このVPN初心者向け用語ガイドでは、サブスクリプション、ノード、回線タイプ、プロトコル、ルーティングをまとめて解説します。これらはクライアントや料金プランの説明に同時に登場しがちですが、それぞれ設定の配布、接続先、ネットワーク経路、通信方式、トラフィックの振り分けを指します。役割を整理してからサブスクリプションを読み込み、ノードを選ぶほうが、接続が遅い、ページが開かない、アプリが不安定といった問題の原因を見つけやすくなります。

サブスクリプションはクライアントでも単一のノードでもありません

サブスクリプションは、サーバー側で管理されるリモート設定リストと考えると分かりやすいでしょう。通常はURLやインポートデータとして提供され、複数のノード、ノード名、サーバーアドレス、ポート、プロトコルパラメータ、クライアントが必要とする情報などが含まれます。クライアントがサブスクリプションを読み込むことで、選択可能な回線一覧として整理されます。

そのため、「サブスクリプションを購入する」「サブスクリプションを読み込む」「ノードに接続する」は別々の操作です。サブスクリプションを取得するとは、アカウントが対応するサービス設定を利用できる状態になること。読み込みは、その設定を対応クライアントに渡すこと。ノードへの接続は、読み込んだ設定から接続先を選び、接続を確立することです。前の2段階だけでは、通信が自動的にプロキシ経由になるわけではありません。

サブスクリプションURLを安全に管理すべき理由

サブスクリプションURLには、アカウント設定を識別するトークンが含まれていることがあります。URLを入手した人がノード情報を閲覧したり、対応するプランのリソースを消費したりする可能性があります。公開スクリーンショット、フォーラム投稿、共有ドキュメント、公開コードリポジトリに載せるのは避けましょう。自分の別の端末で使う場合も、完全なURLを公開ページに貼り付けず、信頼できる方法で共有してください。

クライアントの「サブスクリプションを更新」は、サーバーからリストを再取得する操作です。サービス側が接続先、回線名、プロトコルパラメータを変更しても、古いクライアントが自動で把握することはできないため、更新が必要です。更新に失敗した場合は、まずURLが有効か、クライアントがその形式に対応しているか、現在のネットワークからURLへアクセスできるかを確認し、すぐにノード障害と決めつけないでください。

  1. ✅ ユーザーパネルから完全なサブスクリプションURLをコピーし、末尾のパラメータを削除しない。
  2. ✅ 対応クライアントで「URLからインポート」または同等の項目を選ぶ。
  3. ✅ インポート後にサブスクリプションを一度更新し、回線一覧を正常に読み込めることを確認する。
  4. ✅ ノードを選んで手動接続し、システムプロキシまたはトンネルの状態を確認する。
  5. ❌ サブスクリプションURLをオンライン解析サイトや公開の質問文に貼り付けない。
判断のポイント：サブスクリプションは設定を配布し、クライアントは設定を読み込んで実行し、ノードは接続を受け持ちます。3者は関連していますが、互いに代用できるものではありません。

ノード、入口、出口、回線の関係

ノードとは、クライアントで選択できる接続設定です。「香港」「東京」「米国西部」などの名称は、通常、入口または出口の地域を示しますが、名称だけではデータが実際に通る経路まで分かりません。同じ地域と表示される2つのノードでも、利用する通信事業者、中継方式、プロトコルが異なる場合があり、実際の使い勝手も変わります。

入口とは、クライアントが最初に接続する場所です。出口は通常、通信が最終的に対象地域のインターネットへ入る場所、つまり外部サイトから見える接続元を指します。入口と出口が同じ地域にある回線もあれば、近い中継サーバーに接続してから遠隔地の出口へ転送する回線もあります。ノード名には出口地域だけが表示される場合も、入口、通信事業者、用途まで表示される場合もあるため、サービスの回線説明と併せて確認してください。

地域名はネットワーク経路そのものではありません

ノードの地域は主に「どこから対象サイトへアクセスするか」を示し、回線タイプは「どのようにそこへ到達するか」を示します。地域を選ぶときは対象サービスの地域要件を優先し、回線を比較するときは、利用中の通信事業者、国際経路、夜間の混雑、アプリが遅延や安定性にどの程度敏感かを確認しましょう。

