VPN初心者向け用語集：サブスクリプション、ノード、回線、プロトコルを解説

このVPN初心者向け用語集では、まずサブスクリプション、ノード、回線、プロトコルの関係を整理します。サブスクリプションは設定情報を提供し、ノードは接続先の入口、回線はデータが通る経路、プロトコルは接続の確立やデータ転送の方法を定めます。それぞれ役割が異なり、互いに置き換えることはできません。

クライアントはこれらの設定を実行し、ルールは各リクエストの接続先を振り分けます。問題が起きたときは、設定を手当たり次第に切り替えるより、どの層で障害が起きているかを見極めるのが効果的です。以下の用語は一般的な仕組みの説明であり、ClipVPNが本文に登場するすべてのプロトコルや回線種別を提供することを意味しません。

サブスクリプション、ノードと設定ファイル

「サブスクリプション」は画面によって意味が異なります。プランページの月額サブスクリプションは、一定期間ごとに料金が発生するサービスのことです。一方、クライアント上では、接続設定を取得するためのURLを指すことが一般的です。サービスを契約しても、クライアントに設定が自動で取り込まれるわけではありません。また、設定を取り込んだからといって、アカウントに利用可能な容量があるとは限りません。

サブスクリプションリンクは通常、アクセス用の認証情報を含むURLです。クライアントがURLにアクセスするとノード情報を取得します。サブスクリプションによっては、ポリシーグループやルーティングルール、DNS設定も含まれますが、内容は形式によって異なります。クライアントごとに対応形式が異なる場合があるため、「リンクを開ける」ことと「正しく取り込める」ことは別です。

ノードは選択可能な接続設定で、サーバーアドレス、ポート、認証情報、プロトコルのパラメーターなどが含まれます。ノード名は識別しやすくするためのラベルにすぎません。表示された地域は出口の位置を示すことが多く、クライアントが最初に接続する入口の所在地とは限りません。名前だけで実際の経路を判断することもできません。

回線の種類：直接接続、中継、IEPL

直接接続は通常、クライアントがローカルネットワークから海外サーバーへ直接接続し、サービス提供者が用意した中継入口を経由しない方式です。「直接」は物理的な直線を意味するものでも、通信事業者のルーティングがないという意味でもありません。実際の使い心地は、ローカル回線、ネットワーク間の接続、接続先サーバーの負荷にも左右されます。

中継では、クライアントと出口の間に転送経路を追加します。クライアントがまず入口に接続し、そこから後続のサーバーへ転送されます。経路が長くなっても、必ず遅くなるとは限りません。中継によって混雑したネットワーク間の経路を避けられれば、使い心地が改善することもあります。一方、入口や後段が混雑すれば悪化する場合もあります。経由する箇所が増えても、効果が保証されるわけではありません。

IEPLは国際イーサネット専用線で、特定の端点間に専用の伝送サービスを提供するものです。商用回線でIEPLと表示されていても、通常は経路の一部にこの種のリソースを使うことを意味し、利用者宅から接続先サイトまでの全区間が専用線というわけではありません。ローカル回線、入口の収容状況、出口からのアクセスも使い心地に影響します。

回線を選ぶときは、まず利用目的を確認しましょう。会議なら音声が途切れないか、ウェブサイトなら最初の画面が読み込めるか、ファイル転送なら速度が安定して続くかを見ます。クライアントに表示される遅延は、特定の測定方法で得た結果にすぎず、実際の利用体験全体を示すものではありません。測定先がプロキシの入口までで、最終的なウェブサイトまで確認していない場合もあります。

プロトコル名とクライアントの互換性

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICは、プロキシクライアントで使われることがあります。それぞれ異なるプロキシプロトコルまたは方式であり、すべてをOSレベルのVPNプロトコルとみなすべきではありません。アプリがシステムのVPNインターフェースを使って通信を制御していても、従来型のVPNトンネルプロトコルを使っているとは限りません。

