VPNの用語集：サブスク、ノード、IEPL、全体モードとルールモード

この記事では、サブスクリプション、ノード、IEPL、全体モードとルールモードなど、VPNでよく使われる用語を解説します。それぞれ設定の取得元、接続先、通信経路、通信の振り分けを指し、互いに置き換えられるものではありません。クライアントの設定項目を丸暗記するより、こうした役割の違いを理解することが大切です。

日常会話では、VPNがプロキシのサブスクリプションサービスを指すこともあります。厳密には、ネットワーク層のトンネルとアプリケーション層のプロキシは異なる仕組みです。クライアントに「接続済み」と表示されても、プロキシの入口が起動しただけで、すべてのアプリがその経路で通信しているとは限りません。

サブスクリプションURL、プラン、クライアント設定

プランは料金と通信量の仕組み、サブスクリプションURLは設定を取得するための入口です。有料プランでは利用できる通信量やリセット方法が決まります。一方、クライアントの「サブスクリプション」は通常、更新可能な接続設定のまとまりを指します。同じ言葉でも別のものです。通信量パックをサブスクリプションURLから取り込む場合もあり、その場合でも月額制になるわけではありません。

クライアントがサブスクリプションURLにアクセスすると、サーバーアドレス、ポート、プロトコルのパラメーターのほか、ポリシーグループやルールが読み込まれる場合があります。ノード一覧のみを提供するURLもあれば、設定一式を提供するURLもあり、内容はサーバー側の出力形式によって異なります。サブスクリプションの更新は設定を再取得する操作であり、プランの通信量をリセットするものではありません。

サブスクリプションの形式は、クライアントのコアとの互換性が必要です。同じURLでも、クライアントによって対応する形式を選ぶ必要がある場合があります。取り込みに失敗しても、アカウントに問題があるとは限りません。設定の構文やプロトコルの対応状況が合っていない可能性もあります。ユーザーパネルの案内または使い方ガイドで取り込み方法を確認し、見知らぬ変換サイトにURLを安易に入力しないでください。

サブスクリプションURLにはアカウント固有の認証情報が含まれることが多いため、パスワードと同様に扱ってください。スクリーンショットを共有する際は、URL全体、QRコード、トークンを隠します。漏えいの疑いがある場合は、パネルのリセット機能を使うか、サポート窓口にチケットで対応方法を確認してください。

ノード、入口、出口IP

ノードとは、クライアントで選択できる接続設定のことで、専用サーバーを意味するとは限りません。複数のノードが同じ入口を共有したり、最終的に同じ出口を使ったりする場合があります。ノード名の地域表示は出口の位置を示す目安ですが、名前だけで通信経路や実際の所在地を確認できるわけではありません。

入口は、デバイスが最初に接続するサーバーアドレスです。出口は、接続先のウェブサイトに表示されるグローバルIPアドレスです。中継がある場合、入口と出口が異なる地域にあることがあります。そのため、クライアントの接続先とウェブサイトが判定する地域が異なっても、設定ミスとは限りません。

出口IPの地域情報は、参照するデータベースによって異なる場合があります。接続先のサービスは、アカウント情報、決済地域、過去のログイン履歴、デバイス環境なども利用資格の判断に使うことがあります。地域ノードを切り替えても変わるのはネットワーク条件の一部であり、第三者サービスのアカウント資格やコンテンツの利用可否が保証されるわけではありません。

ポリシーグループは、ノードを選ぶ方法を指します。手動選択ではユーザーが出口を決め、自動選択では通常、測定結果をもとに候補を選びます。フェイルオーバーは、現在の候補が使えない場合に別の候補を試します。自動切り替えを頻繁に行うと、セッションの出口が変わることがあります。ログイン環境を安定させたい場合は、ポリシーグループの動作を事前に確認してください。

IEPL 専用線、中継、直結

これらの用語は通信経路を表すもので、暗号化プロトコルではありません。直結は通常、デバイスから海外のサーバーへ直接接続することを指します。中継では経路に転送箇所が加わります。IEPLは国際イーサネット専用線で、通信を運ぶネットワーク資源の一つです。プロキシサービスで利用する場合、専用線が経路の一部に使われるのが一般的で、デバイスから入口までのローカル接続は別に存在します。

