このVPN初心者向け安全ガイドでは、アカウント、サブスクリプションURL、公衆Wi-Fiの注意点を取り上げます。パスワードはログインに使い、サブスクリプションURLには接続情報が含まれる場合があります。公衆ネットワークでは、接続先と接続状態の確認も必要です。それぞれの違いを理解してから、何を保存・読み込み、問題が起きた際に何を無効化するか判断しましょう。
アカウントとサブスクリプションURLは別々に管理
管理画面のパスワードとサブスクリプションURLは、用途の異なる認証情報です。前者は通常アカウント管理に使い、後者はクライアントに接続設定を取得させるために使います。管理画面のパスワードを知らなくても、有効なサブスクリプションURLを持つ人が、そこに含まれるノードのアドレスや認証情報を取得できる場合があります。通常のダウンロードURLとは異なり、機密情報として管理してください。
サブスクリプションURLでは、パスやクエリパラメーターにアクセストークンが含まれることがあります。HTTPSは通信中の保護には役立ちますが、受信者によるURLの利用や、チャット履歴・ブラウザー同期・スクリーンショットへの保存までは防げません。QRコードも情報を伝える形式の一つです。サブスクリプションのQRコードを公開グループに投稿することには、URLを直接共有する場合と同様のリスクがあります。
| 情報の種類 | 主な用途とリスク | 保管方法 |
|---|---|---|
| 管理画面のパスワード | ログインに使用。使い回すと、他サイトでの漏えいによる影響が広がる | 他と異なるパスワードを使い、信頼できるパスワードマネージャーに保存する |
| サブスクリプションURL・QRコード | 接続設定一式を取得できる場合がある | 信頼できるクライアントだけに渡し、公開ドキュメントには記載しない |
| ノード設定とバックアップ | ノードの認証情報やサブスクリプションの取得元が含まれる場合がある | ファイルへのアクセスを制限し、クラウド同期は慎重に有効にする |
| 診断ログ・スクリーンショット | トークン、アクセス先ドメイン、ローカルパスが漏れる場合がある | 内容を確認して機密情報を隠し、必要な部分だけ提出する |
クライアントが正常に接続できても、アカウント情報が適切に保管されているとは限りません。端末の変更やOSの再インストール、ローカル設定の紛失に備え、認証情報を安全な場所から復元できるか確認しておきましょう。唯一のバックアップを同じ端末のメモに置いたり、相談のために設定一式を見知らぬ人へ送ったりしないでください。
アカウント設定：パスワードと情報を必要最小限に
パスワードは使い回さず、十分な長さで推測されにくいものにしましょう。よく使うパスワードの末尾にサイト名を足すより、パスワードマネージャーで生成・保存するほうが安全です。管理画面のパスワードをメールやショッピング、SNSのアカウントと共用しないでください。他サイトで漏えいした認証情報が、ログイン試行に悪用されるおそれがあります。
情報を入力する前に、各項目の用途を確認しましょう。サービスの利用に必要な情報だけを提供し、ニックネームやメモ、問い合わせフォームに本名、本人確認書類、無関係な業務情報を書き加えないでください。アカウントの復旧方法もあらかじめ確認しておきましょう。メールを使った復旧に対応していないサービスでは、認証情報を適切に保管し、公式の復旧手順を把握しておくことが特に重要です。ログインできなくなってから窓口を探すのは避けましょう。
- ✅ 正規の公式サイトから管理画面を開き、アドレスバーでドメイン全体を確認する。
- ✅ 管理画面には専用のパスワードを設定する。追加認証が利用できる場合は、仕組みを確認して復旧情報を安全に保管する。
- ✅ 共有端末を使った後はアカウントからログアウトし、パスワードやセッションを保存しない。
- ❌ サポート担当者を名乗る見知らぬ相手に、パスワード、サブスクリプショントークン、復旧情報を送らない。
HTTPSの鍵マークは通信が暗号化されていることを示すもので、サイトの信頼性を保証するものではありません。偽サイトでも有効な証明書を取得できる場合があります。再ログインを求めるメッセージを受け取ったら、メッセージ内の見知らぬリンクから認証情報を入力せず、保存済みの公式サイトから自分でアクセスして確認しましょう。
