VPN初心者向け用語完全ガイド：サブスクリプション、ノード、プロトコル、ルール分岐を徹底解説

サブスクリプションリンク、設定ファイル、クライアントとは

サブスクリプションリンクは設定を取得する入口であり、通常のウェブページではありません

サブスクリプションリンクは通常、サーバーが生成した設定一式を指します。クライアントがそのアドレスにアクセスすると、ノード名、サーバーアドレス、ポート、プロトコル種別、認証情報、一部の通信パラメータを読み込み、選択可能なノード一覧に変換します。ブラウザにサブスクリプションアドレスを貼り付けた際、テキストが表示されたり、ファイルがダウンロードされたり、正常にレイアウトされなかったりしても、リンクが壊れているとは限りません。もともとウェブページとして表示するためのものではない場合があるためです。

サブスクリプションアドレスには、アカウントや設定権限を識別する認証情報が含まれることがあります。そのため、機密情報として扱ってください。完全なアドレスを公開投稿、スクリーンショット、信頼できないオンライン変換ツールに貼り付けないでください。サポートを求める際は、ドメイン名とエラー内容を残しつつ、パス内の識別情報を隠すと安全です。

設定ファイルは取得時点の静的な内容です

クライアントはサブスクリプションリンクから内容を取得すると、通常は設定をローカルに保存します。そのため、サブスクリプションサーバーに一時的にアクセスできなくても、すでにインポートしたノードが表示され、接続できる場合があります。一方、サーバー側でノードが変更されても、クライアントが更新を実行していなければ、ローカルの一覧には自動反映されません。

このため、「サブスクリプション」と「ノード」は同じものではありません。1つのサブスクリプションに複数のノードや、グループ、ポリシー、ルールが含まれることがあります。ノードは、その設定一式の中にある1つの接続先にすぎません。サブスクリプションを削除するとノードも削除されるクライアントもあれば、展開済みのローカル設定を保持するクライアントもあります。具体的な動作はクライアントの実装によって異なります。

クライアントは解析、接続、通信の引き継ぎを担います

クライアントは端末にインストールして使うソフトウェアです。サブスクリプション形式を解析し、ノードへの接続を確立し、システムプロキシ、仮想ネットワークインターフェース、アプリ単位のプロキシを通じて通信を引き継ぎます。サービス提供者が提供するのはサブスクリプションとネットワーク側の機能であり、クライアントは各OS上でそれを動作させる役割を担います。両者の開発元が異なる場合、画面上の名称、対応機能、互換性のある形式も異なることがあります。

1. 信頼できる入口から、サブスクリプションリンク全体をコピーします。
2. クライアントで「サブスクリプションを追加」「URLからインポート」または同等の項目を探します。
3. インポート後にサブスクリプションを更新し、ノード名が表示されることを確認します。
4. ノードと動作モードを選び、システムプロキシまたは仮想ネットワークモードを有効にします。
5. 出口アドレスを確認できるページにアクセスし、実際の出口が選択した地域と一致するか確認します。

ノード、回線、入口、出口の違い

「ノード」は通常、クライアント上でクリックして選択できる1つの設定を指します。サービスへの入口と、それに対応するプロトコルパラメータが含まれます。ノード名には国、都市、回線種別、用途などが記載されることがありますが、名称は識別しやすくするためのラベルにすぎず、ネットワーク経路全体の構成を単独で証明するものではありません。

「入口」はクライアントが最初に接続するサービスアドレスです。「出口」はリクエストがプロキシネットワークを離れ、対象サイトへアクセスする際に使われる公開アドレスです。単純な構成では入口と出口が同じサーバーにある場合があります。中継構成では、入口が通信を受け取り、その後別の出口へ転送します。ウェブサイトがアクセス元を判断する際は、通常、クライアントの場所や入口名ではなく最終的な出口アドレスを参照します。

「回線」はネットワーク経路に近い概念です。ローカルネットワークから入口、入口から中継、さらに出口まで、データがどのように伝送されるかを示します。2つのノードが同じプロトコルを使っていても、入口の通信事業者、国際経路、混雑状況、出口が異なれば、実際の体感は変わります。プロトコルは「どのように通信するか」を、回線は「どこを経由するか」を決めるもので、同一視できません。

