どのクライアントを開いても、最初の画面には同じ言葉が並びます。購読、ノード、回線、プロトコル、振り分け、グローバル。これらはそれぞれ別の層に属しています。購読は設定をどこから持ってくるか、ノードと回線はデータをどこから出すか、プロトコルはデータをどう包むか、振り分けはどのデータを外に出すかを決めるものです。以下ではこの順番で VPN の基本用語をひととおり見ていき、どの用語もクライアント上の具体的なスイッチか 1 行の設定に対応させます。
これは早見表であり、レビューではありません。回線とプロトコルに関する部分は一般的な技術説明で、どのサービスに置き換えても成り立ちます。価格・通信量・返金に関する数字は、VPNCW の公開プランページによるものです。
購読リンク：1 回インポートすれば、以降のノードはすべて追従して更新される
購読リンクは 1 本の https アドレスで、サーバー側がノード一覧をこのアドレスの後ろに置きます。多くの実装では Base64 でエンコードされた設定テキストです。クライアントの「URL からインポート」「クリップボードから購読をインポート」がやっていることは同じで、1 回取得してデコードし、ノード項目に展開します。その後は設定に従って定期的に再取得します。
つまり購読とノードは「供給元」と「項目」の関係です。サーバー側で新しい回線を 1 本追加すれば、クライアントが購読を更新したときに一覧へ 1 行増えます。外せば、ローカルの該当項目も消えます。ノードを手動で追加する（QR コードを読み取る、設定リンクを貼り付ける）こともできますが、その後の追加・削除は自分で管理する必要があります。
購読リンクはアカウントの認証情報と同じ
このリンクにはあなたのユーザー識別子が含まれており、誰かが手にすれば自分のクライアントにインポートして同じ通信量を使えます。パスワードも二段階認証もありません。だからこそ、グループチャットや公開スクリーンショット、出所の怪しい「オンライン速度テスト」ページに載せるべきではありません。
ヒント：購読リンクが漏れた場合、正しい対処はパスワードを変えることではなく、リンクを無効化して再生成することです。多くのパネルには購読のリセット機能があり、リセットすると古いリンクは即座に無効になり、各端末で再インポートが必要になります。
インポートに失敗する 4 つのよくある原因
- チャットアプリでリンクが途中で切れた、またはコピー時に空白や改行が混ざった。
- クライアントとサーバーの時刻のずれが大きい。VMess はタイムスタンプ検証に依存するため、システム時刻を自動同期に設定する。
- 購読アドレスがすでにリセットされ、ローカルには古いリンクが残っている。
- クライアントのバージョンが古く、購読に含まれる新しいプロトコルを認識できない。
ノードと回線：同じ言葉が持つ 2 つの意味
ノードは具体的な入口です。地域、都市、プロトコル、ポート、転送方式——これらが揃って初めて 1 本の使える設定になります。クライアントの一覧の 1 行が 1 ノードで、ノードを選ぶことは「どの地域から外に出るか」を選ぶことでもあります。
回線が指すのは別の話で、ローカルから収容先のデータセンターまでの区間をどう通るかです。同じ都市でも直結・中継・IEPL 専用線という 3 つの経路があり、ノード名には「東京 01」「東京 02」としか書かれないことが多く、違いはその裏に隠れています。
| 回線の種類 | データの経路 | ピーク時間帯の挙動 | 向いている用途 |
|---|---|---|---|
| 直結 | 自宅回線から公衆インターネットの国際出口を経て海外データセンターへ直接つなぐ | 国際出口の混雑の影響を受けやすい | 一時的な調べものなど、安定性をそれほど求めない用途 |
| 中継 | まず国内の中継入口に接続し、そこから最適化された経路で国外へ出る | 中継区間は公衆網を通らないため、通常は直結より安定する | 日常のブラウジング、動画、長時間の接続 |
| IEPL 専用線 | 端から端まで通信事業者の国際専用線を使い、公衆インターネットの出口を通らない | ジッターとパケットロスが最も小さい | 会議、常時接続、切断に敏感な作業 |
ここでは具体的な遅延の数値は書きません。遅延はあなたの街、回線事業者、その時点のネットワーク状況で変わるもので、固定値を書いても信用できません。回線が自分に合うかどうかは、ノード名の形容詞ではなく、夜のピーク時間帯に安定しているかで判断してください。
