VPN初心者向け安全ガイドの要点は、アカウントのパスワードとサブスクリプションURLをどちらも認証情報として管理することです。公共Wi-Fiでは、接続先を確かめてから暗号化通信を確認しましょう。VPNが保護するのはトンネルを通る通信です。フィッシングサイトの判別や、自分で入力したパスワードの保護、マルウェアに感染した端末の修復はできません。
アカウントとサブスクリプションURL：入口は別でも、同じレベルで管理
アカウントのパスワードは通常、サービスの管理画面へのログインに使います。一方、サブスクリプションURLはクライアントに回線設定を取得させるために使われます。URLには、アカウントの識別や設定の取得を許可するトークンが含まれる場合があります。管理画面のパスワードを知らなくても、URLを持つ人が設定を取得できることがあるため、一般的なウェブサイトのURLのように気軽に転送してはいけません。
認証方式はサービスによって異なります。何度でも更新情報を取得できるURLもあれば、接続に必要な認証情報が設定に含まれている場合もあります。URLにパスワードがそのまま記載されていないからといって、機密性が低いとは限りません。「URLがパスワードらしく見えるか」ではなく、「第三者が入手した場合に何ができるか」を基準に判断しましょう。
| 情報 | 主な用途とリスク | 推奨する管理方法 |
|---|---|---|
| アカウントのパスワード | 管理画面へのログインに使用。プラン、デバイス、サブスクリプションの管理に関わる場合があります | 他のサービスと異なるパスワードを使い、信頼できるパスワードマネージャーに保存する |
| サブスクリプションURL | 回線設定の取得に使われ、流出すると第三者に利用されるおそれがあります | 信頼できるクライアントにのみ取り込み、公開チャットやウェブページには載せない |
| 設定ファイル・QRコード | ノードのアドレス、認証情報、ルールが直接含まれている場合があります | 機密性の高い認証情報として管理し、公開の画像認識・変換ツールにはアップロードしない |
| 診断ログ・スクリーンショット | トークン、アクセス先ドメイン、デバイスのパス、アカウント情報が含まれる場合があります | 内容を確認してマスキングしてから、公式サポート窓口へ送る |
ブラウザーの履歴、クリップボードの同期、クラウドメモ、チャット履歴にはURLのコピーが残ることがあります。コピー後は、機密情報を検索欄やチャット画面に貼り付けないようにしましょう。クラウド型パスワードマネージャーを使う場合は、マスターパスワードを保護し、ログイン中のデバイスも確認してください。「あとで見つけやすいように」と、アカウント名、パスワード、完全なサブスクリプションURLを公開共有ドキュメントにまとめてはいけません。
クライアントへの取り込み：入手元を確認してからURLを渡す
サブスクリプションの取り込みとは、アクセス設定をプログラムに処理させることです。クライアントは、サービスの管理画面にあるリンクか、ソフトウェアプロジェクトの公式配布元から入手しましょう。アプリ名、配布元、ダウンロード先のドメインを確認してください。検索広告に表示された同名のアプリや、チャットで共有された改変版のインストーラーは、アイコンが似ているだけで信用してはいけません。
VPNWillのクライアントへのリンクはユーザーパネルにあります。利用登録にはユーザー名とパスワードを使い、メールアドレスは不要です。ほかのツールでサブスクリプションを扱う場合も、入手元と権限の範囲を事前に確認してください。本来不要な個人情報を、第三者のウェブページに入力する必要はありません。
- 管理画面からサブスクリプションをコピーする。現在開いているページのドメインを確かめてから、URLをコピーします。見知らぬ人から送られた「修復用リンク」からアカウントにログインしてはいけません。
- クライアント内で取り込む。アプリ内のサブスクリプション管理機能を使い、取り込み先を確認します。完全なURLを、よく知らないオンライン変換サイトに渡してはいけません。
- 設定内容を確認する。プロキシモード、ルールの取得元、DNS設定、自動更新先を確認します。内容のわからないスクリプトや証明書を求められた場合は操作を中止し、公式の説明を確認してください。
- 実際にアクセスできるか確認する。サブスクリプションを更新したら、回線を選んで対象のアプリをテストします。接続できない場合は、まずクライアントのエラーメッセージを確認してください。証明書の検証を無効にしたり、システム権限を広げたりするのは避けましょう。