直結・中継・IEPL専線

直結は通常、クライアントが対象地域または対応するネットワーク内にあるサービスノードへ直接接続する構成を指します。サービス提供者が追加で設置した転送用の入口は経由しません。構造はシンプルですが、接続品質はローカルの通信事業者、ネットワーク間接続、国際経路の変化に直接左右されます。

中継は、クライアントがまず近距離または品質を管理しやすい入口に接続し、入口から出口へ通信を転送する構成です。一部の望ましくない公開経路を避けられる場合がありますが、中継が必ず速いとは限りません。入口の負荷、入口から出口までの経路、転送層の設定が結果に影響します。

IEPLは国際イーサネット専線に関連する業界用語で、地域をまたぐ伝送で専用の通信基盤を使う点が特徴です。実際のサービスでは一部区間だけ専線を利用することもあり、ユーザーのネットワークから接続ポイントまで、また出口から対象サイトまでは別のネットワークを経由する場合があります。「IEPL」というラベルは回線構成を示すものであり、あらゆる場所・時間帯で速度を固定的に保証するものではありません。

プロトコル名の読み方：Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC

プロトコルは、クライアントとサーバーがデータをカプセル化、認証、伝送する方法を定めます。互換性、ハンドシェイク方式、トランスポート層、ネットワークの変動への適応方法に影響しますが、プロトコル名だけでノードの負荷、出口の品質、回線全体の速度が決まるわけではありません。比較する際は、まずクライアントの対応状況を確認し、現在のネットワークでUDPが制限されていないか、パケットロスが目立たないか、サーバー側のパラメータが正しく一致しているかを確認してください。

Shadowsocks

Shadowsocksは暗号化プロキシプロトコルで、通常はサーバーアドレス、ポート、暗号化方式、パスワードを設定します。構造が比較的シンプルで、対応クライアントも多いのが特徴です。ただし、暗号スイートや拡張機能への対応は実装によって異なるため、「Shadowsocksならどのクライアントでもそのままインポートできる」とは限りません。

VMessとVLESS

VMessはV2Rayエコシステムのプロトコルで、認証情報と通信設定を含み、クライアントとサーバーの時刻の一致に比較的敏感です。VLESSはより軽量な認証設計を採用し、単体で完全なコンテンツ暗号化を担うものではありません。通常はTLS、REALITYなどの安全な通信方式と組み合わせます。VLESS設定を確認する際はユーザー識別子だけでなく、トランスポート、安全層、サーバー名などのパラメータも一致しているか確認してください。

Trojan

Trojanは通常TLS上で動作し、パスワードで認証します。正しいドメイン名、証明書、TLSパラメータが必要です。サーバー名の入力ミス、証明書の検証失敗、システム時刻の異常があると、暗号化接続の確立時にエラーが発生することがあります。証明書検証を無効にすると一時的にエラーが消える場合がありますが、本人確認が弱くなるため、通常の修復方法にはしないでください。

Hysteria2とTUIC

Hysteria2とTUICはいずれもQUICおよびUDPをベースとした通信方式で、輻輳制御、弱いネットワークからの復旧、マルチプレックス時の使い勝手を重視しています。遅延が大きい、またはパケットロスがあるネットワークでは、従来のTCP経路より柔軟に動作する場合があります。ただし、ローカルネットワーク、ルーター、サーバーがUDPを正常に処理できることが前提です。UDPが制限されている環境では接続がタイムアウトすることがあるため、サブスクリプションが無効だと判断する前に、利用可能なTCP系トランスポートへ切り替えて比較してください。

グローバルモード、ルール分岐、直結モードの選び方

動作モードは、クライアントが通信を引き継いだ後、リクエストをプロキシノードへ送るか、ローカルネットワークへ送るかを決めます。クライアントによって「グローバル」「ルール」「LANをバイパス」「直結」など名称が異なるため、実際の動作は現在のルールセットとシステムの引き継ぎ方式を確認してください。

グローバルモードは通常、クライアントが引き継いだ大部分の通信を選択したノード経由にするモードです。特定のサイトがルール分岐によって誤った経路を通っていないかを調べる場合や、ノード自体が対象サービスへ接続できるかを短時間で確認する場合に適しています。ただし、すべてのアプリが対象になるとは限りません。システムプロキシに従わないプログラムで、クライアントが仮想ネットワークモードを有効にしていなければ、そのプログラムは直接接続する可能性があります。