用語 主な意味 よくある誤解 選ぶときの確認点
サブスクリプション サーバー側で管理される設定リスト そのまま実行できるソフトウェアだと考える 形式の互換性、更新状態、管理方法
ノード クライアント内の接続パラメータ一式 同じ地域のノードは経路も完全に同じだと考える 地域、プロトコル、入口、回線の説明
入口 クライアントが最初に接続するサーバーの場所 初期入口がそのままサイトから見える出口だと考える 自分のネットワークから入口までの品質
出口 通信が対象地域のインターネットへ入る出口 名称だけを見て実際の出口を確認しない 出口地域、対象サービスとの互換性
回線 入口、中継、国際経路、出口の組み合わせ 回線タイプを地域ラベルだと考える 経路の安定性、混雑時の挙動、用途

IEPL 専線、中継、直結の違い

直結、中継、IEPL専線は国際経路の構成方法を指し、プロキシプロトコルではありません。プロトコルはクライアントとサーバーがデータをどのようにカプセル化して転送するかを決め、回線はデータパケットがネットワーク上でおおよそどの経路を通るかを決めます。Trojanノードでも直結の場合があれば、中継や専線構成に組み込まれている場合もあります。したがって、プロトコル名だけから回線品質を判断することはできません。

直結：自分のネットワークから遠隔サーバーへ直接接続

直結は構成が最もシンプルで、自分のネットワークから遠隔ノードへ直接アクセスします。通信事業者から遠隔データセンターまでの公衆網ルートに大きく左右されます。経路が適切なら通常のウェブ閲覧や軽い利用には対応できますが、迂回や混雑があると、揺らぎ、パケットロス、接続確立までの待ち時間が目立ちやすくなります。同じ地域でも通信事業者の異なるノードへ切り替えるほうが、プロトコルを何度も変更するより有効な場合があります。

中継：近い入口を経由して出口へ転送

中継回線では、自分のネットワークと遠隔地の出口の間に入口や転送層を追加します。制御しにくい長距離の公衆網経路を分け、サービス側が入口から出口までの後続経路を構成できます。ただし、中継だから必ず高速になるわけではありません。入口の負荷、入口から出口までの経路、転送設定が結果に影響します。主な価値は、特定のネットワーク環境で経路を管理しやすくすることです。

IEPL専線：国際区間の経路構成に注目

IEPLは通常、国際イーサネット専線系の接続を指します。サービス説明にIEPLとある場合、入口と出口の間の国際区間で、一般の公衆網に任せた経路選択ではなく、専用に構成された伝送リソースを使うことを意味する場合があります。ただし、自分の端末から入口まで、出口から対象サイトまでといった区間も残り、それらは公衆網を経由する可能性があります。「専線」を、端末からすべてのサイトまでを独占する一続きの経路と理解しないでください。

専線が自分の用途に合うか判断するには、入口が利用中のネットワークに合っているか、出口地域が目的に適しているか、クライアント接続が安定しているか、混雑時にも許容できる揺らぎとパケットロスを維持できるかを確認します。回線ラベルは構成を推測する手がかりであり、実際の使い勝手は自分のネットワーク環境で検証する必要があります。

回線タイプ 経路の特徴 特に適する場面 確認しておきたい点
直結 自分のネットワークから遠隔ノードへ直接アクセス 通常の閲覧、経路品質が良好なネットワーク 公衆網の迂回、国際区間の混雑、通信事業者の違い
中継 入口に接続してから遠隔地の出口へ転送 長距離経路を管理しやすくしたい場面 入口の負荷、中継経路、出口の品質
IEPL専線 国際区間に専用構成の伝送経路を使用 安定性、揺らぎ、継続接続を重視する場面 入口までと出口からサイトまでの経路も確認が必要
選び方の結論：まず対象地域で出口を絞り、次に自分のネットワーク環境で直結、中継、IEPLを比較します。プロトコル名、地域名、回線タイプは分けて判断しましょう。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC

プロトコルは、クライアントとサーバーがセッションを確立し、認証し、通信をカプセル化して転送する方法を定めます。TCP、UDP、TLS、QUIC、クライアントカーネルへの依存関係はプロトコルごとに異なります。選ぶときは、まずサーバー側が提供しているものとクライアントの対応状況を確認し、次に現在のネットワークがUDPを制限しているか、システムで仮想NICが必要か、アプリが安定した長時間接続を必要とするかを考えます。

