VPN初心者向け安全ガイド：アカウントとサブスクリプションURLの管理、公共Wi-Fiのリスクを解説

暗号化接続で守られる範囲

一般的なプロキシクライアントは、ルールで指定された通信を処理します。端末全体の通信が自動的に対象になるわけではありません。HTTPやSOCKSのシステムプロキシは、アプリ側の対応が必要な場合があります。TUNモードは仮想ネットワークインターフェースで通信を取り込みますが、実際の範囲はルーティング、アプリの除外設定、DNS設定によって異なります。モード名だけではプライバシー保護の状態は判断できません。

接続時の暗号化が主に保護するのは、端末と接続先サーバー間の通信です。HTTPSサイトではブラウザーとサイト間もTLSで保護されます。一方、暗号化されていないHTTPページでは、通信がプロキシサーバーを出た後に後続のネットワークから見える可能性があります。HTTPSを使っていても、悪意あるWebページは入力されたパスワードを収集できます。暗号化だけでは、決済相手が正規の事業者かどうかは確認できません。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICは、認証・暗号化・通信方式がそれぞれ異なります。VLESS自体は通信内容を暗号化しないため、実際の安全性は組み合わせるトランスポートのセキュリティ設定で判断してください。プロトコル名だけで安全と決めつけることはできません。IEPL専線、中継、直結は回線の構成を示すもので、Webサイトの本人確認やプライバシー監査を意味しません。

アカウントのパスワードとサブスクリプションURLの管理方法

管理画面のパスワードはアカウント管理に使い、サブスクリプションURLは回線設定の取得に使います。URLにはアカウントを識別するトークンが含まれることがあり、URLを持つ人は管理画面のパスワードを入力せずに設定を取得し、有効な接続情報を使える場合があります。そのため、サブスクリプションURLは公開してよい通常のURLではありません。サブスクリプションのQRコードも同じレベルの機密情報として扱いましょう。

パスワードマネージャーを使えば、他と使い回さない強力なパスワードを安全に保存できます。必要なアカウント情報を、保護されたメモに記録する方法もあります。VPNWhenの登録にメールアドレスは不要で、ユーザー名とパスワードで登録できます。そのため、ログイン情報は特に慎重に保管し、メールで復旧できると決めつけないでください。復旧方法は管理画面とサポートの案内を確認しましょう。

サブスクリプションURLをコピーした後は、クリップボードの履歴やデバイス間同期に注意してください。トラブル対応の際、URL全体を公開の掲示板に貼り付けてはいけません。クライアント画面を撮影する前に、アドレスバー、QRコード、サーバー編集画面、ログを確認しましょう。ユーザー名だけを隠しても、設定内の認証情報が見える場合があります。

クライアントへのインポートと更新時の確認リスト

クライアントはVPNWhenの管理画面にあるダウンロードページから入手してください。検索広告や見知らぬ添付ファイルからインストーラーを探すのは避けましょう。iOSを除き、ログインするとクライアントを取得できます。iOSでの入手条件は管理画面の表示を確認してください。サブスクリプションの取得にはログインが必要です。出所不明の公開サブスクリプションで自分の設定を置き換えないでください。

• ✅ クライアントが対応するプロトコルとサブスクリプション形式を確認します。インポートできない場合は、まず形式とバージョンを確認し、見知らぬサイトにURLを送って「修復」しないでください。
• ✅ インポートしたものがサブスクリプションURLかローカル設定ファイルかを確認します。サブスクリプションは配信元から更新できますが、ローカルファイルはサーバー側の変更が反映されない場合があります。
• ✅ 更新後にサーバーグループ、振り分けルール、DNS設定を確認します。サーバーが表示されても、古いルールが置き換わったとは限りません。
• ❌ エラーを消すために「証明書の検証をスキップ」を有効にしたり、見知らぬ案内に従って不明なルート証明書やデバイス管理設定をインストールしたりしないでください。

WindowsとmacOSでは、システムプロキシ、仮想インターフェース、ほかのネットワークツールとの競合を確認してください。iOSとAndroidでは、有効になっているネットワーク拡張機能やVPN設定が、意図したクライアントのものか確認します。Linuxでは、デスクトップのプロキシ設定とコマンドラインプログラムの環境変数が一致しているかも確認しましょう。ブラウザーでアクセスできても、ターミナル、ゲーム、バックグラウンド同期アプリが同じ経路を使うとは限りません。

サブスクリプションの更新頻度は、すべてのサービスに共通する決まりがあるわけではありません。回線の変更、インポートエラー、管理画面からの更新通知があった場合に、公式の案内に従って操作してください。何度更新しても、端末の証明書エラーや誤ったルーティングルールは直りません。再インストールの前に、問題の特定に役立つ情報を機密部分を隠して保存しておきましょう。

公共Wi-Fi：接続前と接続後の注意点

公共Wi-Fiのリスクは、通信を盗み見られることだけではありません。よく似たSSIDで誤ったネットワークに接続させられたり、認証ページを偽装されたりする可能性もあります。接続前に施設のスタッフへネットワーク名を確認し、同じ名前のアクセスポイントへ自動接続しないようにしましょう。利用後は自動接続をオフにするか、保存済みネットワークから削除してください。

クライアントの接続前に、Wi-Fiの認証ページが表示されることがあります。証明書のインストールやセキュリティプラグインのダウンロードを求められたり、インターネット接続に関係のないアカウントのパスワードを要求されたりした場合は、操作を中止して確認してください。先にネットワーク認証が必要な場合は、機密性の高い操作を避け、接続可能になってからクライアントを接続し、通信経路を確認しましょう。

