VPN用語解説：サブスクリプション、ノード、IEPL専用線、全体モードとルールモードとは

VPN・プロキシ・クライアントの違い

VPNは「仮想プライベートネットワーク」の略で、一般にトンネルを通じて端末と別のネットワークを接続します。日常会話では、海外のWebサイトへのアクセスに使うプロキシサービスもVPNと呼ばれることがありますが、技術的な仕組みは同じとは限りません。従来型のVPNはネットワーク層の通信を処理できますが、プロキシは設定されたアプリの通信だけを処理する場合があります。

クライアントは、設定の読み込みや接続の確立、ルールの適用を行う端末上のソフトウェアです。サーバーが接続先の入口を提供し、クライアントがどのリクエストをそこへ送るかを決めます。アプリに「接続済み」と表示されても、すべてのアプリが同じ出口を使っているとは限らず、ドメインの名前解決が想定どおりの経路を通っているとも限りません。

一部のプロキシクライアントは、TUN仮想ネットワークアダプターを使ってより多くのシステム通信を取り込むため、システムVPNに近い使い方ができます。TUNは通信を取り込む方式であり、ノードのプロトコルでも暗号化方式でもありません。どの通信が対象になるかは、ソフトウェア名だけで判断せず、システムプロキシ、仮想ネットワークアダプター、アプリごとの設定を確認してください。

サブスクリプションURL、ノード、接続経路の違い

「サブスクリプション」には、主に2つの意味があります。料金プランとしてのサブスクリプションと、クライアントが設定を取得するためのサブスクリプションURLです。後者からノード一覧が取得できる場合もあれば、ノードやポリシーグループ、ルール、DNS設定を含む構成全体が取得できる場合もあります。サブスクリプションの更新は設定情報を再取得する操作で、再度の支払いを意味するものでも、必ず通信量がリセットされるものでもありません。

ノードは、通常、サーバーアドレスやポート、認証情報、プロトコル、関連するトランスポート設定などをまとめた接続情報です。ノード名は識別用のラベルで、名前に含まれる地域名は出口や経路の目安を示すことがあります。名前だけで実際の設置場所や通信品質を判断することはできません。

「接続経路」は通信がたどる道筋を表す言葉です。通信はローカルネットワークからサービスの入口に入り、中継を経由する場合はその後に出口へ進み、目的のWebサイトに接続します。同じ地域の出口でも入口や経路が異なることがあるため、同じ地域名のノードでも接続状況に差が出る場合があります。

IEPL専用線・中継・直結の違い

IEPLは一般に、異なる地域のネットワーク拠点を接続する国際イーサネット専用線を指します。プロキシサービスの「IEPL専用線ノード」は、通常、経路の一部にこの種の回線が使われていることを意味します。ユーザーの端末から目的のWebサイトまで、すべての区間が専用線というわけではありません。ローカル回線や入口、出口からWebサイトまでの経路も接続品質に影響します。

中継経路では、通信をまず中間サーバーに送り、そこから出口へ転送します。経路を変更できるため、直結時の一部の問題を避けられる場合があります。一方、中継地点が増えるため、中継サーバーの負荷やネットワーク間の接続品質も考慮が必要です。中継はネットワーク構成の一つで、専用線と併用できます。中継後の地域間区間に専用線が使われる場合もあります。

直結経路とは通常、クライアントがサービス側で追加された中継サーバーを経由せず、遠隔地のノードに直接接続する構成を指します。それでも通信は通信事業者のルーターを通るため、端末と出口の間にネットワーク機器がないという意味ではありません。経路が短くても遅延が必ず小さくなるわけではなく、ローカルの通信事業者や地域間のルーティング、接続先サービスによって結果は異なります。

主なプロトコル名の意味

プロトコルは、クライアントとサーバーの通信方法を定めます。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICは、一般的なプロキシプロトコルまたは方式の名称です。6種類の料金プランという意味ではなく、名称だけで速度を判断することもできません。クライアントが該当プロトコルに対応し、サービス側で使われているトランスポートやセキュリティ設定にも適合している必要があります。