90+ の国・地域、170+ の回線があれば、よく使う地域のほとんどで複数の入口を選べます。同じ購読で台数の制限なく同時接続できるので、自宅の PC と持ち歩く端末で 1 つの設定を共有できます。回線を選ぶときは、目的のサービスと同じ地域のノードを優先し、海外回線が必要な AI ツールならそれが対応する地域を使う——一覧の先頭を何となく開くのは避けましょう。
プロトコル：あの英字の略号がデータの包み方を決める
プロトコルは、データをどう包み、どう暗号化し、どう偽装するかを決めます。クライアントの一覧にある英字の列がそれです。同じ回線でも別のプロトコルを走らせられるので、「このノードは遅い」というのが回線の問題ではなく、選んだプロトコルがそのネットワークで妨害されているだけ、ということもあります。
| プロトコル | 下位の転送方式 | 主な特徴 | つまずきやすい点 |
|---|---|---|---|
| Shadowsocks | TCP（実装によっては UDP も併用） | 軽量でハンドシェイクが単純、オーバーヘッドが小さい | TLS の外観がないと通信の特徴で識別されやすい |
| VMess | TCP / WebSocket / gRPC | エコシステムが成熟しており、転送層の組み合わせが多い | 時刻のずれが大きいと認証がそのまま失敗する |
| VLESS | TCP + TLS | 暗号化の負担がなく CPU 負荷が低い、大帯域に向く | TLS とフォールバック設定に依存し、設定を誤ると接続できない |
| Trojan | TLS、通常は 443 番ポート | 標準的な HTTPS に偽装し、パッシブ検知では目立たない | ドメインと証明書に依存し、証明書が失効すると使えなくなる |
| Hysteria2 | QUIC / UDP | 輻輳制御を内蔵し、パケットロスが多い長距離回線でもスループットが出る | UDP が制限されているネットワークでは明らかに性能が落ちる |
| TUIC | QUIC / UDP | 多重化が可能で、小さなリクエストが多い用途に向く | 同じく UDP 経路に依存し、サーバー側のパラメータに敏感 |
プロトコルを手動で切り替えるべき場面
ほとんどの場合、意識する必要はありません。サーバーとクライアントは購読に書かれた設定でネゴシエートし、クライアントはそれを実行するだけです。手動で介入が必要なのは 3 つの場面です。UDP が制限・遮断されているときは、QUIC 系の Hysteria2 や TUIC が明らかに劣化するので、TCP 系に戻したほうが安定します。TLS ハンドシェイクが妨害されているときは、Trojan や VLESS のような TLS 依存のプロトコルはつながりにくくなるため、転送方式かポートを変える必要があります。クライアントの時刻が同期していないときは、VMess の認証が失敗します。
振り分けとグローバル：どの通信を回線に通すか
振り分け（ルールモードとも呼ばれます）は、どの通信を回線に通し、どれを直結にするかを決めます。ほぼすべてのクライアントがモードを 3 種類に分けており、名前は多少違っても意味は同じです。グローバル、ルール、ダイレクト。
- グローバルモード：すべての通信を回線に通します。国内サイトや LAN 内の機器も含まれます。設定は最も簡単ですが、その代わりに国内サイトも遠回りになり、速度が落ち、通信量の消費も早くなります。
- ルールモード（振り分け）：ドメイン、IP レンジ、GeoIP の国データベース、プロセス名で 1 件ずつ照合し、一致したルールに従います。どれにも一致しなかったものは最終ルールに委ねます。
- ダイレクトモード：すべて回線を通しません。一時的にプロキシを切るのと同じです。
振り分けの価値は「外に出る必要のある通信だけを外に出す」ことにあります。国内サイトを直結すれば通信量を節約でき、遠回りも 1 回減ります。LAN とプライベートアドレスを直結にすれば、NAS、プリンタ、画面ミラーリングといった機器へのアクセス失敗を避けられます。
- ✅ 普段はまずルールモードを使い、国内ドメインとプライベートアドレスを直結に、それ以外を必要に応じて回線に通します。
- ✅ ルールはクライアント標準のルールセットを優先し、問題が出たらまず接続ログでどのルールに一致したかを見ます。
- ✅ 出口を固定したいサービスは個別にルールを 1 本作り、日常のブラウジングと同じノードを共有しないようにします。
