VPN用語早わかり：サブスクリプション、ノード、回線、プロトコル、ルーティングを一挙解説

サブスクリプション、ノード、回線の違い

サブスクリプションは、継続的に更新される設定一覧と考えると分かりやすいでしょう。サブスクリプションURLを対応クライアントに取り込むと、クライアントがノード名、サーバーアドレス、プロトコルパラメータ、認証情報を読み込みます。サービス側でノードが調整された場合も、通常はサブスクリプションを更新するだけで済み、項目ごとの再入力は必要ありません。

サブスクリプションURLにはアクセス認証情報が含まれる場合があるため、アカウントの鍵と同じように扱ってください。フォーラムやスクリーンショット、共有ドキュメントに公開したり、出所の不明なオンライン変換ツールへ取り込んだりしないでください。クライアントを変更する場合は、信頼できる端末間で移行するか、サービスの管理画面から再取得するのが安全です。

ノードは、クライアントから選択できる接続設定です。ノード名には地域、都市、回線のラベルが含まれることが多いものの、名称は識別情報にすぎません。実際の接続を決めるのは、サーバーアドレス、プロトコル、認証パラメータです。同じ地域に複数のノードがあり、それぞれ異なる入口、出口、転送経路を使う場合もあります。

回線は、端末から出口までデータが通るネットワーク経路を表します。ノードがクライアント上で「どれを選ぶか」を示すのに対し、回線はそのノードを「どのように通るか」を説明します。したがって、ノード数が多いからといって経路が必ず優れているとは限りません。快適さを判断するには、接続先の地域、現地の通信網、国際区間、夜間の混雑状況も確認する必要があります。

直結、中継、IEPL専線の違い

直結回線は、クライアントが海外のサーバーへ直接接続し、主にパブリックインターネットを経由して出口へ到達する方式です。構成がシンプルで経路上の区間も少ない一方、現地の通信網や国際区間の影響を受けやすくなります。ある地域で快適な直結回線でも、別のネットワークで同じ結果になるとは限りません。

中継回線は、まず近い入口へ接続し、そこから中継ネットワークを経由して海外の出口へ送ります。入口と出口を別々に最適化でき、混雑状況に応じてサービス側が経路を調整しやすいのが特徴です。一方で経路上の区間が増えるため、中継区間のいずれかに変動があると全体の接続へ影響する可能性があります。

IEPL専線は、国際イーサネット専線系の接続を指すことが一般的です。一般的なパブリックインターネット経由の直結との主な違いは、国際バックボーン区間で専用の伝送網を使う点にあります。ただし、「専線ノード」だからといって、端末から対象サイトまでのすべての区間が公衆網を離れるわけではありません。現地のアクセス区間や最終出口には、パブリックネットワークが含まれる場合もあります。

• ✅ 現地ネットワークが安定し、接続先の地域が近い場合は、まず直結回線を試します。
• ✅ パブリックネットワークの国際区間が不安定な場合は、中継とIEPL専線のノードを比較します。
• ✅ 特定地域のコンテンツへアクセスするときは、まず出口地域を確認し、その後で回線の種類を判断します。
• ❌ ノード名に「高速」と書かれているかだけで、実際の使い心地を判断しないでください。
• ❌ クライアントに接続成功と表示されても、対象サイトへ必ずアクセスできるとは限りません。

Shadowsocks、VMess、Trojan、VLESSを理解する

Shadowsocksは暗号化プロキシプロトコルの一種で、設定が比較的シンプルであり、対応クライアントも幅広いのが特徴です。主にアプリの通信をプロキシしますが、端末上のすべての接続を自動的に引き受けるわけではありません。対応範囲は、クライアントがシステムプロキシ、仮想NIC、または適切な転送機能を有効にしているかどうかで決まります。

VMessはV2Rayエコシステムでよく使われ、認証や転送に関する設定を含みます。取り込み後、トランスポート層、TLS、WebSocketなどの追加項目が表示される場合もあります。これらはサーバー側の設定と一致していなければならず、項目が新しそうに見えるからといって独断で変更してはいけません。

