このVPN初心者向け用語集では、クライアントに表示されるサブスクリプション、ノード、プロトコル、直結、中継、グローバルプロキシ、ルール分岐についてまとめて解説します。これらは同じ階層の設定ではありません。サブスクリプションは設定を配信し、ノードは選択可能な出口を示し、プロトコルは通信方式を定め、モードとルールはどの接続をノード経由にするかを決めます。まず階層を整理してからサブスクリプションをインポートし、回線を切り替えれば、クライアント画面の各スイッチの意味も理解しやすくなります。

サブスクリプションとノードの違い

サブスクリプションは設定の入口であり、単一のノードではありません

サブスクリプションは通常、1本のリンクとして提供されます。クライアントがそのリンクにアクセスすると、サービス側からノード名、サーバーアドレス、ポート、プロトコルパラメータ、場合によってはグループ情報を取得します。1つのサブスクリプションに複数のノードを含めることができ、サービス側で回線が調整されると内容が更新される場合もあります。そのため、「サブスクリプションをインポート済み」という状態は設定一覧がクライアントに入ったことを示すだけで、現在の接続が確立されたことを意味しません。

サブスクリプションリンクにはアクセス認証情報が含まれる場合があるため、アカウントの認証情報と同じように扱ってください。公開速度測定ページ、フォーラムのスクリーンショット、共有ドキュメント、出所の不明な変換ツールにリンクを貼り付けないでください。自分の別の端末で使う場合は、信頼できる方法で共有します。端末を使わなくなったら、その端末からサブスクリプションとキャッシュ設定を削除できます。

ノードは1回の接続で使う入口と出口の組み合わせです

クライアントの一覧にある「日本」「シンガポール」などの地域名は、通常ノードの出口や回線の用途を示しますが、あくまでラベルです。実際の接続には、入口サーバー、通信経路、プロトコル、出口アドレスも関係します。ノードを選ぶと、クライアントはその設定に従ってトンネルまたはプロキシ接続の確立を試みます。成功後、現在の分岐ルールに合致するトラフィックがノードに渡されます。

ノードとサーバーを完全に同一視することもできません。同じサーバーで異なるプロトコル設定を提供することがあり、同じサービス回線を複数の入口から提供する場合もあります。利用者にとって実用的な判断単位は「接続可能な完全な設定」です。ハンドシェイクできるか、現在のネットワークに適しているか、出口地域が目的に合っているか、継続的な通信で安定しているかを確認しましょう。

  • ✅ サブスクリプションをインポートしたら、まず更新を実行し、クライアントが最新の設定を取得したことを確認します。
  • ✅ 地理的に近いノードからテストを始め、目的のサービスがある地域に合わせて調整します。
  • ✅ サブスクリプションの更新失敗とノードの接続失敗は分けて記録します。原因の層が異なるためです。
  • ❌ 「一覧にノードが表示される」ことを「ノードに接続できている」ことと混同しないでください。
  • ❌ サブスクリプションリンクや、接続パラメータがすべて含まれるQRコードを公開しないでください。

直結・中継・IEPL専用線の違い

回線の種類は、ローカルネットワークから出口サーバーまでデータがどのように進むかを示します。直結、中継、IEPL専用線はクライアントの固定ボタン名ではなく、サービス提供者によって異なる名称が使われることもあります。「最適化」や「専用線」といったノード名だけで判断せず、実際のネットワーク構成を確認しましょう。

回線の種類 基本的な経路 主な特徴 確認するポイント
直結 ローカルネットワークから海外ノードへ直接接続 経路がシンプルで、地域の通信事業者や国際相互接続の状況に左右されやすい ネットワーク間の経路、夜間の混雑、現在のネットワークによるプロトコル制限を確認
中継 近い入口に接続してから、入口を経由して出口へ転送 入口を利用地域の近くに置きやすく、サービス側で後半の経路を調整できる ローカルから入口、入口から出口のそれぞれが正常かを確認
IEPL専用線 入口と出口の間で企業向け国際専用線を利用 公衆インターネットに露出する区間は通常少ないものの、ローカル接続と出口の状態には左右される 名称が実際の回線に対応しているかを確認し、入口への到達性を確認

直結の利点は構成が分かりやすいことです。ローカルネットワークから目的のノードへ直接接続するため、サービス側の転送が1段少なくなります。一方、国際回線で迂回や混雑が起きても、クライアントだけで途中経路を変えるのは困難です。中継回線では、まず近い入口へ接続し、その後サービス側のネットワークから出口へ転送するため、調整の余地が広がります。ただし、入口や中継区間に問題があれば接続失敗につながります。