ルールモードは、ドメイン、IP、アプリ、ルールセットに応じて通信先を決めます。一般的には、ローカルサービスは直結し、国際回線が必要なリクエストはノード経由にし、LAN内の機器へのアクセスも維持します。日常利用にはルールモードが適していますが、ルールが古い、優先順位が誤っている、ドメイン解決の経路が一致していないと、意図しない直結やプロキシ接続が発生します。

直結モードは通常、通信をプロキシノード経由にしないモードです。プロキシ経路が原因かどうかをすばやく確認したり、地域間接続が不要な場合にローカルネットワーク経路へ戻したりするために使えます。直結モードは「クライアントを切断する」ことと同義ではありません。クライアントによってはローカルプロキシポートやDNSの引き継ぎを維持しながら、最終的なポリシーだけを直結にする場合があります。

• ✅ 特定の対象にアクセスできない場合は、まずグローバルモードとルールモードで相互にテストします。
• ✅ グローバルモードでは使えるのにルールモードで使えない場合は、ドメインルール、優先順位、DNSポリシーを確認します。
• ✅ ブラウザでは使えるのに単体アプリでは使えない場合は、そのアプリがシステムプロキシに従うか確認します。
• ✅ ローカル端末やLAN内サービスにアクセスできない場合は、LANアドレスが直結に設定されているか確認します。
• ❌ 「ノードを選択済み」だからといって、「すべてのプログラムがそのノード経由になっている」と考えないでください。
• ❌ システムプロキシや仮想ネットワークインターフェースを同時に制御するクライアントを複数起動しないでください。

システムプロキシと仮想ネットワークモード

システムプロキシは、OSのプロキシ設定に従うアプリへHTTPまたはSOCKSの入口を提供します。ブラウザは対応しやすい一方、ゲーム、コマンドラインプログラム、一部の単体クライアントはシステムプロキシを無視することがあります。仮想ネットワークモードは仮想インターフェースを作成し、より低い層でIP通信を引き継ぐため、通常は対象範囲が広くなりますが、ルーティングテーブル、権限、DNS設定への依存も大きくなります。

仮想ネットワークモードを有効にしてから接続できなくなった場合は、まず他のネットワークフィルタリングソフト、古い仮想インターフェース、競合するルートがないか確認します。クライアント終了時にシステムプロキシが元に戻らないと、「ノードは切断されているのにブラウザへアクセスできない」状態になることがあります。その場合は残っているシステムプロキシ設定を無効にしてください。

DNSリーク、リモートDNS解決、ドメインルール

DNSはドメイン名をIPアドレスへ変換します。ウェブサイトへアクセスする前に、クライアントは通常ドメイン名を解決し、その結果を使って接続を確立します。プロキシ経路が正常に動作していても、DNSクエリまで同じ経路を通るとは限りません。クエリをローカルネットワークに任せたまま、接続だけをリモートノード経由にすると、名前解決の経路とアクセス経路が分離します。

一般にDNSリークとは、管理された名前解決経路で処理すべきクエリが、誤ってローカルネットワークや想定外のリゾルバーへ送信されることです。アクセスしたドメインの手がかりが露出する可能性があるほか、地域によって異なるアドレスが返されることで、ルール分岐の判定と実際の接続先が一致しなくなる場合もあります。

ルール分岐は特にDNSに依存します。ドメイン名で照合する場合、クライアントは名前解決の前にポリシーを決められます。IPで照合する場合は、先に名前解決を行い、返されたアドレスにルールを適用します。一部のクライアントは仮想アドレスマッピングも使い、仮想ネットワークが通信を引き継いだ後もドメイン情報をルール判定に利用します。実装によって名称は異なりますが、目的は「ドメイン解決、ルール照合、接続出口」を一致させることです。

ブラウザ独自の暗号化DNSが、クライアントの設定を迂回することもあります。同じドメインがブラウザと他のアプリで異なる動作をする場合は、ブラウザ独自の名前解決機能を一時的に無効にして比較します。確認が終わったら、プライバシー要件とクライアントの互換性に応じて、統一した名前解決方式を選んでください。

Windows、macOS、Android、iOS、Linuxのクライアントの違い

同じサブスクリプションでも、プラットフォームによって結果が異なることがあります。多くの場合、原因はサブスクリプションの内容ではなく、OSのネットワークインターフェース、アプリの権限、クライアントのコアが異なることです。インポート前に、クライアントがサブスクリプション内のプロトコルとトランスポート形式に対応しているか確認し、インポート後は対象アプリに適した通信の引き継ぎ方式か確認してください。