クライアントによって、対応するサブスクリプション形式やプロトコルは異なります。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICはそれぞれ異なるプロキシプロトコルまたは方式であり、すべてのクライアントで相互に取り込めるわけではありません。取り込みエラーは形式やプロトコルの非互換が原因の場合もあります。URLが無効だと決めつけたり、安全確認を緩めて無理に接続したりしないでください。
公共Wi-Fiの対策：ネットワークを確認してから使う
公共Wi-Fiのリスクは、「通信内容を他人に見られるか」だけではありません。偽のアクセスポイントへの接続、偽のログインページへの誘導、端末で不要な共有サービスが公開されることも考えられます。接続前に施設へネットワーク名と接続手順を確認し、不要な自動接続はオフにしましょう。似たネットワーク名だけでは安全だと判断できず、インターネットに接続できても施設が管理するアクセスポイントとは限りません。
ウェブ認証が必要なネットワークでは、トンネルを確立する前にポータルページでの認証が必要な場合があります。その際は必要な接続手続きだけを行い、見知らぬポータルにサービスの管理画面、仕事用アカウント、決済情報のパスワードを入力しないでください。ルート証明書や構成プロファイル、不明なアプリのインストールを求められたら、用途をネットワーク提供元に確認しましょう。通常の接続手順だと思い込んで操作してはいけません。
- ✅ 接続前にアクセスポイント名を確認し、接続後は不要なファイル共有とデバイス検出をオフにする。
- ✅ クライアントが接続済みであることを確認し、現在のルールがこれから使うアプリにも適用されているか確認する。
- ✅ ブラウザーで完全なドメイン名とHTTPSの状態を確認する。証明書の警告が表示されたら、機密情報の入力を中止する。
- ❌ ウェブページに鍵のアイコンが表示されていても、運営者が正規だとは限りません。フィッシングサイトも有効なHTTPS証明書を使うことがあります。
- ❌ 接続に問題が起きても、見知らぬ手順に従ってルート証明書をインストールしたり、証明書の検証を長期間オフにしたりしない。
HTTPSはブラウザーと接続先サイトの間の通信を保護します。VPNトンネルは、トンネルに入った端末の通信がサービスの出口に届くまでの区間を保護します。役割は異なりますが、併用できます。アプリケーション層で暗号化されていない通信は、VPNに接続しただけで出口から接続先サーバーまで同じように保護されるわけではありません。
公共ネットワークでは、機密性の高い操作をいったん中断するほうが、何度も接続を試すより安全な場合があります。トンネルが切れた後にアプリが直接通信を続けるかどうかは、クライアントとシステムの設定によります。切断後の直接通信を防ぎたい場合は、クライアントに該当する遮断機能があるか確認し、機密情報を使わないテスト環境で動作を確かめてください。機能名だけを信頼しないことが大切です。
ルール分岐とDNS：接続成功だけでは全通信が保護されるとは限らない
ルールによる通信の振り分けでは、接続先ごとに異なる経路を使います。一部は直接接続し、一部はプロキシ経由、一部は遮断されることがあります。そのため、ブラウザーでアクセスできても、仕事用アプリが同じ経路を使っているとは限りません。システムプロキシの影響を受けるのは、基本的にその設定に従うアプリです。TUNやシステムVPNによる通信の取り込み範囲は、プラットフォーム、ルーティング設定、クライアントの実装によって異なります。
DNSはドメイン名をIPアドレスに変換します。関連する問い合わせをトンネル経由にしたいのに、ローカルネットワークで名前解決されている場合は、DNSの経路を確認しましょう。DNSリークかどうかは、想定しているポリシーと照らし合わせて判断します。ルールで意図的にローカルのDNSを指定している場合まで、すべて異常とみなすべきではありません。ブラウザーの暗号化DNS設定がクライアントのポリシーに影響することもあるため、あわせて確認してください。
確認する際は、接続先サイトから見える出口情報とDNSテストの結果をそれぞれ調べ、クライアントのログに記録されたルール適用状況と照らし合わせます。テストサイトで確認できるのは、そのテスト時の通信経路だけで、すべてのアプリを示すものではありません。「合格」と表示させるために、サブスクリプション、設定ファイル、アカウントのパスワードを不明な診断サイトへ送信しないでください。