• Shadowsocks：暗号化プロキシプロトコルで、通常はTCPとUDPの通信を転送します。実際に使える機能は、クライアント、サーバー、設定の組み合わせによって異なります。
• VMess：認証と暗号化の仕組みを備えたプロキシプロトコルです。認証パラメーターやシステム時刻のずれが接続に影響することがあります。認証エラーが出た場合は、設定と時刻同期を確認してください。
• Trojan：一般的な構成では、TLSで通信を保護します。証明書の検証、サーバー名、サーバー側の設定が一致しているかは、問題の切り分けで重要な確認項目です。
• VLESS：軽量なプロキシプロトコルです。プロトコル自体は通信を暗号化しないため、TLSやREALITYなどの安全な通信方式とあわせて理解する必要があります。名称だけを見て暗号化済みと判断しないでください。
• Hysteria2とTUIC：どちらもQUICをベースとし、下位層でUDPを使用します。利用中のネットワークでUDPが制限されていると、接続に影響することがあります。フォールバックに対応するかは実装と設定によります。

同じプロトコル名でも、伝送方式、拡張オプション、実装バージョンの違いによって互換性がない場合があります。取り込みに失敗したら、まずクライアントがサブスクリプションの形式やパラメーターに対応しているか確認してください。プロトコル名を別のものに自分で変更するのは避けましょう。プロトコル名はインターフェース上の取り決めに近く、性能ランキングではありません。

ルーティング、ルールモードとグローバルモード

ルーティングは、条件に応じてリクエストの接続先を決める仕組みです。よく使われる条件には、ドメイン名、宛先アドレス、プロセス、地域データベースとの照合結果などがあります。ルールに一致すると、リクエストは直接接続されたり、プロキシのポリシーグループに渡されたり、拒否されたりします。通常、ルールの順番は重要です。先に一致したルールで結果が決まり、最後のルールがどの条件にも一致しないリクエストを処理します。

ルールモードは、こうした条件で通信を振り分けます。ローカルサービスと海外サイトを分けて扱うのに適しています。ただし、すべてのドメインを正しく分類できるとは限りません。アプリはログイン、画像、APIなど複数のドメインに同時にアクセスすることがあり、トップページのドメインだけルールに追加しても、機能全体をカバーできない場合があります。

グローバルモードでは通常、クライアントが取り込んだリクエストを選択中のプロキシにまとめて渡します。ただし、「端末のすべての通信が必ずプロキシを経由する」という意味ではありません。アプリがシステムプロキシに従わない場合や、仮想ネットワークアダプターで通信を取り込んでいない場合は、グローバルモードでも対象外になることがあります。LAN内通信の例外やDNS設定も個別に確認してください。

システムプロキシは、対応するアプリにプロキシを使うよう指定する設定です。TUNモードは仮想ネットワークインターフェースを使い、対象となるルートの通信を取り込みます。通常はより広い範囲をカバーできますが、追加の権限が必要な場合や、企業向けセキュリティソフト、ほかのVPNと競合する場合があります。グローバルモードとルールモードは「出口の選び方」、システムプロキシとTUNは「通信の取り込み方」を指すため、混同しないようにしましょう。

DNSの名前解決とDNSリークとは

DNSはドメイン名を接続可能なアドレスに変換します。プロキシ接続が正常でも、DNSリクエストが失敗したり、現在の経路に適さない結果が返されたりすると、ウェブページが開かないことがあります。そのため、「ノードの遅延を測定できる」ことと「ウェブサイトにアクセスできる」ことは別々に確認する必要があります。

DNSリークとは通常、本来は指定した経路で処理したいドメインの問い合わせが、想定外のDNSリゾルバーに送られることを指します。たとえば、通信自体はプロキシ経由でも、DNS問い合わせがローカルネットワークのDNSに送られるケースです。リークに該当するかどうかは、想定するプライバシーの範囲とルーティング設定に照らして判断します。ローカルドメインを意図的にローカルDNSで名前解決することを、単純に設定ミスとみなすべきではありません。

ブラウザーの暗号化DNS、システムDNS、クライアントDNSが同時に使われることがあります。DoHやDoTはDNSリゾルバーまでの問い合わせ通信を保護しますが、問い合わせがプロキシを経由することや、リゾルバーが問い合わせを確認できないことを単独で保証するものではありません。オンライン検査を使う場合は、表示された地域だけで結論を出さず、リゾルバーの運営元、クライアントのログ、実際のルーティングも確認しましょう。