VLESSはより簡潔なプロトコル設計を採用し、TLS、REALITY、その他の転送方式と組み合わせて使われることがあります。VLESS本体と、それを運ぶ転送方式は別の階層です。前者はプロトコルと身元確認を扱い、後者はネットワーク上でデータをどう運ぶかを決めます。切り分ける際はそれぞれを確認し、「VLESSが選択されている」ことだけで判断しないでください。

Trojanは通常TLSで通信を運び、一般的な暗号化接続に近い外観を持ちます。ただし、正しい証明書、ドメイン、サーバー設定が必要です。TLSを使えば回線品質が自動的に向上したり、すべての接続問題が解消したりするわけではありません。TLSが主に解決するのは通信の暗号化と認証であり、ネットワークの混雑は別の問題です。

これらのプロトコルに、環境を問わず決まった優劣の順番はありません。互換性はクライアントの実装に左右され、接続状況は回線、トランスポート層、現在のネットワークによって変わります。サブスクリプションに利用可能な設定が用意されている場合、初心者がプロトコルパラメータを手動で変更する必要は通常ありません。クライアントが該当タイプに対応しているかだけ確認すれば十分です。

Hysteria2とTUICはどのネットワークに向くか

Hysteria2とTUICはいずれもUDPベースの現代的な転送機能を活用することが多く、高遅延、ジッター、ある程度のパケットロスがある経路への対応を重視しています。不安定なネットワークで従来型の転送が何度も待機する影響を抑えられる場合がありますが、現在のネットワークがUDPを正常に通せることが前提です。

一部のオフィスネットワーク、公共ネットワーク、制限のあるルーティング環境ではUDPが制限されることがあります。その場合、接続タイムアウト、ハンドシェイク失敗、接続直後の切断などが起こります。この状況だけでノードが停止していると判断しないでください。TCPとTLSベースの互換設定へ切り替えて比較するとよいでしょう。代替プロトコルが使えるなら、問題はUDP経路または関連する転送設定にある可能性が高くなります。

この2種類のプロトコルも、オンにすれば速くなるスイッチではありません。高いスループットは、サーバー側の配分、現地Wi-Fi、端末性能、対象サイトの制限を受けます。モバイル端末ではバックグラウンド維持と電池消費も考慮し、デスクトップではクライアントが必要な接続を確立できるようファイアウォールの許可を確認してください。

システムプロキシ、TUN、仮想NICの違い

システムプロキシは、クライアントがプロキシアドレスをOSのネットワーク設定へ書き込む方式です。システムプロキシに従うブラウザーやアプリはクライアント経由になりますが、設定を参照しないプログラムは直結を続ける可能性があります。起動が速く影響範囲も分かりやすいため、ウェブ閲覧や一般的なデスクトップソフトに適しています。

TUNモードは通常、仮想ネットワークインターフェースを通じてより広範なIPトラフィックを引き受け、クライアントがルーティングと振り分けを行います。システムプロキシに対応しないプログラムも対象にでき、複数アプリをまとめて処理したい場面に適しています。一方、権限、ルーティングテーブル、DNS設定への要求は高く、異常終了時にはクライアントによるネットワーク設定の復元が必要になる場合があります。

仮想NICは、このようなトラフィック捕捉を実現するシステムコンポーネントであり、特定のプロトコルと同じものではありません。クライアント画面でTUN、仮想NIC、拡張モードが近い場所に並ぶことがあるのは、いずれもより低い層で通信を捕捉する機能に関係するためです。ブラウザーの利用だけなら、通常はシステムプロキシで十分です。ゲームランチャー、コマンドラインツールなどがシステムプロキシを参照しない場合に、TUNを検討してください。

1. まずシステムプロキシを使い、ノード自体に接続できるか確認します。
2. ブラウザーと普段使うアプリが正常にアクセスできるか確認します。
3. 一部のプログラムが対象にならない場合に限り、TUNまたは仮想NICを有効にします。
4. 有効化後、ローカルサービス、LAN機器、DNS解決を再確認します。
5. 通信できなくなった場合は、まずクライアントを終了し、システムのネットワーク設定を復元させます。

グローバル、ルール、直結モードの選び方

グローバルモードは通常、クライアントが処理できる通信をすべて現在のノードへ渡す方式です。テストに便利で、ルールモードでは開けないサイトがグローバルモードで開けるなら、問題はルールの照合やDNS判定にあることが多いでしょう。ただし、グローバルモードでも端末内のすべてのデータが必ず対象になるわけではなく、範囲はシステムプロキシやTUNの設定に左右されます。