IPv6のルーティング、ブラウザーのリアルタイム通信機能、アプリ独自の接続方式もテスト結果に影響することがあります。異なるアドレスが表示されたら、すぐに公開IPアドレスの漏えいと判断せず、種類と取得元を確認しましょう。問題を調べる場合は、システムとクライアントのバージョン、接続モード、再現手順を記録してください。「接続済み」と表示された画面だけを送るより役立ちます。
プラットフォームの権限と回線の種類：安全性のランクと混同しない
WindowsとmacOSでは、システムプロキシと仮想ネットワークインターフェースで通信を処理する範囲が異なります。アプリによっては、独自のプロキシ設定を使う場合もあります。macOSのクライアントではネットワーク拡張の許可が必要なことがありますが、関連する権限をすべて許可してよいという意味ではありません。公式の説明を一つずつ確認し、通信に関係しない画面収録、アクセシビリティ、ファイルアクセスの要求には特に注意してください。
iOSではアプリの入手元とVPN構成の説明を確認し、見知らぬ構成プロファイルを通常のサブスクリプションとして扱わないでください。AndroidではシステムのVPN許可によりアプリが対象のネットワーク通信を処理できますが、それだけでアプリの信頼性が証明されるわけではありません。LinuxのコマンドラインツールとGUIクライアントではルーティング方式が異なる場合があります。取り込み後も、DNSとシステムサービスの実際の設定を確認してください。
IEPL専線、中継、直接接続は、主に通信経路や伝送方式を表すもので、アカウントの安全性を認証するものではありません。専線でもフィッシングページを見分けることはできず、中継はエンドツーエンド暗号化と同じではありません。回線を比べるときは接続先への到達性や安定性を、安全性を比べるときはソフトウェアの入手元、プロトコル設定、証明書の検証、認証情報の管理を確認しましょう。経路の名称だけで全面的に保護されると思い込まないことが重要です。
URLが漏れた可能性がある場合：順番にアクセス手段を無効化する
通信量に異常がある、完全なURLが公開ページに掲載されている、設定を見知らぬ人に誤送信したといった場合は、メッセージを削除するだけでなく、まず第三者が使い続けられないようにしましょう。チャット履歴を削除しても、相手が保存したコピーは消せません。管理画面のパスワードを変更しても、古いサブスクリプションや接続用の認証情報が無効になるとは限りません。
- 関連する認証情報をリセットする。公式の管理画面で、サブスクリプションのリセットや認証情報のローテーション機能を探します。影響範囲がわからない場合は、公式サポート窓口で確認してください。
- 古い設定が無効になったか確認する。サブスクリプションURLをリセットしても、設定の再取得だけが止まり、すでにダウンロードした接続用認証情報は無効にならない場合があります。サービスの仕様に沿って確認してください。
- 自分のクライアントを更新する。有効なサブスクリプションを再度取り込み、古い設定や不要なコピーを削除して、誤って使わないようにします。
- アカウントとデバイスを確認する。パスワードも流出した場合は、他のサービスで使っていないものに変更し、対応していれば不審なセッションを終了します。ほかのアカウントで古いパスワードを使い回していないかも確認してください。
- 公開された情報を削除する。公開添付ファイル、共有ドキュメント、スクリーンショットを削除し、残ったコピーの処理を各プラットフォームに依頼します。ただし、削除は認証情報の無効化の代わりにはなりません。
サポートに連絡する際は、発生時刻、エラーメッセージ、機密部分を隠したスクリーンショットを伝えると役立ちます。公開コメントに完全なサブスクリプションURLを貼り付けないでください。診断に機密性の高い設定情報が必要な場合は、送信先が公式か、必要な情報の範囲はどこまでかを先に確認しましょう。アカウントの管理権限に関わる問題は、信頼できるデバイスから対応してください。
日々の確認：安全な使い方を習慣にする
日々の管理で、設定をすべて頻繁に変更する必要はありません。システムと信頼できるクライアントを更新し、使っていない設定を定期的に削除します。ログを共有する前に内容を確認し、デバイスを変更したら古いデバイスに認証情報が残っていないか調べましょう。強そうなプロトコル名を探し続けるより、こうした対策のほうが直接的です。
サービスのプライバシーポリシーを読むときは、収集する情報、保存の目的、適用範囲を分けて確認しましょう。「ノーログ」は具体的な定義を確認すべき方針の表現であり、ブラウザーの履歴、接続先サイトのログイン履歴、端末上のログまで同時に消えるという意味ではありません。VPNを使っても、ログインアカウント、Cookie、デバイス情報によるウェブサイトの識別が自動的になくなるわけではありません。