クライアントの導入：配布元と権限を確認
クライアントはサブスクリプションの認証情報を扱い、通信の経路にも影響します。サービスのヘルプページから案内されているプロジェクト公式の配布先、または正規のアプリストアから入手し、プロジェクト名、開発元、対応バージョンを確認しましょう。検索結果の順位だけを頼りにダウンロードしたり、配布元が不明な改変版をインストールしたりしないでください。手順は見知らぬ人のスクリーンショットをまねるのではなく、使い方ガイドで確認しましょう。
WindowsやmacOSのクライアントには、システムプロキシを使うものと、仮想ネットワークアダプターで通信を処理するものがあります。システムプロキシが主に影響するのは、システムプロキシに従うアプリです。端末上のすべての通信がプロキシ経由になるわけではありません。モバイル端末では、システムのVPN設定を許可して通信経路を作る場合がありますが、許可画面が表示されたからといってクライアントが信頼できるとは限りません。Linuxでコマンドライン設定を使う場合は、ほかのローカルユーザーが鍵を読めないようファイル権限にも注意してください。
読み込む前に、クライアントが設定のプロトコルと形式に対応しているか確認しましょう。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICは、自由に置き換えられる名称ではありません。いずれか一つに対応していても、別のプロトコルのサブスクリプションをそのまま読み込めるとは限りません。また、プロトコル名だけでは安全性の範囲を判断できません。たとえばVLESS自体にはペイロード暗号化がないため、実際の設定ではTLSなどの通信保護を含めて確認する必要があります。
読み込み後は、リモートルール、スクリプト、追加のサブスクリプションが含まれていないか確認しましょう。ノード設定と一緒に提供されていても、信頼できるとは限りません。ルート証明書のインストールや証明書検証の無効化を求められたら、いったん中止して目的を確認してください。通常のプロキシ接続で、信頼されたルート証明書を使ってブラウザーのHTTPS通信を復号する必要はありません。
公衆Wi-Fi：接続の前後に確認
公衆Wi-Fiのリスクは、ネットワークにパスワードが設定されていないことだけではありません。正規の接続先に似せた偽アクセスポイント、改ざんされた認証ページ、ローカルネットワーク内の悪意ある端末も、通信に影響を与える可能性があります。接続前に施設の担当者へネットワーク名を確認し、不要な自動接続をオフにしましょう。OSに公衆ネットワーク用の設定がある場合は、ネットワーク探索とファイル共有も無効にしてください。
ウェブ認証が必要なネットワークでは、プロキシ接続を確立する前にポータルページを開く必要がある場合があります。このときは接続に必要な操作だけを行い、見知らぬポータルページに他サイトのパスワードを入力しないでください。証明書のインストールや不明なプログラムのダウンロードを求められたり、ブラウザーに証明書の警告が繰り返し表示されたりした場合は、警告を無視し続けるのではなく、操作を中止してネットワークを確認しましょう。
信頼できる暗号化通信は、ローカルネットワークから通信内容をのぞき見されたり改ざんされたりするリスクを抑えられますが、HTTPS、サイトの本人確認、端末の安全性に取って代わるものではありません。プロキシを使うと、信頼の一部はローカルネットワークからサービスの出口へ移ります。フィッシングサイト、悪意ある添付ファイル、ブラウザー拡張機能による情報窃取のリスクは残ります。
- 接続先を確認し、必要なネットワーク認証を済ませる。認証前に機密性の高い操作をしない。
- 信頼できるクライアントを起動し、必要な通信が想定した経路を通ることを確認してからサービスにアクセスする。
- サイトのドメインと証明書の警告を確認する。異常があればパスワードや決済情報を入力しない。
- 利用後はネットワークを切断し、自動接続をオフにする。必要に応じて保存済みの公衆ネットワークを削除する。
端末のスリープ、アクセスポイントの切り替え、再接続などで通信状態が変わることがあります。機密情報を扱う場合は、その都度接続を確認し、以前の「接続済み」表示だけを根拠にしないでください。クライアントに通信遮断機能がある場合は、仕組みを理解してから有効にし、接続が切れたときに意図しない直接接続を防げるか実際にテストしましょう。