ルールモードは、ドメイン、IP、アプリ、ルールセットに応じて通信の行き先を決めます。結果にはプロキシ、直結、遮断などがあります。ローカルサービスや中国本土向けのリソースは直結し、国際回線が必要なリクエストだけノードへ送れるため、日常利用にはルールモードが適しています。不要な迂回も減らせます。

直結モードは通常、リクエストをプロキシノードへ通さない状態を指します。一時的に転送を停止したり、現地ネットワークを切り分けたりする際に使えます。クライアントが起動していても通信がノードを経由しているとは限らないため、接続状態を確認するときは現在のモードも同時に確認してください。

「LANをバイパスする」とは、ルーター、プリンター、家庭用ストレージへアクセスするときにローカル接続を維持することです。ルールが不足していると、LANへのリクエストが遠隔ノードへ送られ、機器を検出できなくなる場合があります。ルール更新後に問題が起きたら、まずグローバルと直結を切り替えて比較し、その後でカスタムルールの優先順位を確認してください。

• ✅ 日常の閲覧では、正常に管理されているルールモードを優先します。
• ✅ ルールの誤判定を調べるときは、一時的にグローバルモードへ切り替えて比較します。
• ✅ LAN機器へアクセスするときは、ローカルサブネットを直結にするルールを残します。
• ❌ 出所が不明で互いに競合するルールセットを長期間重ねて使わないでください。
• ❌ 優先順位を理解しないまま、同じドメインのルールを繰り返し追加しないでください。

DNSリークと名前解決の経路を確認する方法

DNSはドメイン名をネットワークアドレスへ変換します。ノードへ接続した後も名前解決が現地ネットワークのDNSサービスへ直接送られ、ウェブ通信だけが遠隔出口からアクセスすると、名前解決とアクセスの経路が一致しません。一般にDNSリークとは、トンネルやプロキシ側で処理すべき問い合わせが、意図せず現地経路へ流れる状態です。

DNSリークはプライバシーだけでなく、利用可否にも影響します。コンテンツサービスは名前解決元に応じて異なるアドレスを返すことがあり、現地の解決結果と出口地域が一致しないと、ページのリダイレクト、地域判定の不具合、遠いサーバーへの接続が起こる場合があります。クライアントのリモートDNS、暗号化DNS、TUNによるDNS処理を有効にすると、名前解決と通信の方針をそろえられますが、項目名はクライアントによって異なります。

切り分けでは、まずブラウザーが独自のセキュアDNSを有効にしていないか確認します。ブラウザー独自のDNS設定がクライアントを迂回したり、クライアントと二重に処理したりする場合があります。次に、システム上で他のネットワークツールが同時に動作していないか確認してください。複数のツールがDNSやルーティング設定を奪い合うと、接続成功と表示されてもドメインが開かず、既知のアドレスへは直接アクセスできることがあります。

サブスクリプションの取り込みと更新の正しい手順

サブスクリプションの取り込みには通常、クリップボードからURLを読み込む方法と、クライアントのサブスクリプション管理画面へ貼り付けて更新する方法があります。取り込みに成功しただけでは、すべてのノードの接続確認が完了したことにはなりません。取り込み後は一覧を更新し、接続先の地域に近いノードを選んで接続してください。

クライアントでサブスクリプション形式に対応していないと表示される場合、クライアントとプロトコルタイプの不一致、URLのコピー漏れ、システム時刻の異常による安全な接続の検証失敗などが考えられます。サブスクリプションをオンライン変換サイトへ安易に送らないでください。サービスの管理画面が推奨するクライアントを使うか、信頼できるローカルツールで変換するほうが安全です。

1. サービスの管理画面からサブスクリプションURL全体をコピーし、公開の場に表示しないようにします。
2. 対応クライアントのサブスクリプション管理を開き、ノードを1件ずつ手動で追加しないようにします。
3. 取り込み後に一度更新し、ノード一覧が表示されたことを確認します。
4. 接続先の地域にあるノードを1つ選び、接続後にウェブページとDNS解決を確認します。
5. 今後ノードが調整された場合は、まずサブスクリプションを更新し、再インストールが必要かを判断します。