プロトコル 主な特徴 設定時の確認点 よくある互換性の問題
Shadowsocks 事前共有鍵と選択した暗号化方式でクライアントからサーバーまでの通信を保護する軽量プロキシプロトコル サーバーアドレス、ポート、パスワード、暗号化方式を一致させる必要がある 古いクライアントでは新しい暗号化方式やプラグインに対応していない場合がある
VMess V2Ray系でよく使われ、認証と複数のトランスポートを組み合わせられる ユーザーID、トランスポート層、TLS、パスのパラメータを一致させる必要がある 端末の時刻ずれやトランスポートパラメータの不一致でハンドシェイクに失敗することがある
Trojan 通常はTLSでプロキシ通信を運び、証明書とドメインの設定に依存する サーバー名、証明書検証、パスワードを正しく設定する必要がある ドメイン、証明書、システム時刻の異常がTLSハンドシェイクに影響する
VLESS 認証とトランスポートの設計が比較的シンプルで、VMessのような暗号化層はそれ自体では提供しない TLS、REALITY、その他の安全なトランスポート設定と組み合わせて使用する必要がある クライアントカーネルが古いと新しいトランスポートパラメータを認識できない場合がある
Hysteria2 QUICとUDPをベースにし、高遅延またはパケットロスのある経路向けに転送を最適化する 認証、TLS、帯域幅に関する表示、UDPの到達性 UDPが制限されるネットワークでは接続できない、または不安定になる可能性がある
TUIC 同じくQUICとUDPをベースにし、多重化と接続移行を重視する ユーザー認証情報、TLSパラメータ、輻輳制御、クライアントバージョン 対応バージョンのクライアントカーネルと利用可能なUDPネットワークが必要

新しいプロトコルほど、すべてのネットワークで優れているとは限りません。Hysteria2とTUICはUDPに依存するため、社内ネットワーク、公衆Wi-Fi、上位ネットワーク機器がUDPを厳しく制限している場合は、従来のTCPベースの方式のほうが接続しやすいことがあります。一方、UDPが利用でき、長距離経路に揺らぎがある場合は、QUICベースのプロトコルが異なる転送性能を示す可能性があります。

TLSも「有効にすればすべてのリスクが自動的になくなる」という意味ではありません。TrojanやVLESSなどの設定では、証明書検証、サーバー名、トランスポートパラメータを正しく設定する必要があります。証明書エラーが出たときに、検証を無効にすることを通常の解決策にせず、まずシステム時刻、サブスクリプション設定、ドメイン、証明書チェーンが正常か確認してください。

グローバル、ルール、直結モードの選び方

ルーティングは、どのリクエストをプロキシ経由にし、どれを直接アクセスさせるかを決めます。ノードの地域とは関係なく、プロトコル自体も変更しません。クライアントに「接続済み」と表示されても、プロキシコアやシステムトンネルが動作していることを示すだけです。特定のアプリが選択したノードを実際に経由するかは、システムプロキシの適用範囲、仮想NICの状態、ルーティングルールの一致状況で決まります。

グローバルモード

グローバルモードでは通常、クライアントが取り込んだ通信をすべてプロキシで処理します。切り分けに適しており、ルールモードでは対象サイトを開けないのにグローバルモードでは開ける場合、原因はノード全体の障害ではなく、ルールの一致やDNSの判断にある可能性が高いでしょう。一方で、ローカルサイト、LAN機器、地域に敏感なアプリまで遠隔の出口を通ることがあるため、常用に適しているとは限りません。

ルールモード

ルールモードでは、ドメイン、IP、アプリ、ルールセットに基づいて通信先を決めます。主な動作はプロキシ、直結、拒否です。国際サイトはプロキシ経由にしながら、ローカルサービスやLANへのアクセスを維持できますが、結果はルールの更新、DNSの解決方式、判定順序に左右されます。ドメインルールは、ドメインが早い段階でIPに解決される前に適用しないと、クライアントがアドレスしか認識できず、ドメイン単位で分類できない場合があります。