IEPLは国際イーサネット専用線系サービスを指す一般的な呼称で、入口と出口の間の伝送方式に重点があります。端末から入口までのローカルネットワークまで専用線になるわけではなく、宣伝上のラベルだけで実際の構成を判断することもできません。選択時は、提供されている回線説明、接続の安定性、実際のアクセス結果を総合的に確認し、回線名を無条件の保証と考えないようにしましょう。

判断のポイント：ローカルネットワークから入口までが安定している場合、中継またはIEPL系の回線は、サービス側で国際経路を管理しやすい傾向があります。直結は、ローカルから海外サーバーまでの公衆ネットワーク品質により強く左右されます。どの回線も、利用するネットワーク環境だけで体感をすべて決められるものではありません。

主要プロトコルが決めること

プロトコルは、クライアントとサービス側がデータをどのように認証、カプセル化、転送するかを定めます。プロトコル名だけで速度や安定性が決まるわけではありません。実際の性能は、ネットワーク品質、サーバー設定、トランスポート層、輻輳制御、クライアントの実装にも左右されます。初心者が各パラメータを手入力する必要は通常ありませんが、プロトコルが一致しない場合の症状は把握しておきましょう。

プロトコル 位置づけ 転送と暗号化の要点 利用時の注意点
Shadowsocks 暗号化プロキシプロトコル 共有鍵と選択した暗号化方式でプロキシ通信を保護 クライアントとサービス側で暗号化方式、パスワード、ポートを一致させる必要がある
VMess 認証機能付きプロキシプロトコル TCP、WebSocketなどの転送方式と組み合わせて使われることが多い ユーザー識別子、転送方式、安全層の設定を一致させる必要がある
Trojan TLSベースのプロキシ方式 通常は標準TLSを使って暗号化接続を確立 ドメイン、証明書、パスワード、サーバー名の設定がハンドシェイクに影響する
VLESS 軽量認証・転送フレームワーク プロトコル自体は内容を暗号化せず、通常はTLSなどの安全層に依存する サービス側が要求する転送セキュリティ設定を省略しない
Hysteria2 QUICベースの転送プロトコル UDP上で動作し、複雑なネットワーク向けの輻輳制御を利用 現在のネットワークがUDPを制限している場合、正常にハンドシェイクや転送ができないことがある
TUIC QUICベースのプロキシプロトコル UDPとQUIC接続を使ってプロキシ通信を運ぶ クライアントが対応バージョンをサポートし、UDP通信を許可している必要がある

Shadowsocksの設定は比較的シンプルですが、プロキシプロトコルであり、名前だけで完全なシステムVPNと考えるべきではありません。VMess、Trojan、VLESSは異なる転送方式やTLS設定と組み合わせて使われることが多く、同じプロトコル名でもハンドシェイク経路が異なる場合があります。Hysteria2とTUICはいずれもQUICとUDPを基盤としているため、パケットロスや揺らぎがある環境では従来のTCP方式と異なる挙動を示すことがあります。ただし、現在のネットワークがUDP通信を正常に許可していることが前提です。

クライアントに「タイムアウト」と表示された場合、サーバーに到達できない、ポートが制限されている、ドメイン解決に失敗している、UDPが通らないといった原因が考えられます。「認証失敗」と表示された場合は、認証情報とサブスクリプションの有効性を確認してください。「TLSハンドシェイク失敗」なら、時刻、ドメイン、証明書、サーバー名を確認します。接続に失敗したからといって、すべてのパラメータを一度に変更しないでください。エラーメッセージが切り分けの方向を示していることが多いためです。

グローバル・ルール・直結モードの選び方

接続を確立した後、クライアントはどのリクエストをプロキシに渡すかを決める必要があります。この判断を行うのが実行モードと分岐ルールです。ノードは「どこから外へ出るか」を担当し、分岐は「どの通信をノードに渡すか」を担当します。両者を置き換えることはできません。

グローバルモード

グローバルモードでは通常、クライアントが制御できるすべてのネットワークリクエストを選択したノードに渡します。分岐漏れを調べるのに適しており、グローバルモードでは利用できるサイトがルールモードでは利用できない場合、問題はノードそのものではなく、ルールのマッチングやDNSポリシーにある可能性が高くなります。一方、グローバルモードでは国内サイト、LAN機器、プロキシ不要のアプリまで迂回させることがあるため、常用に適しているとは限りません。

ルールモード

ルールモードでは、ドメイン、IP、アプリ、ルールセットに基づいてプロキシ、直結、拒否を決めます。ドメインルールは完全なドメインやサフィックスに一致させられ、IPルールは名前解決の結果に依存します。アプリ分岐は、OSとクライアントがプロセス識別に対応しているかどうかに左右されます。ルールに優先順位がある場合、通常は先に一致したルールが実行されるため、広すぎるルールを前に置くと後方の詳細なルールが適用されないことがあります。

