VPN初心者向け入門：サブスクリプション、ノード、回線の種類、プロトコル、ルーティングをわかりやすく解説

VPN初心者は、まずサブスクリプション、ノード、回線種別、プロトコル、ルーティングの違いを押さえましょう。それぞれ設定の取得元、接続先、通信経路、通信方式、通信の振り分け先を指し、同じものではありません。接続に問題が起きたら、ノードを次々に切り替えるより、どの層に原因があるかを見極めることが大切です。

クライアントの用語とその役割

日常会話ではプロキシクライアントもVPNクライアントもまとめてVPNと呼ばれることがありますが、技術的な仕組みは異なります。従来型のVPNは通常、ネットワーク層のトンネルを構築します。一方、プロキシサービスは特定のアプリの通信だけを処理する場合があります。プロキシクライアントで仮想NICを有効にすれば、より多くのアプリを対象にできますが、従来型VPNと同じプロトコルを使うという意味ではありません。

サブスクリプションURLとノード：設定をクライアントに取り込む

プランのサブスクリプションは料金の契約関係を指し、クライアントのサブスクリプションは通常、設定の配信を指します。URLからノード一覧が取得できる場合もあれば、ルール、プロキシグループ、DNS設定を含む設定一式が取得できる場合もあります。どちらも「URLだから」と同じものとして扱うことはできません。あるノード形式を読み込めるクライアントでも、別のクライアント向け設定ファイルを読み込めるとは限りません。

ノードが専用の物理サーバーを指すとは限りません。接続の入口、出口、プロトコル設定を組み合わせたものとして扱われる場合があります。リストに表示される地域名は通常、出口の位置を示しますが、名称の付け方はサービスによって異なり、それだけで通信経路全体を判断することはできません。複数のノード名が一部のインフラを共有している場合もあります。

サブスクリプションの更新では設定の変更が同期されますが、料金の更新を意味するわけではなく、現在選択中のノードが変わるとも限りません。更新前に、クライアントがローカルの変更を上書きするか確認しましょう。独自ルールが必要な場合は、次回の更新で変更が消えないよう、クライアントのオーバーライド機能を使うのがおすすめです。

IEPL専用線・中継・直結：違いは通信経路

直結は通常、サービス側が別途用意した中継用の入口を経由せず、クライアントから海外のサーバーに直接接続する方式です。それでも通信は通信事業者のネットワークや国際接続を経由するため、「途中にルーターがない」という意味ではありません。経路は比較的わかりやすいものの、実際の使い心地はユーザー側のアクセス回線、通信事業者のルーティング、接続先のネットワークに左右されます。

中継は、ユーザーと出口の間にサービス側が用意した転送区間を設ける方式です。まず入口に接続し、そこから出口へ転送します。適切な中継により、特定のネットワークで経路が改善することはありますが、管理が必要な区間も増えます。中継は専用線と同じではなく、必ず低遅延になるわけでもありません。

IEPL専用線は、国際イーサネット専用線を指します。サービスによっては、入口と海外の出口の間の通信に利用されます。一方、ユーザーから入口までの区間は公衆ネットワークを経由する場合があります。そのため、「IEPLを採用」とあっても、端末から接続先のウェブサイトまで全区間が専用という意味ではなく、専用IPが使われるとも限りません。

回線種別とプロトコルは別の観点です。同じプロトコルでも、異なる経路上で動作します。選ぶ際は、まず目的の地域に正常に接続できるか確認し、普段使うネットワークや時間帯で実際の状態を見ましょう。経路について明確な説明がない場合、ノード名に「専用線」とあるだけで判断するのは避けてください。

よく使われるプロトコル：名称より互換性が重要

プロトコルは、クライアントとサーバーがデータをやり取りする方法を定めます。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICはそれぞれ異なるプロキシプロトコルであり、名称だけで一律に速度を比較することはできません。サーバー側の実装、通信設定、現在のネットワーク環境も結果に影響します。

• Shadowsocks：暗号化プロキシプロトコルです。クライアントが、設定で指定された暗号方式に対応している必要があります。Shadowsocksに対応していても、すべての方式や拡張機能を使えるとは限りません。
• VMess：認証と暗号化の仕組みを備えたプロキシプロトコルで、複数の通信方式と組み合わせられます。クライアントとサーバーの通信パラメーターを一致させる必要があります。
• Trojan：通常はTLSを使って通信します。証明書の検証やサーバー名などの設定が接続に影響するため、証明書検証を無効にすることを一般的な解決策として扱わないでください。
• VLESS：プロトコル自体はデータを暗号化しません。通常はTLSやREALITYなどのセキュリティ層と組み合わせて使います。VLESSと表示されていても、通信設定全体を確認してください。
• Hysteria2とTUIC：QUICをベースにしたプロキシ方式で、UDP経路を利用します。ネットワークでUDPが制限されていると、接続できない、または動作が不安定になる場合があります。

ここでは用語を説明していますが、VPNAddがすべてのプロトコルを提供しているという意味ではありません。実際に利用できるものは、サービスの管理画面とクライアントの説明をご確認ください。インポートに失敗した場合は、URL内のプロトコル名をむやみに変更せず、クライアントのバージョン、コアの対応状況、サブスクリプション形式を確認しましょう。