「サブスクリプションの更新失敗」と「ノードの接続失敗」は分けて考える必要があります。前者はクライアントが設定一覧を取得するときに起き、後者は個別の設定で接続を確立するときに起きます。古いノードには接続できるのに更新だけできないなら、設定取得の段階に問題があります。更新はできてもすべてのノードに接続できない場合は、プロトコルの互換性、システム時刻、ネットワーク制限、クライアントの権限を引き続き確認してください。

各プラットフォームのクライアントの違い

WindowsとmacOSのクライアントは通常、システムプロキシ、ルールモード、TUNを備えています。Windowsではセキュリティソフトと仮想NICの権限に注意し、macOSではネットワーク拡張の許可が必要になる場合があります。デスクトップOSはログを確認しやすいため、接続失敗時はサブスクリプション更新、DNS、ハンドシェイク、ルーティング情報から障害が起きた段階を判断できます。

iOSではネットワークの取り込みをシステムVPN設定が管理し、クライアントはOSが許可したネットワーク拡張機能を使う必要があります。アプリを切り替えた後は、システムのステータスバーとクライアント画面で接続状態を確認してください。Android端末ではクライアントがローカルVPNインターフェースを作成でき、一部のアプリはアプリごとのルーティングにも対応します。ただし、メーカーごとのバックグラウンド制御でクライアントが停止する場合があるため、継続接続に必要なバックグラウンド実行権限を残してください。

Linuxクライアントには、グラフィカルインターフェースとコマンドラインの2種類がよくあります。GUIクライアントはサブスクリプション管理に向き、コマンドラインのコアはサーバーや開発環境で便利ですが、設定ファイル、サービスプロセス、ルーティング、DNSを自分で理解する必要があります。日常的なデスクトップ利用だけなら、ネットワーク設定を自動的に復元できるGUIクライアントを優先してください。

ルーターでの利用は、単体端末のクライアントとは異なります。ルーターは配下を通る複数の端末を処理するため、ルールやDNSを誤設定すると影響範囲が広くなります。初心者はまずパソコンやモバイル端末でサブスクリプションとノードを確認してから、ルーターへ移行するのがおすすめです。クライアント、回線、家庭内ネットワークの問題を混同せずに済みます。

接続失敗の切り分けはどの層から見るか

「接続できない」ときに最も効果的なのは、すべての項目を無作為に切り替えるのではなく、層ごとに確認する方法です。まず現地ネットワーク自体が使えることを確認し、次にサブスクリプションを更新できるか確認します。その後、ノード、プロトコル、システムによる通信の取り込みを調べます。接続後も対象サイトを開けない場合に、DNS、ルーティング、対象サービスの状態を確認します。

• ✅ 直結モードで、現地ネットワークから普段使うサイトへ正常にアクセスできるか確認します。
• ✅ サブスクリプションを更新し、設定の取得失敗とノードの接続失敗を区別します。
• ✅ 同じ地域のまま、別の対応ノードへ切り替えて比較します。
• ✅ システム時刻、クライアントの権限、現在のプロキシモードを確認します。
• ✅ 接続後にDNS、ルーティングルール、対象の出口地域を確認します。
• ❌ プロトコル、ノード、DNS、ルールモードを同時に変更しないでください。

クライアントのログにあるキーワードも、原因の特定に役立ちます。名前解決の失敗はDNSまたはサーバーアドレスを示すことが多く、ハンドシェイクの失敗はプロトコルパラメータ、証明書、システム時刻、ネットワーク制限に関係する可能性があります。タイムアウトは、ローカルファイアウォール、UDP制限、中継経路、遠隔サービスで起きる場合があります。ログにはサーバーアドレスやアカウント認証情報が含まれることがあるため、サポートへ送る前に機密項目を隠してください。

これらの用語を理解すると、どのクライアントも同じ流れとして捉えられます。サブスクリプションがノード設定を配布し、プロトコルが接続を確立し、システムプロキシまたはTUNが通信を取り込み、ルーティングルールが行き先を選び、DNSがドメインを解決し、最後に回線がデータを出口へ届けます。画面上の名称は変わっても、基本的な関係は変わりません。