直結モード

直結モードではノードを経由せず、現在のネットワークを直接使用します。プロキシの影響を一時停止したい場合、LANリソースへのアクセス、比較テストに適しています。直結はクライアントの終了を意味しません。クライアントによってはローカルDNS、仮想ネットワークアダプター、システムプロキシ設定が残るため、確認後はシステムのネットワーク状態が復元されているかも確認してください。

リクエストの発生
→ クライアントが対象ドメイン、IP、アプリ情報を読み取る
→ 分岐ルールを順番に照合する
→ プロキシ、直結、拒否を実行する
→ プロキシリクエストを現在のノードに渡す
→ ノードがリクエストを対象サービスへ転送する

ルールモードでよくある誤解は、Webサイトのメインドメインだけを見ることです。現在のWebページでは、ログイン、画像、スクリプト、API、メディアが同時に読み込まれ、別々のドメインから配信されることがあります。メインページがプロキシ経由でもAPIドメインが直結になると、ページは開くのにログインできない、ボタンが反応しない、画像が表示されないといった問題が起こります。ブラウザーの開発者ツールとクライアントの接続ログを使えば、想定どおりに分岐されていないドメインを確認できます。

システムプロキシ・仮想ネットワークアダプター・アプリプロキシの違い

クライアントが通信を制御するには、OSが提供する入口を利用する必要があります。代表的な入口は、システムプロキシ、仮想ネットワークアダプター、アプリ自身のプロキシ設定です。接続ボタンが成功を示していても、クライアントとノードの接続が確立した可能性を示すだけです。特定のアプリが実際にノードを経由するかは、現在の制御方式に従うアプリかどうかにも左右されます。

システムプロキシはOSのプロキシ設定に反映されます。ブラウザーやシステム設定に従うアプリは通常利用できますが、一部のゲーム、コマンドラインツール、独自のネットワークスタックを実装したソフトウェアは無視することがあります。仮想ネットワークアダプターモードは、クライアント上でTUNと表示されることが多く、ネットワーク層でより広範囲の通信を制御します。システムプロキシを読み取れないアプリに適していますが、追加権限が必要な場合があり、LANやルーティングの競合にも注意が必要です。アプリプロキシは、特定のソフトウェア内にローカルプロキシアドレスを入力する方式で、そのソフトウェアだけに影響します。

プラットフォーム 主な制御方式 ユーザーに表示される許可 確認するポイント
Windows システムプロキシまたは仮想ネットワークアダプター 仮想ネットワークアダプターのインストール、ネットワークアクセス、管理者権限に関する表示 システムプロキシの残存設定、ファイアウォール、仮想ネットワークアダプターのルートを確認
macOS システムプロキシ、ネットワーク拡張、仮想インターフェース ネットワーク拡張とシステムネットワーク設定の許可 拡張機能が有効か、他のソフトウェアがシステムプロキシを書き換えていないかを確認
iOS システムが提供するVPNネットワーク拡張 VPN構成の追加を許可するシステム確認 構成の有効化、オンデマンド接続、現在のネットワーク権限を確認
Android システムVPNサービス VPN接続を確立するシステム確認 省電力制限、バックグラウンド動作、アプリの分岐設定を確認

プラットフォームによってクライアントの画面は大きく異なりますが、根本的な問題は似ています。サブスクリプションが更新されているか、ノードがハンドシェイクできるか、システムがネットワークインターフェースの作成を許可しているか、対象アプリが制御対象か、分岐ルールが一致しているかを確認します。別のプラットフォームに移行したときは、同名のボタンを機械的に探すのではなく、クライアントがシステムプロキシ、仮想ネットワークアダプター、システムVPNサービスのどれを使っているかを確認し、それに応じて権限とルートを確認してください。

DNSリークと名前解決の経路を理解する

DNSはドメイン名をIPアドレスに変換します。DNSリークとは通常、業務トラフィックはプロキシ経由にする予定なのに、ドメイン検索だけがローカルネットワーク指定の名前解決サービスへ送信され、名前解決の経路とプロキシポリシーが一致しない状態を指します。これはプライバシーの境界に関わるだけでなく、現在の出口地域に適さないアドレスへ解決される原因にもなり、接続の遅延、地域判定の異常、ページリソースの読み込み失敗につながることがあります。

クライアントによってDNSの処理方法は異なります。リモートノードに問い合わせるもの、ローカルの暗号化DNSを使うもの、分岐ルールに従って解決先を分けるもの、仮想ネットワークアダプターモードでシステムの問い合わせを制御するものがあります。「リモートDNS」「ローカルDNS」「Fake IP」「ルールに従って解決」といった項目を見たときは、機能をできるだけ有効にするのではなく、現在のモードでクライアントによるDNS制御が必要かを先に理解してください。