ブラウザーに証明書の有効期限切れ、ドメイン不一致、接続の遮断などの警告が表示されたら、閲覧を続けるために無視してはいけません。HTTPSは通信を保護しますが、偽のドメインでも有効な証明書を取得できるため、URLも確認してください。端末のOSとブラウザーを最新の状態に保ち、公共ネットワークでは不要なファイル共有やネットワーク探索をオフにしましょう。決済や重要なアカウント操作には、信頼できるネットワークを優先してください。

クライアントが切断された後の通信が直接インターネットに出るかどうかは、クライアントとシステムの設定によって異なります。直接接続を防ぐ必要がある場合は、切断保護やシステムロック機能が実際にあり、有効になっていることを確認してから、接続を切って動作をテストしてください。機能名だけで判断してはいけません。

DNS漏えいと振り分けルールの確認方法

DNSはドメイン名をネットワーク上のアドレスに変換します。プロキシ経由にする想定のドメイン問い合わせが、引き続きローカルネットワークのDNSリゾルバーに送られると、そのネットワークから問い合わせ内容を確認できる場合があります。これが一般的なDNS漏えいの状態です。リゾルバーが問い合わせ先のドメインを確認できても、HTTPSページの本文を復号できるわけではありません。この2点は区別しましょう。

確認の前に、プロキシ経由にするアプリやドメインと、直接接続を許可する対象を明確にします。次にクライアントのDNSモード、ドメイン解決ログ、ルールの適用履歴を確認し、信頼できるDNSテストページも参考にします。テストページに表示されたリゾルバーが示すのは、そのテスト時の経路だけであり、すべてのアプリを完全に検証するものではありません。ブラウザー内蔵の暗号化DNSがシステム設定と異なる場合もあります。

振り分けルールでは、ドメイン、プロセス、最終的なデフォルトルールをあわせて確認してください。ルールの順序によって最終的な接続先が変わることがあり、範囲が広すぎる直接接続ルールは、対象アプリをプロキシ経由にしない可能性があります。IPv6のルーティングも想定どおり処理されているか確認しましょう。IPv4の接続先だけを調べても、ほかの経路が制御されているとは限りません。影響を理解しないままシステム機能を無効にせず、クライアントのドキュメントに沿って設定を調整し、再テストしてください。

まず機密情報を含まないページでブラウザーを確認し、その後、実際に使うアプリを個別にテストします。接続先の地域が想定どおりでも、そのリクエストに使われた接続先が合っていると分かるだけで、DNS漏えいがないことの証明にはなりません。ログとテスト結果が一致しない場合は、テスト条件を記録し、機密情報を隠したうえで管理画面のサポートチケットから問い合わせてください。

登録・支払い時に安易に入力しない情報

サイト内のリンクから管理画面を開き、ブラウザーに表示されたドメインと接続状態を確認してください。偽のサポートページにアカウントのパスワードを入力したり、「設定代行」「チャージ代行」を理由に見知らぬ人へサブスクリプションURLを渡したりしないでください。支払い前に、プラン名、金額、決済の流れが管理画面の内容と一致しているか確認しましょう。注文に関係のない情報を求められた場合は、いったん手続きを中断してください。

VPNWhenはAlipay、WeChat Pay、USDTに対応しています。具体的な支払い手順は管理画面の注文内容を確認してください。決済記録とネットワークのアクセス記録は別の種類の情報であり、特定の支払い方法が匿名性を保証するわけではありません。注文確認に必要な記録だけを保管し、サポートに問い合わせる際も問題の解決に必要な情報のみを伝えてください。決済アカウントのログインパスワード、秘密鍵、シードフレーズは送信しないでください。

返金条件も支払い前に確認しましょう。VPNWhenの規約では「初回の支払いから14日以内であれば、理由を問わず全額返金を申請できます」。申請は管理画面のサポート窓口から行ってください。返金条件があるからといって、アカウントや支払いの確認を省略してよいわけではありません。

情報漏えいが疑われる場合の対処手順

まず漏えいしたものがパスワード、サブスクリプションURL、設定一式のどれかを確認してください。公開したメッセージを削除するだけで終わりにしてはいけません。削除すれば拡散を抑えられますが、すでに保存された情報を取り戻すことはできません。まずアクセス手段を無効化し、その後、証拠を整理して端末を確認し、設定を復旧します。

1. パスワードが漏えいした場合：信頼できる端末とネットワークからパスワードを変更し、管理画面にセッション管理機能があれば、不審なセッションを終了します。他のサイトで同じパスワードを使っていた場合は、それぞれ別のパスワードに変更してください。
2. サブスクリプションURLが漏えいした場合：管理画面にリセットまたは無効化の項目がないか確認します。明確な手段が見つからない場合は、サポートチケットから古いURLと関連する接続情報を無効にする方法を問い合わせてください。
3. 設定ファイルやサーバー認証情報が漏えいした場合：サーバー側の認証情報が更新されたか確認してください。サブスクリプションURLを変更しただけでは、他者がすでにダウンロードしたサーバー設定を無効にできない場合があります。
4. 利用を再開する場合：有効なサブスクリプションを再インポートし、古い設定を削除して、ルールとDNSを再確認します。通信量に異常がないか確認し、時刻とエラー情報は機密部分を隠してサポートへ伝えてください。

管理画面のパスワードを変更するとサブスクリプションも無効になるかどうかは、サーバー側の仕様によって異なります。自動的に無効になると考えないでください。端末にマルウェアがある疑いがある場合は、先に端末とブラウザー拡張機能を確認してください。そうしないと、新しいパスワードやURLも再び漏れる可能性があります。日頃から認証情報の共有を避け、信頼できる入口から設定を取得し、ネットワークやルールを変更した後に実際の通信経路を確認することが大切です。