- ❌ グローバルモードを「より安全」と捉えないでください。すべての通信を外に出すだけで、暗号化の強度が上がるわけではありません。
- ❌ 互いに上書きし合うルールを何十本も手書きしないでください。ルールが増えるほど、切り分けのコストが上がります。
DNS リーク：名前解決のリクエストはトンネルを通っているか
Web ページを開く最初の一歩はドメインの名前解決です。この解決リクエストがトンネルを通らず、ローカルの回線事業者の DNS に送られている状態を DNS リークと呼びます。困ることは 2 つあります。解決結果が汚染されて誤った IP を返される可能性があること、そしてあなたのアクセス意図がローカルネットワークに露出することです。
クライアントで DNS に関係するスイッチは、通常次のものです。
- リモート DNS：解決リクエストを回線経由にし、収容側で問い合わせを完了します。
- DNS over HTTPS / TLS：DNS クエリ自体を暗号化し、途中での書き換えを防ぎます。
- ドメインスニッフィング（Sniffing）：TLS ハンドシェイクの SNI フィールドから宛先ドメインを取り出し、振り分けルールの判定に使います。
- Fake DNS：クライアントがまず偽の IP を返して接続を引き受け、プロキシ側で実際のドメイン名に戻します。
自己確認の方法は単純です。回線につないだ状態で公開の DNS リーク検査ページを開き、判定されたリゾルバの地域がノードの収容地域と一致しているかを見ます。一致していなければ、解決はまだローカルを通っています。
注意：DNS 関連の設定を変えたら、いったん再接続してください。多くのクライアントは即時反映されません。変更後に再テストしないのは、変えていないのと同じです。
クライアントごとの違い：5 つのプラットフォームでスイッチの位置は同じではない
同じ購読でも、5 つのプラットフォームでノード名は完全に一致します。しかし振り分けルール、DNS 設定、プロキシモードはクライアント側のローカルな設定なので、クライアントを変えるたびに設定し直す必要があります。プラットフォームごとの通信の引き受け方はかなり違います。
| プラットフォーム | 通信の引き受け方 | 追加で注意したい点 |
|---|---|---|
| Windows | システムプロキシまたは TUN 仮想 NIC | システムプロキシを認識しないアプリは TUN モードでないと引き受けられない |
| macOS | システムプロキシ + ネットワーク拡張 | 初回有効化時に許可が必要で、管理された端末ではポリシーで制限されることがある |
| iOS | システム VPN 設定（ネットワーク拡張） | 設定ファイルとしてインポート、アプリ単位のプロキシ機能は限定的 |
| Android | システム VPN サービス | アプリ単位のプロキシに対応し、選んだアプリだけ回線に通せば通信量を節約できる |
| Linux | コマンドラインクライアント + カーネル転送 | 設定はファイル中心で、TUN 転送には root 権限が必要 |
用語をつなげる：1 回の接続の全順序
ここまでの順番に沿ってたどると、正常な接続は次のようになります。
- クライアントが購読リンクからノード一覧を取得し、1 件ずつの設定にデコードする。
- ノードを選ぶと、クライアントはその設定にあるプロトコルと転送方式で接続を開始する。
- 接続が確立すると、クライアントは振り分けルールを読み、このリクエストを回線に通すか直結にするかを判断する。
- 回線に通すリクエストは収容側に渡され、収容先のデータセンターが実際のアクセスを行う。
- 名前解決は DNS 設定に従って実行され、リモート DNS なら漏れず、ローカル DNS なら漏れる。
- データは同じ経路を戻り、クライアントが結果をリクエスト元のアプリに返す。
問題が出たら、この順番を逆にたどって調べます。まずルールの一致（3 番目）、次に DNS（5 番目）、最後にノード自体を疑います。「つながっているのに開けない」ケースのほとんどは、回線ではなく振り分けと DNS に原因があります。
まず試してから決めたいなら、月額 ¥9.9・60GB のプランから始められます。より大きな通信量が必要で、月単位のサイクルに縛られたくない場合は、¥158/300GB のトラフィックパックが使い切るまで有効で、期限はありません。登録に必要なのはユーザー名とパスワードだけで、メールアドレスは不要です。初回のお支払いから 60 日以内なら、理由を問わず全額返金を申請できます。