VPN初心者向けガイド：サブスクリプション・ノード・プロトコル・ルール分岐を解説

サブスクリプション・ノード・クライアントの関係を表で確認

「サブスクリプション」には料金プランの意味もあります。月額サブスクリプションはプランの期間を指し、サブスクリプションURLは設定を取得するための技術的な入口です。URLの更新は通常、設定を再取得する操作であり、契約更新や通信量のリセットを意味しません。利用量、有効期限、課金方法はアカウント画面で確認してください。

同じサービスでも、クライアントによって提供される形式が異なる場合があります。ノードだけを返すURLもあれば、ルール、DNS、ポリシーグループを含む設定一式を取得できるものもあります。インポートする前に、アカウント画面で利用するクライアントに対応した入口を選びましょう。URLの見た目が似ているだけで互換性を判断しないでください。

プロトコルと暗号化：名称だけでは速度はわからない

プロトコルは、クライアントとサーバーがデータを交換し、接続を認証する方法を定めます。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICはプロキシクライアントで使われることがありますが、自由に入れ替えられる選択肢ではありません。サーバーが使用するプロトコルに、クライアントとパラメーターを対応させる必要があります。

• Shadowsocks：暗号化プロキシプロトコルの一種です。暗号方式と鍵を一致させる必要があります。従来の意味でのデバイス全体を通すVPNトンネルではなく、デバイス全体の通信を取り込むには、通常、クライアントの仮想ネットワークインターフェース機能を使います。
• VMess：認証と暗号化の仕組みを備え、複数のトランスポート方式と組み合わせられます。プロトコル名だけでなく、トランスポート層の設定もクライアントで正しく読み込む必要があります。
• Trojan：通常はTLSを利用して通信を保護します。証明書の検証やサーバー名などのパラメーターを正しく設定してください。接続のために検証をむやみに無効にしてはいけません。
• VLESS：それ自体では通信内容を暗号化しません。TLSやREALITYなどのセキュリティレイヤーと、対応するトランスポート設定を組み合わせて理解する必要があります。名称の違いを暗号化強度の順位と捉えることはできません。
• Hysteria2とTUIC：QUICをベースとし、UDP通信を利用します。利用中のネットワークでUDPが制限されていると、クライアントが設定を認識できても、接続を確立できない場合があります。

これらは一般的な概念の説明であり、VPNQOがすべてのプロトコルを提供していることを示すものではありません。対応状況はアカウント画面とクライアントの説明で確認してください。ノードの速度は、利用者側のネットワーク、入口の混雑、国際経路、出口の負荷、接続先のWebサイトにも左右されます。プロトコル名だけで判断することはできません。

「コア」は、クライアント内部でプロトコル処理やルール適用を担う部分です。画面の名前が似ていても、異なるコアやバージョンを使っていることがあります。「未対応のプロトコル」「設定項目をサポートしていません」などのエラーが出た場合は、設定項目を見よう見まねで削除するのではなく、まずクライアントの互換性を確認してください。

IEPL専線・中継・直結の違い

回線の種類は通信経路を、プロトコルは通信方式を表します。これは異なるレイヤーの概念です。同じプロトコルを使うノードでも経路が異なることがあり、専線を使っていても、デバイスから接続先のWebサイトまでの全区間が専用ネットワークとは限りません。

直結：デバイスから海外の入口サーバーへ直接接続

ここでいう「直結回線」は通常、利用者のデバイスが現地の通信事業者の公衆ネットワークを経由して、海外サーバーへ直接接続する経路です。経路は比較的シンプルですが、通信状況は利用者側の事業者の国際出口や公衆ネットワークの混雑に左右されます。ルール分岐で使う「直結」アクションとは別の意味です。後者は通常、リクエストをプロキシに通さないことを指します。