ルーティングとDNS：接続後に確認すること
「ウェブページが開く」ことからわかるのは、あるリクエストが成功したということだけです。ルールモードでは一部のサイトが直接接続される場合があり、全体モードでもアプリの除外設定、システムコンポーネント、クライアントの実装が影響します。特定のアプリがプロキシを経由しない場合は、システムプロキシに従うアプリか、直接接続ルールに該当しているか、仮想ネットワークアダプター方式が有効かを確認しましょう。ノードを何度も切り替えるだけでは解決しないことがあります。
DNSはドメイン名をIPアドレスに変換する仕組みです。DNSリークとは一般に、DNS問い合わせが想定した保護経路を通らず、ローカルネットワークや予期しないDNSリゾルバーに送られることを指します。ブラウザーの暗号化DNS、OSの名前解決、クライアントのDNS設定がそれぞれ有効な場合があるため、実際の設定を合わせて確認してください。検査ページに見慣れないDNSリゾルバーが表示されても、それだけでリークがあったとは断定できません。利用中のサービスの上流DNSが表示されている可能性もあります。
まずネットワーク診断で通信の出口を確認し、クライアントの接続ログやルールの適用状況と照らし合わせましょう。ブラウザーと実際に使うアプリをそれぞれテストしてください。端末が異なるアドレスファミリーを同時に使う場合は、それぞれが想定した経路を通っているかも確認します。一度の検査結果がずっと有効とは限りません。ルールの更新、モードの切り替え、ネットワークの変更後は再確認しましょう。
漏えいが起きたら、認証情報を無効化してから整理
URLの公開、設定の誤送信、管理画面への不審なログインに気づいたら、まずどの認証情報が漏れた可能性があるか確認しましょう。メッセージを削除しても、すでにコピーされた情報までは回収できません。通信量に異常が見えてから対処するのではなく、早めにアクセス手段を無効化してください。
- 管理画面を保護する。信頼できる端末から公式サイトにアクセスしてパスワードを変更し、セッション管理機能があれば見覚えのないセッションを終了します。同じパスワードを使っているほかのアカウントも、それぞれ変更してください。
- サブスクリプションを無効化する。管理画面にリセットや無効化の機能があるか確認してください。明確な操作方法が見つからない場合は、公式サポート窓口に問い合わせましょう。ログインパスワードを変更しても、サブスクリプショントークンが同時に変更されるとは限りません。
- ノードの認証情報を確認する。リセットによってサブスクリプションURLだけが変わるのか、以前のノード認証情報も無効になるのか確認しましょう。すでにダウンロード済みの設定が引き続き使えるかどうかは、サービス側の無効化方式によって異なります。
- 自分の端末の設定を更新する。古いサブスクリプションを新しい設定に置き換え、不要になったファイル、QRコード、同期済みの複製を削除します。サービスで確認できる場合は、古いURLと設定が無効になっていることも確認しましょう。
- 漏えい元を調べる。共有ドキュメント、スクリーンショット、ブラウザー拡張機能、オンライン変換ツールを確認し、新しい認証情報が同じ経路から再び漏れないようにしましょう。
サポートに問い合わせる際は、OS、クライアント名、エラー内容、発生時の状況を説明してください。ログは関連する部分だけを共有し、サブスクリプションURL全体、認証情報、アカウント識別情報、無関係なアクセス履歴は隠しましょう。設定一式を公開して他人に「確認」してもらうのは避けてください。追加情報が必要な場合は、ヘルプページで公式の問い合わせ窓口を確認できます。
サービスの「ログを保存しない」という説明はプライバシー方針に関するものであり、端末、ブラウザー、アクセス先のウェブサイト、第三者ツールに履歴が残らないことを意味しません。日常的な対策として有効なのは、パスワードを使い回さないこと、認証情報の共有を制限すること、信頼できるクライアントを使うこと、ネットワーク変更後に実際の通信経路を確認することです。特定のプロトコル名や一度の検査結果に頼るのではなく、情報が漏れる可能性を継続的に減らしましょう。