中継は専用線と同じではなく、必ず遅くなるわけでもありません。転送箇所が増える一方で、品質の低い公衆ネットワーク経路を避けられることがあります。専用線も、デバイスから接続先までの全区間を独占するという意味ではありません。名称だけから混雑時間帯の通信品質を判断することもできません。回線の説明を確認し、普段使うネットワークや用途で実際に試してください。

プロトコル、転送、暗号化の役割

プロトコルは、クライアントとサーバーがデータをやり取りし、認証を行う方法を定めます。トランスポート層はネットワーク上でデータを運ぶ方法を決め、暗号化は対象となる通信経路のデータを保護します。サブスクリプション形式を読み込めても、クライアントのコアがその中のすべてのプロトコルに対応しているとは限りません。バージョンや個別のパラメーターも互換性に影響します。

• Shadowsocks：暗号化プロキシプロトコルです。クライアントとサーバーで互換性のある暗号方式とパラメーターを使う必要があります。ネットワーク層のVPNそのものではありません。
• VMess：認証と暗号化の仕組みを備えたプロキシプロトコルで、さまざまな転送方式と組み合わせて使えます。取り込み時にはサーバー設定との一致が必要です。
• Trojan：通常、TLS接続内でプロキシ通信を行います。サーバー名を正しく設定し、証明書を検証する必要があります。
• VLESS：軽量なプロキシプロトコルです。プロトコル自体はペイロードを暗号化しないため、通常はTLSなどの安全な転送方式と組み合わせて使います。
• Hysteria2：QUICベースのプロキシプロトコルです。UDPのネットワーク環境に左右され、クライアントとサーバーの両方が対応する実装を備えている必要があります。
• TUIC：こちらもQUICベースで、トラフィックのプロキシに対応します。Hysteria2とは別のプロトコルであり、設定を相互に流用することはできません。

ここでの説明は用語の解説であり、VPNLetがすべてのプロトコルを提供しているという意味ではありません。「UDP対応」であっても、すべてのアプリが自動的にUDPプロキシを使うとは限りません。ルール、通信の取り込み方式、クライアントの機能によって異なります。接続エラーを解消するために証明書の検証を安易に無効化しないでください。サーバーの本人確認が弱くなります。

全体モード、ルール分岐、TUN

全体モードは、クライアントが取り込んだ通信の出口を選ぶ設定であり、すべてのアプリの通信を取り込む機能ではありません。一般的なプロキシクライアントでは、取り込まれた通信を選択中のプロキシポリシーにまとめて送ります。システムプロキシ設定に従わないアプリは、そもそもクライアントを経由しないため、全体モードの影響を受けないことがあります。

ルールモードでは、ドメイン、宛先IP、アプリのプロセスなどの条件に基づいてリクエストを判定し、プロキシ、直結、拒否のいずれかに振り分けます。ルールの評価順は重要で、先に一致した条件が最終的な接続先を決める場合があります。ルールモードを「海外向けはプロキシ、日本国内向けは直結」と理解すると入門には役立ちますが、実際の設定はさらに細かいことがよくあります。

システムプロキシは、対応するアプリにプロキシアドレスを知らせる方式です。一方、TUNモードは仮想ネットワークアダプターを使ってIP通信を取り込み、より広い範囲をカバーすることがあります。プロセスの識別、UDP、IPv6、DNSの取り込みに対応するかどうかは、プラットフォーム、コア、権限、設定によって異なります。TUNとルールモードは競合せず、同時に使用できます。

WindowsやmacOSの一部のデスクトップアプリはシステムプロキシを無視するため、アプリ内で個別に設定するか、適切なTUN設定を使う必要があります。AndroidとiOSではシステムVPNインターフェースを通じて通信することが多いものの、アプリごとの振り分け機能やバックグラウンドの制限は異なります。Linuxでは、ターミナルの環境変数、ルーティング、システムの名前解決サービスも確認してください。ブラウザーでアクセスできても、コマンドラインツールまで通信が取り込まれているとは限りません。

DNS 名前解決とリークとは

DNSはドメイン名をIPアドレスに変換します。DNSリークとは、名前解決のリクエストが想定した経路を通らず、別のDNSリゾルバーに送られる状態を指します。意図しないネットワークに名前解決の情報が渡ったり、プロキシの出口と一致しないアドレスが返されたりして、アクセスに問題が起きる場合があります。