直結モード

直結モードでは通信をプロキシから外し、サービスを一時停止したり、元のネットワークを確認したりできます。直結に切り替えてもローカルリソースへアクセスできない場合は、プロキシノードではなく、システムネットワーク、ブラウザーキャッシュ、ファイアウォール、上位ネットワークに問題がある可能性があります。確認後はモードが想定どおりに戻っているか確認し、「ノードを選んだのに通信は直結のまま」という誤判定を避けてください。

  1. ✅ 対象サイトに異常があるときは、まず一時的にグローバルモードへ切り替え、ノードの問題かルールの問題かを切り分ける。
  2. ✅ ローカルサイトやLAN機器に異常があるときは、直結ルールとプライベートアドレスのバイパス設定を確認する。
  3. ✅ 特定のアプリがシステムプロキシに従わないときは、クライアントが仮想NICやアプリ別プロキシに対応しているか確認する。
  4. ✅ ルールを変更した後は接続を張り直し、古い接続が以前の出口を使い続けないようにする。
  5. ❌ 影響範囲が分からない状態で、出所不明のリモートルールセットを読み込まない。
モードの使い分け：ルールモードは日常利用、グローバルモードは素早い検証、直結モードは元のネットワークの確認に適しています。切り分けでは一度に1つの変数だけを変更すると、より確実に判断できます。

DNSリーク、システムプロキシ、仮想NIC

DNSはドメイン名をネットワークアドレスへ変換します。DNSリークとは通常、ウェブ通信はプロキシを通っているのに、ドメイン検索だけがローカルネットワークのリゾルバーに渡され、想定と異なる経路になる状態を指します。地域判定の混乱、ルールの不一致、DNSの結果とプロキシ出口の不整合につながる可能性があります。ここでいう「リーク」は、すべての内容が公開されたという意味ではなく、DNSリクエストが予定した解決経路を通っていないことを示します。

システムプロキシは、OSのプロキシ設定に従うアプリに主に影響します。たとえば多くのブラウザーや一部のデスクトップソフトが該当します。一方、一部のゲーム、コマンドラインツール、ストアアプリ、独自のネットワークスタックを持つソフトはシステムプロキシを無視することがあります。仮想NICモードはより低い層でIP通信を取り込み、適用範囲が広い一方、企業向けセキュリティソフト、別のトンネル、LANアクセス、システムファイアウォールと干渉しやすくなります。

クライアントの「拡張モード」「TUNモード」「仮想NIC」は、通常この種の機能に分類されます。プラットフォームによって権限名や実装は完全には同じではありません。有効化後にネットワークが切断された場合は、仮想NICの権限、デフォルトルート、DNS設定、他の通信制御ツールが同時に動作していないかを確認し、サブスクリプションの読み込みを繰り返すだけにしないでください。

接続が想定どおり有効か確認する方法

まず当サイトのネットワークチェックページで出口情報を確認し、プロキシを使うべきサイトと直結すべきサイトをそれぞれテストします。出口が変わらない場合は、現在のモード、システムプロキシ、仮想NICが有効か確認してください。出口は正しいのにドメイン解決だけがおかしい場合は、ルールを更新してクライアントのDNSモードを確認します。特定のアプリだけに問題がある場合は、システムプロキシを迂回していないか、古い接続を保持していないかを確認してください。

プラットフォームごとにクライアントの見た目が異なる理由

Windows、macOS、Android、iOSでは、システムプロキシ、仮想NIC、バックグラウンド動作、ネットワーク拡張の権限モデルが異なります。そのため、同じサブスクリプションでもクライアントによって表示される項目が変わることがあります。設定が互換性を持つことと、画面の名称や通信の取り込み範囲が完全に同じであることは別です。

Windowsクライアントでは、システムプロキシと仮想NICモードを同時に提供することがよくあります。システムプロキシは設定が簡単ですが、すべてのアプリを対象にできるとは限りません。仮想NICは適用範囲が広い一方、対応ドライバーや権限が必要です。macOSでは通常、ネットワーク拡張やシステムプロキシで通信を取り込み、初回の有効化時にネットワーク拡張の許可を求められることがあります。OSアップデート後に接続できなくなった場合は、拡張機能の権限が有効なままかを確認してください。