認証・暗号化・トランスポートはそれぞれ別の概念

Shadowsocksは、プロトコルで定められた暗号化方式を使ってプロキシ通信を転送します。VMessには認証と暗号化の仕組みが含まれます。Trojanは通常、TLS接続上で動作します。VLESS自体には通信内容を暗号化する機能がなく、TLSやREALITYなど、外側の設定や組み合わせる仕組みによってセキュリティが決まります。「VLESSを使っている」だけで接続が暗号化されているとは限りません。

Hysteria2とTUICは、UDPをベースとするQUIC技術を使います。利用中のネットワークでUDPが制限されていると、接続に失敗したり不安定になったりする場合があります。あらゆるネットワークでTCPベースの方式より優れているわけではありません。また、プロトコルがUDP通信を転送できても、外側のトランスポートまでUDPを使うとは限りません。

ノード設定にあるTLS、WebSocket、gRPCなどの項目は、セキュリティ層やトランスポート方式を表すもので、独立した地域別の経路ではありません。「最適化」のためにサーバー名や証明書の検証、トランスポート設定をむやみに変更しないでください。設定が一致しないと接続できなくなることがあり、証明書の検証を無効にすると認証の安全性も低下します。ここでの用語説明は一般的なもので、VPNOQがこれらすべてのプロトコルを提供するという意味ではありません。

全体モードとルールモードとは

全体モードでは通常、クライアントが取り込んだリクエストを、選択中のプロキシポリシーにまとめて送ります。ここで重要なのは「クライアントが取り込んだリクエスト」という点です。システムプロキシだけを有効にしている場合、システムプロキシに従わないアプリは直接接続することがあります。全体モードにしても、端末上のすべての通信が自動的にトンネルを通るわけではありません。

ルールモードでは、ドメイン名、接続先IPアドレス、アプリのプロセスなど、利用可能な条件に応じてポリシーを適用します。主な動作は、直接接続、プロキシ経由、接続拒否です。通常、ルールは設定順に照合され、一致した場合は指定された動作が適用されます。どのルールにも一致しないリクエストには、最後のルールが適用されます。具体的な構文や処理方法はクライアントのコアによって異なります。

ポリシーグループでは、ノードを手動で選ぶほか、クライアントが対応していれば、検査結果に基づいて自動選択や切り替えができます。ルールがリクエストをポリシーグループに送り、グループが使用するノードを決定します。そのため、メイン画面でノードを選んだのに一部のWebサイトで別の出口が使われる場合、選択内容が保存されていないのではなく、ルールが別のポリシーグループを参照している可能性があります。

• ✅ 普段の利用：サービスが提供するクライアント対応のルール設定を使い、業務で使うWebサイトにどのポリシーが適用されるか確認します。
• ✅ アクセスできないときの確認：一時的に全体モードへ切り替えて接続し直し、結果を比べた後、普段使う振り分け設定に戻します。
• ❌ 全体モードでは接続できるのにルールモードでは失敗する場合、ノードを何度も切り替えるだけでは不十分です。ドメインルール、ポリシーグループ、DNSの名前解決も確認してください。
• ❌ 複数の通信制御ツールを同時に使うと、システムプロキシ、仮想ネットワークアダプター、ルーティング設定が互いに影響する場合があります。

モードを切り替えても、既存の長時間接続が以前の経路を使い続ける場合があります。接続先のアプリを終了して再起動するか、クライアントの機能で接続を張り直してから、出口の変化を確認してください。接続を更新してから比べると、正確に判断できます。

DNSリークと出口の確認

DNSはドメイン名をIPアドレスに変換します。Webページへの接続がプロキシ経由でも、ドメインの名前解決までプロキシ経由とは限りません。本来はトンネル経由での名前解決を想定しているのに、ローカルネットワークのDNSサーバーへ問い合わせが送られる状態は、一般にDNSリークと呼ばれます。

設定によっては、直結するドメインの名前解決にローカルDNSを意図的に使うことがあります。そのため、ローカルDNSが確認されたというだけで、設定の意図を考慮せずに判断することはできません。ブラウザーの暗号化DNS設定、システムのリゾルバー、クライアントのDNS、アプリ独自の名前解決処理も、最終的な経路に影響します。