中継：入口に接続してから出口へ転送

中継回線では、通信をまず入口サーバーに送り、そこから海外の出口へ転送します。中継によってルーティングを調整できますが、転送の段階が増えれば必ず速くなる、または遅くなるわけではありません。入口の品質、転送経路、ピーク時の負荷を合わせて確認しましょう。「中継」というラベルだけでは利用感を判断できません。

IEPL：経路の一部にイーサネット専線を利用

IEPLは国際イーサネット専線を指します。サービスで「IEPL回線」と表示されている場合、通常は国際区間の一部にこの種の回線を利用していることを示します。具体的な適用範囲はサービスの説明で確認してください。デバイスから入口まで、また出口から接続先のWebサイトまでは公衆ネットワークを経由する場合があります。混雑やパケットロスが発生しない、あるいは特定のプラットフォームを常時利用できるといった保証にはなりません。

ルール分岐・グローバルモード・TUNの違い

ルールモードでは、条件との一致結果に応じて通信経路を選択します。ローカルサービスは直結し、海外の出口が必要なドメインはプロキシを通す、といった日常の使い分けに適しています。通常、ルールには適用順があり、先に一致したルールによって後続のルールが適用されないことがあります。一致するルールがない場合は、設定された最終ポリシーが適用されます。

クライアントのグローバルモードは通常、クライアントに取り込まれた通信を選択中のプロキシポリシーにまとめて渡す設定です。デバイス全体の通信を必ず取り込むわけではありません。システムプロキシを使わないアプリのリクエストは、そもそもクライアントに入らず、グローバルモードでも処理されないことがあります。

TUNは仮想ネットワークインターフェースを使って通信を取り込む方式で、より多くのアプリの通信をクライアントに渡せます。プロトコルでもグローバルモードでもありません。TUNとルールモードは併用できます。まず仮想インターフェースから通信を取り込み、その後ルールに従って振り分けます。実際に取り込まれる範囲は、システム権限、ルーティング、除外設定によって異なります。

AndroidやiOSのクライアントは、システムが提供するVPNインターフェースを使って通信を転送することが多く、そのためステータスバーにVPNアイコンが表示される場合があります。ただし、基盤となる通信方式が従来型のVPNプロトコルであることを示すものではありません。Windows、macOS、Linuxでは、システムプロキシやTUNなど複数の入口が使われます。利用できる機能はアプリの実装によって異なります。

DNS・出口IPアドレス・リークの確認

DNSはドメイン名をIPアドレスに変換します。これは、その後に行われるWebサイトへの接続とは別の処理です。DNSリクエストはOS、ブラウザー、クライアントのいずれかから送信されることがあります。Webサイトへの通信がプロキシ経由でも、名前解決が同じ経路を通るとは限りません。

DNSリークとは通常、DNSリクエストが想定したトンネルやプロキシの経路を通らず、意図しないDNSサーバーに送られる状態を指します。ルールでローカルドメインをローカルDNSで解決するよう設定している場合、ローカルのDNSサーバーが表示されても、必ずしも異常ではありません。リークかどうか判断する前に、設定で想定されている動作を確認してください。DNSサーバーの地域が違うというだけで、すぐにリークと判断しないようにしましょう。

ブラウザーの暗号化DNS、OSの名前解決設定、クライアントのDNS制御は、互いに影響することがあります。トラブル時は、まずクライアントのドキュメントで推奨されている組み合わせを使い、複数の設定を同時に変更しないでください。暗号化DNSが保護するのは名前解決時の通信です。Webサイトへの出口を自動的に変えるものではなく、プロキシ接続とも異なります。

出口を確認するには、当サイトのIPアドレス確認ページを開き、そのWebリクエストの出口情報を確認してください。この結果だけでは、他のアプリやDNS、別のIPアドレス方式でも同じ経路を使っているとは確認できません。ネットワークがIPv6に対応している場合は、クライアントがIPv6を取り込む、または遮断する設定も確認してください。IPv4だけを見て検証を終えないようにしましょう。