WindowsとmacOS

デスクトップOSでは、システムプロキシと仮想ネットワークの2つが一般的な動作方式です。ブラウザや通常のデスクトップアプリだけを対象にするならシステムプロキシの設定が簡単です。システムプロキシに従わないソフトウェアまで対象にする必要がある場合は、仮想ネットワークモードが適しています。macOSではネットワーク拡張の権限が明確に求められます。初回有効化時にシステム許可を完了しないと、クライアント画面では起動中に見えても、システム通信が仮想インターフェースへ入らないことがあります。

AndroidとiOS

モバイルOSでは通常、システムが提供するVPNインターフェースを通じて通信を引き継ぎます。Androidクライアントには、指定したアプリだけをプロキシ経由または直結にするアプリ単位のルール分岐が用意されている場合があります。iOSはシステムのサンドボックスとネットワーク拡張の仕組みに制約されるため、対応プロトコル、ルールの更新方法、バックグラウンド維持能力はクライアントごとに異なります。システム上で同時に有効化できる主要VPN設定は1つだけなので、クライアントを切り替える際は古い接続が解放されているか確認してください。

Linux

Linux環境では、デスクトッププロキシ、コマンドラインの環境変数、透過プロキシ、仮想ネットワークインターフェースを使うことがあります。端末プログラムがプロキシを使うかどうかは、プログラム自身の設定と環境変数によって決まるため、ブラウザが使えるだけでシステム全体が引き継がれているとは判断できません。サーバー環境ではルーティング転送、DNSサービス、権限も確認し、変更前に元の設定を保存して復元できるようにしてください。

初心者向けトラブル解決：接続段階ごとに原因を特定する

効果的なトラブル解決は、設定の取得から始め、ノードのハンドシェイク、システムによる通信の引き継ぎ、DNS、対象サービスの順に確認します。一度に1つの変数だけを変更すれば、どの設定が影響したのかを把握できます。ノード、プロトコル、モード、DNSを何度も切り替えると、偶然復旧することはあっても、本当の原因は特定できません。

1. サブスクリプション取得を確認：リンク全体が正しく、期限切れでないこと、クライアントが更新を完了できること、一覧に想定したノードが表示されることを確認します。
2. クライアントの互換性を確認：現在のバージョンが、ノードで使われているプロトコル、通信方式、安全層に対応していることを確認します。
3. 基本ハンドシェイクを確認：ノードを選択した後、エラーログを確認し、タイムアウト、認証失敗、証明書エラー、パラメータ不一致を切り分けます。
4. 通信の引き継ぎを確認：システムプロキシまたは仮想ネットワークモードが実際に有効で、対象アプリも引き継ぎの範囲に含まれていることを確認します。
5. 出口を確認：接続後に実際の出口を調べ、リクエストが選択したノード経由になっており、直結が続いていないことを確認します。
6. DNSを確認：名前解決の経路と出口の経路を比較し、ローカル解決、ブラウザ独自の解決、ルールの競合を除外します。
7. 対象サービスを確認：他のサイトは正常で特定のサービスだけに問題がある場合は、クライアントをすぐ再インストールするのではなく、地域ポリシー、アカウント状態、対象側の制限を確認します。

サブスクリプションを更新できない
└─ リンクの完全性とサブスクリプション形式を確認

サブスクリプションは更新できるが、ノードに接続できない
└─ プロトコル対応、認証、TLS、UDP、システム時刻を確認

ノードは接続済みと表示されるが、アプリからアクセスできない
└─ システムプロキシ、仮想ネットワークインターフェース、アプリの引き継ぎ範囲を確認

出口は正しいが、ドメインへのアクセスに問題がある
└─ DNS、ルール分岐、ブラウザ独自の名前解決を確認

大半の対象は正常だが、特定のサービスだけに問題がある
└─ 対象サービスの地域、アカウント、コンテンツポリシーを確認

エラーログには「接続できない」より多くの情報があります。タイムアウトは通常、ネットワークの到達性、UDP制限、サーバーの無応答を示します。認証失敗はパスワード、ユーザー識別子、サブスクリプション状態に関係することが多く、証明書エラーはサーバー名、システム時刻、TLS設定に関係します。ハンドシェイクは成功しているのに通信できない場合は、ルーティング、DNS、システムによる通信の引き継ぎを確認してください。