません。
• Hysteria2 と TUIC：QUICベースのプロキシ方式で、UDPの通信環境に左右されます。UDPが制限されているネットワークや経路の品質が適さない環境では、TCPベースの方式より使いやすいとは限りません。

プロトコル名だけで速度の順位を決めることはできません。実装のバージョン、パケットロス、輻輳制御、サーバー負荷、通信経路によって結果は変わります。初心者には、まず公式推奨クライアントで設定をすべて読み込めるか確認し、同じネットワークと近い時間帯に、利用したいアプリの通信品質を比べる方法がおすすめです。

ルール・全体・TUNモード：通信の経路を決める

ルールモードでは、ドメイン、接続先アドレス、プロセスなどの条件に応じて通信ポリシーを適用します。利用できる条件はクライアントによって異なります。一般的な設定では、国内サービスは直結、プロキシが必要なサービスは選択したポリシーに振り分けます。ルールには通常、適用順があります。先に一致したルールが後の設定より優先される場合があるため、特定のドメインが一覧にあるかだけでなく、どのルールが適用されるか確認してください。

全体モードでは、通常、クライアントの処理対象になっている通信に一律のプロキシポリシーを適用します。ルール設定の問題を一時的に切り分けるときには便利ですが、端末の通信すべてが必ずプロキシを経由するわけではありません。システムのプロキシ設定に従わないアプリ、処理対象になっていないUDP通信、独立したネットワーク環境では、クライアントを経由しない場合があります。

TUNモードは仮想ネットワークインターフェースを通じて通信を取り込み、システムのプロキシ設定に従わないアプリにも適用する際によく使われます。ルールモードと排他的な機能ではありません。まずTUNで通信を受け取り、その後ルールに従って直結またはプロキシに振り分けられます。有効にした後も、ルーティング、DNS、アクセス権限を確認してください。他のトンネルソフトと競合する場合もあります。

初めて使うときは、サービスのドキュメントで推奨されているルール設定を使いましょう。特定のアプリだけ接続できない場合は、そのアプリがプロキシ処理の対象になっているか確認してください。一つのアプリのために、すべての通信を同じ出口へ切り替えたままにすると、国内サイト、社内リソース、決済ページにも影響することがあります。

サブスクリプションURLの追加：クライアントごとに確認

1. 信頼できる配布元からクライアントを入手します。クイックスタートを参考に、利用するOSに合ったクライアントを選び、ユーザーパネルのダウンロードページで関連する案内を確認してください。配布元が不明な改変版クライアントを使う必要はありません。
2. 対応する形式のサブスクリプションURLをコピーします。クライアントで「URLからインポート」や「サブスクリプションを追加」を選びます。URL全体を、単一ノード用のサーバー欄に入力しないでください。操作名はソフトウェアによって異なる場合があります。
3. 設定を更新して結果を確認します。ノード一覧が読み込まれたことを確認し、エラーメッセージにも注意してください。Webページが返された、認証情報が無効、形式に互換性がないといった原因で追加に失敗することがあります。ノードを何度切り替えても、設定の解析エラーは解消されません。
4. ポリシーを選んで接続を開始します。推奨設定に従って、システムプロキシまたはトンネルの権限を有効にしてください。ノードを選択しただけで通信の取り込みを開始していない場合、ブラウザーは従来の接続を使い続けることがあります。
5. 利用するアプリで確認します。まずIP確認ページで出口を確認してから、実際に使いたいサービスを開きます。IPアドレスが変わったことは確認項目の一つにすぎず、すべてのアプリやDNSが想定どおり処理されているとは限りません。

デスクトップクライアントでは、システムプロキシとTUNを別々に設定する場合があります。モバイルクライアントは通常、OSが提供するVPNインターフェースを使って通信を取り込みますが、通信を振り分ける場合もあります。Linuxでは、コマンドラインのプログラムがプロキシ環境変数を参照するか、デスクトップのプロキシ設定が対象のプログラムに適用されるかも確認してください。画面が似ていても、OSごとに通信を取り込む範囲は異なります。

サブスクリプションの更新は通常、設定を再取得する操作であり、サービスを再契約することではありません。端末内の変更が上書きされるかどうかはクライアントによって異なります。ルールをカスタマイズする場合は、更新で変更が失われないよう、ソフトウェアが対応している上書き機能や独立したルール機能を優先して使いましょう。

DNS漏れと接続エラー：症状から原因を探す

DNSはドメイン名をIPアドレスに変換します。一般にDNS漏れとは、トンネルのルールに従って処理されるはずの問い合わせが、想定外のDNSサーバーや経路を使って送信されることです。問い合わせたドメイン名が知られる可能性はありますが、HTTPSで保護されたページの内容をそのまま読み取られることとは異なります。

ブラウザーの暗号化DNS、OSのDNSリゾルバー、クライアントのDNS設定がそれぞれ動作している場合があります。暗号化DNSが保護するのは問い合わせの通信経路であり、問い合わせが自動的にプロキシを通ることを保証するものではありません。確認ページに表示されたDNSサーバーの地域が異なっていても、それだけで漏れとは判断できません。パブリックDNSの分散配置や地理データベースの誤差も表示に影響します。

• ✅ サブスクリプションを更新できない：ネットワークのタイムアウト、認証エラー、形式の不一致のどれかを確認し、URLがすべてコピーされているか確かめてから、サービスのドキュメントを確認します。
• ✅ ノードには接続できるがWebページが開かない：DNS、システムプロキシ、プロキシグループを確認し、クライアントのログに対象への通信が記録されているか調べます。
• ✅ ブラウザーは使えるがアプリは使えない：アプリがシステムプロキシに従うか確認します。必要であれば、ドキュメントを参考にTUNの使用を検討してください。すぐにノードの障害と決めつけないようにしましょう。
• ✅ 特定のサイトだけで問題が起きる：ルールの適用状況、アカウントの地域、プラットフォーム側の制限を確認します。クライアントの遅延表示だけに注目しないでください。
• ❌ サブスクリプションURLや設定全体を公開のテストサイトに貼り付けないでください。問い合わせ用のスクリーンショットでは認証情報を隠し、漏えいした場合はサービスが提供する方法で認証情報を再設定してください。

一度に変更する設定は一種類にし、元の設定も保存しておきます。切り分けのためにルールモードと全体モードを一時的に切り替えて比較しても、テスト後は適切な設定に戻してください。サポートへ問い合わせるときは、OS、クライアント、ネットワーク環境、具体的なエラーを伝えれば十分です。ログを送る前に内容を確認し、機密情報を隠してください。