Androidクライアントは通常、システムVPNインターフェースを使ってローカルトンネルを構築し、アプリ別のルーティングにも対応します。ステータスバーにVPNマークが表示されても、すべてのドメインがプロキシを使っていることを意味するわけではありません。iOSも同様にシステムのネットワーク拡張に依存し、バックグラウンド状態、オンデマンド接続、ルール機能はクライアントの実装とシステム権限の両方で決まります。

プラットフォーム 主な通信の取り込み方法 初回利用時のポイント 異常時に優先して確認する項目
Windows システムプロキシ、仮想NIC カーネル、ドライバー、ファイアウォールの権限 プロキシポート、デフォルトルート、仮想NICの状態
macOS システムプロキシ、ネットワーク拡張 ネットワーク拡張とプロキシの権限を許可する 拡張機能の許可、OSアップデート後の権限状態
Android システムVPNインターフェース、アプリ別ルーティング システム接続の作成を許可する バックグラウンド制限、アプリ別ルーティング、常時接続設定
iOS システムネットワーク拡張 ネットワーク設定の追加を許可する オンデマンド接続、設定権限、バックグラウンド状態

クライアントを選ぶときは、URLを貼り付けられるかだけでなく、サブスクリプション内のプロトコルとトランスポートパラメータに対応しているかを確認してください。未対応の項目を含む設定を読み込めても、対応していないトランスポート設定を無視するクライアントがあります。その結果、ノードは一覧に表示されるのに接続できないことがあります。その場合はクライアントカーネルを更新するか、サービス説明で互換性が明記されたクライアントを使ってください。

インポートから接続までの完全な切り分け手順

初心者はノード、プロトコル、DNS、ルール、仮想NICを同時に変更しがちで、どの設定が効いたのか分からなくなります。より確実なのは、「サブスクリプションを読み込めるか、ノードがハンドシェイクできるか、通信を取り込めているか、ルールが一致しているか、DNSが一致しているか」の順に、層ごとに確認する方法です。

  1. ✅ サブスクリプションを更新し、解析失敗、認証失効、形式非対応が表示されていないことを確認する。
  2. ✅ サーバー側が提供する初期ノードと初期プロトコルを使い、最初はトランスポートパラメータを変更しない。
  3. ✅ 接続を開始してクライアントログを確認し、タイムアウト、証明書、認証、DNSのエラーを区別する。
  4. ✅ 一時的にグローバルモードで対象サイトをテストし、ノード自体が通信を処理できるか確認する。
  5. ✅ 出口地域を確認し、ローカルサイトとLANリソースがルールどおり直結されるかテストする。
  6. ✅ ルールモードに戻し、ドメインルール、アプリ別ルーティング、DNS設定を順番に確認する。
  7. ❌ システムプロキシや仮想NICを取り込むクライアントを複数同時に実行しない。

ログの「timeout」は通常、制限時間内に接続が完了しなかったことを示しますが、サーバーに到達できない、ポートが制限されている、UDPが利用できない、経路でパケットロスが発生しているなど、原因はさまざまです。「authentication failed」は認証情報、サブスクリプションの状態、パラメータの不一致に近いエラーです。TLS証明書関連のエラーでは、システム時刻、サーバー名、証明書チェーンを確認します。クライアントによって表現は異なりますが、問題はネットワーク到達性、認証、トランスポートのネゴシエーション、通信の取り込みという層に整理できます。

特定地域のノードだけに異常がある場合は、まず同じ種類の回線へ切り替えて、単一の入口の問題か判断します。すべてのノードに接続できない場合は、ローカルネットワーク、サブスクリプションの状態、クライアント権限を優先して確認します。ブラウザーは正常なのに他のアプリだけ失敗する場合は、システムプロキシの適用範囲と仮想NICを重点的に確認します。ページは開くのに地域判定がおかしい場合は、出口、DNS、ルーティングルールを確認してください。

これらの用語を理解すると、サービス選びを具体的な要件から考えられます。サブスクリプションを更新しやすいか、クライアントが目的のプロトコルに対応しているか、入口と出口が明確か、回線が直結・中継・IEPLのどれか、ルールモードで国際アクセスとローカルサービスを両立できるか、DNSと仮想NICを管理できるかを確認しましょう。用語は多ければよいのではなく、各層で問題が起きたときにどこを確認すべきかを知ることが重要です。