  1. 接続前に、現在のネットワークで使われている名前解決結果と出口の状態を記録します。
  2. ノードを有効にしたら、対象サイトの業務トラフィックが実際にクライアントを経由していることを確認します。
  3. DNSテストの結果が、ローカルネットワーク指定の名前解決サービスだけを表示していないか確認します。
  4. 結果が想定と異なる場合は、クライアントのDNSモード、システムやブラウザーのセキュアDNS、分岐ルールが互いに上書きしていないか確認します。
  5. システムとブラウザーのDNSキャッシュを削除してから再テストし、古い名前解決結果の影響を避けます。

サブスクリプションのインポートから接続確認までの手順

用語を理解したら、決められた順番で初期設定を進めます。基本は、まず設定が有効であることを確認し、次にノードへの接続、最後に分岐とDNSを確認することです。問題が起きても、対象を明確な手順まで絞り込めます。

  1. 利用するプラットフォームに対応したクライアントを入手。リンクを貼り付けられるかだけでなく、サブスクリプションで使われているプロトコルに対応していることを確認します。
  2. サブスクリプションリンクをインポート。サブスクリプション管理または設定の入口にリンクを貼り付け、保存後に更新を実行します。QRコードに対応するクライアントでも、自分のアカウントページから取得したものか確認してください。
  3. ノード一覧を確認。一覧が空でないことを確認し、認識できないプロトコルや設定エラーの表示がないか確認します。
  4. ノードを1つ選択。初回テストでは、地理的に近く用途が明確な回線を選び、自動切り替えや複雑な負荷分散を同時に有効にしないでください。
  5. 制御モードを選択。ブラウザーのテストではまずシステムプロキシを使い、より多くのアプリを制御する必要がある場合は、プラットフォームの機能に応じて仮想ネットワークアダプターまたはシステムVPNサービスを有効にします。
  6. 接続を確立。ボタンの色だけでなく、クライアントログに表示される名前解決、ハンドシェイク、認証、タイムアウトの情報を確認します。
  7. 出口とアクセスを確認。出口地域が選択したノードと一致するかを確認し、ローカルサイト、対象サイト、使用するアプリをそれぞれテストします。
  8. ルールモードに戻す。グローバルモードで利用できることを確認してからルールを有効にし、再テストします。差異が出た場合は、ルールに一致しなかったドメインやアプリを対象に調整します。
  9. DNSを確認。名前解決の経路が現在の制御方式と一致し、業務トラフィックとDNS問い合わせが異なるポリシーになっていないことを確認します。

サブスクリプションを更新できない場合は、リンクが完全か、システム時刻が正確か、現在のネットワークからサブスクリプションアドレスにアクセスできるかを先に確認します。更新できるのにすべてのノードが失敗する場合は、プロトコルの互換性、ネットワーク権限、現在のネットワークによるUDPや特定ポートの制限を重点的に確認します。特定のノードだけが失敗する場合は、そのノード、対応する入口、または回線状態に問題がある可能性が高くなります。

ブラウザーはアクセスできるのに他のアプリがアクセスできない場合は、システムプロキシと仮想ネットワークアダプターの違いを確認します。グローバルモードは正常でルールモードだけ異常な場合は、ルールの一致とDNSを確認します。ページは開くのにログインやメディアの読み込みに失敗する場合は、関連するサブドメインが異なる分岐ポリシーになっていないか確認してください。

  • ✅ サブスクリプションの更新に成功し、クライアントが含まれるプロトコルを認識できる。
  • ✅ 選択したノードでハンドシェイクが完了し、認証や証明書のエラーがない。
  • ✅ 対象アプリが現在のプロキシまたは仮想ネットワークアダプターの制御範囲に含まれている。
  • ✅ 分岐ルールがメインドメイン、APIドメイン、リソースドメインに対して一貫したポリシーを使っている。
  • ✅ DNSの名前解決経路がプロキシモードと一致している。
  • ❌ 問題の原因を特定する前に、異なる出所の設定を複数インポートしないでください。

クライアントのスイッチを理解した後の選択基準

クライアントの設定はいくつかの層に分けられます。サブスクリプションは設定を配信し、ノードは接続先を提供し、プロトコルは通信方式を定義し、回線は中間経路を決め、制御方式はどのアプリをクライアントに取り込むかを決め、分岐ルールは各リクエストをプロキシと直結のどちらにするかを決めます。DNS設定は名前解決の経路を担当します。見慣れないボタンがあったら、まずどの層に属するかを考えると、変更による影響を推測しやすくなります。

初心者が複雑な設定を求めてすべての機能を有効にする必要はありません。安定した方法は、正常に接続できる基本設定を1つ残し、ルール、仮想ネットワークアダプター、自動選択、カスタムDNSを段階的に追加することです。変更するたびに同じアクセス確認を行い、復元できる設定バージョンを保存してください。各スイッチの役割を理解しやすくなり、ネットワーク環境が変わっても既知の利用可能な状態へすぐ戻せます。