クライアントによってはFake-IPを使い、ドメイン名に合成アドレスを割り当ててから、後続の接続時に本来の宛先へ戻します。これはアドレスのマッピング方式であり、ウェブサイトの実際のアドレスが恒久的に変更されるわけではありません。特定のアプリとこの方式に互換性がない場合は、クライアントの説明に従って例外を設定し、DNS機能全体を無効にするのは避けましょう。

管理画面からクライアントへの設定取り込み手順

ClipVPNのクライアント用ダウンロードページへは、管理画面からアクセスします。Android、Windows、macOS、Linuxではログイン後にダウンロードできます。iOSで利用できるかは、管理画面で有効なプランかどうかに基づいて判定されます。ログイン後にサブスクリプション情報を取得し、具体的な取り込み方法は管理画面と各クライアントの案内を確認してください。不明なサイトから設定を入手する必要はありません。

1. 入手元を確認する。ユーザー管理画面からダウンロード・サブスクリプションページに進み、利用するOSを確認してください。提供元が不明なクライアントにサービスのログイン情報を入力しないようにしましょう。
2. 対応する形式で取り込む。管理画面の取り込み機能を使うか、クライアントのサブスクリプション管理画面にリンクを貼り付けます。対応していない形式と表示された場合は、アプリとサブスクリプションの種類が合っているか確認してください。
3. 更新して設定を選択する。取り込みが成功したら、実際に有効になっている設定が今回取り込んだものか確認してください。設定が一覧に表示されているだけでは、適用済みとは限りません。
4. 回線を選んで接続する。まずは既定のルールモードを使い、システムの案内に従って必要なネットワーク権限を許可してください。接続のために証明書検証を無効にしないでください。
5. 実際の用途で確認する。目的のウェブサイトやコラボレーションツールを開き、ログイン、読み込み、継続利用が正常にできるか確認します。あわせてログに名前解決や認証のエラーがないか確認してください。

Windows、macOS、Linuxでは、システムプロキシが適用される範囲が同じではありません。コマンドラインツールによっては、プロキシ用の環境変数を個別に設定する必要があります。AndroidとiOSでは、ネットワーク通信の取り込みがシステムの許可やバックグラウンド処理の仕組みにも左右されます。あるOSのボタン名を、すべてのOSで共通する操作手順と考えないでください。

エラーの意味を確認してから対処する

サブスクリプションの更新失敗は、設定情報を取得する段階で発生します。リンクが完全か、アクセス認証情報が有効か、現在のネットワークからリンクにアクセスできるか、サーバーがクライアント対応の設定を返しているかを確認しましょう。すでに取り込んだノードで接続できるかどうかにも関係しますが、同じテストではありません。

接続タイムアウトは、制限時間内に処理が完了しなかったことを示します。ネットワークに到達できない、ファイアウォール、入口の障害、ハンドシェイクの失敗などが考えられますが、「タイムアウト」だけでは問題の箇所を特定できません。証明書エラーの場合は、システム時刻、サーバー名、設定の入手元を確認してください。検証の無効化を通常の解決策にするのは避けましょう。

• ✅ まずプロキシをオフにし、ローカルネットワークが正常に使えるか確認します。
• ✅ アカウントの状態、有効なサブスクリプション、クライアント設定の更新が必要かを確認します。
• ✅ 同じネットワーク、同じアプリで回線だけを切り替え、ほかの設定はそのままにして比較します。
• ✅ 一部のウェブサイトだけで問題が起きる場合は、ルールの適用状況、DNS、サイト独自のログイン制限を確認します。
• ✅ サポートチケットを送る際は、OS、クライアント、エラー文、再現手順を記載し、サブスクリプションの認証情報は隠してください。

最後に、プロキシ出口が変えられるのはネットワーク経路と外部から見える出口アドレスに限られます。アカウントの地域、支払い情報、ブラウザーの位置情報、ウェブサイトの不正利用対策の判定が自動的に変わるわけではありません。接続できても、すべてのプラットフォームへのアクセスが許可されるとは限りません。利用時は現地の法律と接続先サービスの利用規約を守ってください。