ただし、ルールモードで直結側のDNSを使うことが、必ずしもリークとは限りません。一部のドメインをローカルで名前解決する設定なら、それはポリシー上の選択です。ローカルのリゾルバーが表示されたかどうかだけで判断せず、想定した経路と照らし合わせてください。ブラウザーの暗号化DNS、システムのリゾルバー、クライアントのDNS機能が互いに影響することもあります。

確認する際は、まずクライアントのDNS取り込み設定を確かめ、次にブラウザーが別のDNSサービスを独自に使っていないかを確認します。IPv6の経路もあわせて確認してください。DNSチェック用のページは状況把握に役立ちますが、表示されたリゾルバーの地域が実際の通信経路を示すとは限りません。一度のウェブ検査だけで、すべてのアプリの名前解決が想定どおりだと証明することもできません。

レイテンシ、帯域幅、タイムアウトの違い

レイテンシはリクエストの往復にかかる時間、帯域幅は回線が運べるデータ量を表します。実際のスループットは経路全体や利用するサービス側の制約にも左右されます。レイテンシが低くてもダウンロードが速いとは限らず、ウェブページが開けても継続的な通信が安定するとは限りません。

クライアントの「レイテンシテスト」は、ICMP応答を測る場合もあれば、プロキシ経由で特定のURLにリクエストを送る場合もあります。測定方法が異なる結果はそのまま比較できず、接続先アプリの応答速度とも一致しません。タイムアウトは、設定された時間内に処理が完了しなかったことを示すだけです。原因は名前解決、接続、ハンドシェイク、リモート側の処理など、さまざまな段階にあります。

トラブルシューティングでは、ログがどの段階で止まっているかを確認します。ドメインの名前解決に失敗する場合はDNSを確認します。ハンドシェイクに失敗する場合は、プロトコル、証明書、システム時刻を確認します。接続後もデータが届かない場合は、ルールと接続先サービスの状態を調べます。一覧に表示される一つの測定結果だけで、回線全体を判断しないでください。

インポートからアクセスまでの確認手順

用語を実際の操作に当てはめると、「アカウントと設定 → ノード接続 → 通信の取り込み → 接続先へのアクセス」の順に確認できます。一度に変更する設定は一種類にし、元の設定も残してください。プロトコル、ノード、DNSを同時に変更すると、原因を特定できなくなります。

• ✅ ユーザーパネルでプランの状態と残りの通信量を確認し、プランの有効期限とクライアントのサブスクリプション更新日時を区別する。
• ✅ 信頼できる配布元からクライアントを入手し、対応する形式でサブスクリプションを取り込んで、ノード一覧が表示されることを確認する。
• ✅ 接続したい地域のノードを手動で選び、接続を開始して、ログに設定エラーや認証エラーが出ていないか確認する。
• ✅ ルールモードで対象のアプリにアクセスし、リクエストに適用されたポリシーと実際の出口を確認する。接続スイッチの状態だけで判断しない。
• ✅ 特定のアプリで問題が起きる場合は、システムプロキシ、アプリ内プロキシ、TUNによる取り込み状況を確認し、DNSとUDPの要件も調べる。
• ✅ 解決しない場合は、ユーザーパネルから問い合わせチケットを送り、OS、クライアントのバージョン、個人情報を隠したエラーメッセージを共有する。サブスクリプションURL全体は非公開にする。

VPNLetでは、月額サブスクリプションの通信量は利用開始日を基準に毎月リセットされます。通信量パックは使い切るまで利用でき、有効期限はありません。選ぶ前にプランと料金を比較し、回線の対象範囲は回線一覧で確認できます。接続の不具合と第三者サービスのアカウント制限は別の問題です。ユーザーパネルの問い合わせチケットを送る際は、具体的な症状を記載してください。

次の関係を覚えておけば十分です。サブスクリプションは設定を提供し、ノードは接続先を決め、回線は通信経路を表し、プロトコルは通信方法を定め、ルールはリクエストの行き先を決めます。DNSと通信の取り込みを別に確認すれば、クライアントの設定項目の多くを整理できます。