クライアントのFake-IPは、ドメイン名と一時的な対応アドレスを関連付け、後続の通信を識別して振り分ける仕組みです。これは遠隔地のWebサイトが実際に使っているアドレスではありません。一部のアプリはこの方式に対応していないことがあるため、クライアントの説明に従って設定を調整してください。名前解決の問題をすべてノードのせいにするのは適切ではありません。

確認時は、接続先のWebサイトに表示される出口とDNSテストの結果をそれぞれ見て、クライアントの接続ログで適用されたルールも確認してください。公開IPアドレスが変わったことから分かるのは、検査対象のリクエストの出口が変化したことだけです。すべてのアプリが通信制御の対象になった証明にはならず、プライバシーポリシーの確認にも代わりません。ログを保存しないというサービスのデータ取り扱い方針は、Webサイトがログイン中のアカウントやブラウザーの状態から利用者を識別できないという意味ではありません。

設定の取得から接続確認まで

プラットフォームによって画面は異なりますが、基本的な手順は共通しています。まずクライアントがサービス提供のサブスクリプション形式に対応していることを確認し、設定を追加して接続をテストします。形式に対応していない場合は、対応バージョンの設定を取得してください。機密性のあるURLを外部の変換サイトに安易に渡さないようにしましょう。

1. クライアントとサブスクリプションを取得する。サービスの管理画面またはクライアントの公式配布元からソフトウェアを取得します。VPNOQのクライアントダウンロード入口はユーザーパネルにあります。利用開始と接続方法は初心者ガイドをご覧ください。
2. リモート設定を追加する。クライアントでサブスクリプションまたはリモート設定の追加画面を選び、管理画面に表示されたURLを貼り付けます。クライアントによってはリンクから直接インポートできますが、操作後に設定が保存されたことを確認してください。
3. 設定を更新して経路を選ぶ。ノード一覧が正しく読み込まれたことを確認し、使いたい出口とポリシーグループを選びます。更新に失敗する場合は、URLの有効性、設定を取得できるネットワークかどうか、形式の互換性を確認してください。
4. 通信の取り込みを有効にする。プラットフォームの案内に従ってシステムのネットワーク設定を許可し、必要なシステムプロキシまたはトンネル機能を有効にします。権限を許可しただけでは、遠隔サーバーへの接続が確立したことにはなりません。
5. 実際の利用環境で確認する。必要なWebサイトやアプリを開き、出口、適用ルール、DNSの動作を確認します。接続に失敗した場合は、設定の取得、ノードとの接続確立、ドメインの名前解決、接続先Webサイトの制限を切り分けてください。

WindowsやmacOSのクライアントには、システムプロキシとTUNの2種類の設定方法が用意されている場合があります。システムプロキシが適用されるアプリは、そのアプリが設定に従うかどうかによって異なります。Linuxのコマンドラインプログラムでは、プロキシ用の環境変数が別途必要な場合があります。HTTPプロキシとSOCKSプロキシでは、アドレスの形式を混同しないでください。

iOSのクライアントは通常、システムネットワーク拡張機能を使ってトンネルを構築します。アプリの配布元や地域ごとの提供状況は個別に確認してください。Androidのクライアントは一般にシステムVPNインターフェースで通信を取り込み、アプリごとの振り分けに対応するものもあります。プロキシ設定のサブスクリプションとシステム構成プロファイルは別のファイル形式です。任意のサブスクリプションURLをシステム構成プロファイルとしてインストールしないでください。

料金に関する用語と接続設定は分けて考える

月額サブスクリプションは料金と通信量の更新周期に関するもので、通信量パックは利用できる通信量の残高を示します。どちらもクライアントを全体モードとルールモードのどちらで使うかは決めません。VPNOQの月額サブスクリプションは、利用開始日を基準に毎月通信量がリセットされます。通信量パックは使い切るまで有効で、期限はありません。料金と通信量のプランはプラン一覧をご確認ください。

同時接続台数に制限がないことは端末の利用条件であり、通信量が無制限という意味でも、帯域幅が保証されるという意味でもありません。14日間の無条件返金はサービスのポリシーです。適用条件の詳細はサイトの規約をご確認ください。返金ポリシーは、クライアントに表示される残り通信量やサブスクリプションの更新状況とは別のものです。