Webサイトに表示される地域は、IPデータベースの更新状況、アカウントの地域、キャッシュ、位置情報の許可設定などにも影響されます。出口IPアドレスが変わっても、アカウントの登録地域が変わるわけではなく、接続先のプラットフォームで必ずアクセスできるとも限りません。実際のページ表示とクライアントのログを合わせて確認してください。

サブスクリプションの取り込みから接続確認まで

用語を把握したら、次の手順で初回接続を進めましょう。メニュー名はクライアントによって異なりますが、基本の流れは共通です。クライアントのダウンロード先はユーザーパネルで確認できます。各プラットフォームでの操作は使い方ガイドを参照してください。

1. クライアントの互換性を確認する。対応OS、クライアントがサポートするプロトコル、パネルで提供されているサブスクリプション形式を確認します。ダウンロードしただけでは接続設定は追加されません。
2. 対応するサブスクリプションを取り込む。URLからのインポート、またはパネルが提供するインポート方法を使います。ノード一覧が表示されることを確認してください。形式エラーが表示された場合は、まず選んだ入口がクライアントに対応しているか確認します。
3. ノードとルールモードを選択する。用途に合った地域から選び、むやみに切り替え続けないようにしましょう。ポリシーグループが自動選択になっている場合は、実際に使用中のノードを確認してください。
4. 通信の取り込みを開始し、必要な権限を確認する。システムの案内に従ってネットワーク設定を許可します。デスクトップではシステムプロキシやTUNが有効か確認してください。モバイルではバックグラウンド動作の制限に注意し、アプリを切り替えた後にシステムが接続を一時停止しないようにします。
5. 実際のリクエストで確認する。IPアドレス確認ページを開き、続けて利用したいWebサイトにアクセスします。結果が異なる場合は、クライアントのスイッチだけでなく、対象ドメインに適用されたルールを確認してください。

• ✅ ノード一覧が更新され、選択したノードに明らかな設定解析エラーがない。
• ✅ 通信を取り込む方式を確認し、除外される可能性のあるアプリやリクエストを把握している。
• ✅ IPアドレス確認の結果が想定した経路と一致し、接続先のWebサイトで実際の操作を完了できる。
• ✅ ログを共有する前に、サブスクリプションURL、認証情報、個人のリクエスト情報を隠している。

接続できないときは、問題の箇所を順に確認

サブスクリプションを更新できない

まずローカルネットワーク、パネルへのアクセス、URLが完全かどうかを確認し、次にアカウントの状態とクライアントが対応する形式を確認します。コピー時に空白が混入した、URLがリセットされている、別のクライアント向け入口を選んだ、といった原因で取り込みに失敗することがあります。実際のサブスクリプションURLを知らない相手に渡して変換を依頼しないでください。

ノードの接続テストは成功するが、Webページが開かない

クライアントの接続テストは、サーバーへの到達性や特定のテスト先を確認するだけの場合があり、すべてのドメインや通信方式を検証するものではありません。システムプロキシ、TUN、DNS、ルールの適用状況を確認してください。特定のWebサイトだけ失敗する場合は、サイト自体の状態やアクセス制限も考慮します。

Webページは開くが、特定のアプリで問題が起きる

まず、そのアプリがシステムプロキシに従うか、UDPを使うか、ルール分岐で除外されていないかを確認します。一時的にモードを切り替えて原因を絞り込むことはできますが、グローバルプロキシを恒久的な解決策にしないでください。アプリが復旧した後は、日常利用に適したルール設定に戻しましょう。

接続は成功するが、動作が不安定

同じノードを使ったまま、まずローカルの無線ネットワークの変動やバックグラウンド制限を確認し、その後、同じ地域の別回線と比較します。変更は一度に一つにし、発生時の状況とエラーメッセージを記録してください。そうすることで、サポート窓口に情報を送る際、回線、クライアント、接続先サービスのどこに問題があるか切り分けやすくなります。