グローバル・ルール・仮想NICを混同しない

「グローバル」は通常、クライアントが処理する通信の出口を一律に選ぶルーティング設定です。「ルール」は、ドメイン、接続先IP、プロセスなどの条件に応じて通信の行き先を決めます。ルールは順番に判定されることが多く、先に一致したルールが後続のルールより優先される場合があります。詳しくはクライアントの仕様をご確認ください。

「システムプロキシ」と「TUN仮想NIC」は、クライアントが処理する通信の範囲に関する設定です。システムプロキシはアプリにプロキシ設定を提供しますが、それに従わないプログラムもあります。TUNはネットワーク層で仮想インターフェースにルーティングされた通信を受け取り、通常は該当するシステム権限が必要です。画面上でグローバルと表示されていても、対象外のアプリは直結する場合があります。

普段使いでは、まずサービスが提供するルール設定を選び、国内向けの通信と国際回線が必要な通信をそれぞれ適した経路に振り分けるとよいでしょう。特定のウェブサイトに問題がある場合は、一時的にグローバルモードに切り替えて比較し、ルールの適用履歴も確認してください。グローバルでは正常でルールモードでは異常が起きる場合、ルーティングやDNS設定の確認が必要かもしれませんが、それだけで原因を特定することはできません。

WindowsとmacOSのデスクトップアプリでは、システムプロキシへの対応状況が異なります。モバイル端末では、システムのVPNインターフェースを使って通信を処理するのが一般的です。Linuxでは、デスクトップのプロキシ設定とコマンドラインプログラムの環境設定の違いにも注意しましょう。あるプラットフォームの設定名を、そのまま別のプラットフォームに当てはめないでください。

初回のインポートと確認：順番にチェック

1. クライアントを入手。信頼できる配布元から、お使いのシステムに適したクライアントを入手し、サービスが提供する設定形式に対応しているか確認します。VPNAddのユーザーはユーザーパネルからクライアントを入手できます。操作方法は初心者ガイドをご覧ください。
2. サブスクリプションをインポート。サービスの管理画面でURLをコピーし、クライアントのサブスクリプション追加画面から登録します。ワンクリックでインポートする場合は、システムが起動するアプリが正しいか確認してください。URLを検索エンジンに貼り付けないでください。
3. 設定を確認。ノード一覧が表示されることを確認し、目的の地域を選んで、システムの案内に従ってネットワーク権限を許可します。まずは既定のルールを使い、通信を処理するクライアントを複数同時に起動しないようにしましょう。
4. 出口を確認。接続後、自分のIPアドレスを開き、ブラウザー通信の出口を確認します。IP位置情報データベースによって結果が異なる場合があり、出口の変化から確認できるのは、テストした通信の経路が変わったことだけです。
5. 実際に使うアプリを確認。ブラウザーと目的のアプリをそれぞれ確認します。ブラウザーは正常でアプリに問題がある場合は、まず通信を処理する範囲を確認してください。すべて失敗する場合は、ローカルネットワーク、ノード、サブスクリプションの状態を確認しましょう。
6. 問題の手がかりを記録。システム、クライアント、ノード名、モード、エラーメッセージを記録します。ログを送る前にサブスクリプショントークンやアカウント情報を隠し、必要に応じてユーザーパネルから問い合わせを送信してください。

DNSリークと通信：よくある誤解を確認

DNSはドメイン名をIPアドレスに変換します。接続先への通信がプロキシ経由でも、ドメインの問い合わせが想定と異なるローカルの名前解決経路を通ると、その経路上のDNSサーバーに問い合わせ情報が伝わる場合があります。リークに当たるかどうかは、想定したルールと照らし合わせて判断します。ルールモードでローカルドメインをローカルDNSで解決する設定も、それだけで誤設定とは限りません。

ブラウザーの暗号化DNS、システムのリゾルバー、クライアントのDNS設定が同時に使われる場合があります。確認する際は、クライアントのログと実際の問い合わせ経路を照らし合わせましょう。検査ページに表示されたリゾルバー名だけでは判断できません。暗号化DNSが保護するのはリゾルバーまでの問い合わせ通信であり、アプリの接続が自動的にプロキシ経由になるわけではありません。IPv6も通信の処理範囲とルールを確認してください。

• ✅ 出口IP、DNSの経路、アプリの通信を処理する範囲はそれぞれ個別に確認し、ブラウザーでのテストだけで端末全体を判断しないようにしましょう。
• ✅ 月額サブスクリプションの通信量は、利用開始日を基準に毎月リセットされます。月初一律のリセットではありません。
• ✅ VPNAddのデータパックは、使い切るまで有効で有効期限はありません。利用ペースに合わせて月額サブスクリプションと比較してください。
• ❌ 同時接続台数に制限がないことと、プランの通信量が無制限であることは別です。接続台数と通信量の上限は異なります。
• ❌ 通信が暗号化されても、匿名になるわけではありません。ウェブサイトへのログイン、ブラウザーの識別情報、決済記録には、それぞれ別のデータ上の制約があります。

料金プランを選ぶ際は、プランの詳細をご確認ください。メールアドレスなしで利用を開始できるため、アカウント作成時に提出する情報を減らせますが、プライバシーポリシーの確認が不要になるわけではありません。「銀行レベルの暗号化」は通信の保護を指し、端末、接続先のウェブサイト、アカウントの利用状況まで同じように保護されることを意味しません。