VMess
VMessはProject Vエコシステムのプロキシプロトコルです。認証とデータ保護の仕組みを備え、サーバー設定には通常UUIDなどのパラメーターが含まれます。クライアントとサーバーで認証方式とトランスポート設定を合わせる必要があり、端末の時刻が大きくずれていると接続に失敗することもあります。設定をインポートできたことは、クライアントが内容を認識したという意味であり、サーバーが利用可能とは限りません。
用語クイックリファレンス · 27項目
V2Ray用語集
プロトコル、コア、サブスクリプション、ルーティング
まず概念が属するレイヤーを整理し、クライアントの設定項目と照らし合わせましょう。プロトコルは通信方法、コアは接続処理、クライアントは設定管理を担います。サブスクリプションはサーバー情報を提供し、ルーティングとDNSは通信や名前解決の処理方法を決めます。
下のカテゴリから移動できます。各用語の見出しはページ内リンクとして参照できます。実際の設定を始める方は入門ガイドを、ルールを調整する方は応用設定マニュアルをご覧ください。
サブスクリプション → 設定
ルール → アウトバウンド
DNS → 名前解決
接続の仕組み
プロトコルとトランスポート
プロキシプロトコル、データの運搬方式、セキュリティ機能を分けて理解しましょう。同じプロトコルでも異なるトランスポート方式を組み合わせられますが、通信する両端で方式とパラメーターを一致させる必要があります。
VLESS
VLESSはUUIDで認証する軽量なプロキシプロトコルです。ペイロード自体は暗号化せず、通常はTLSやREALITYなどのセキュリティ機能と組み合わせて設定します。パラメーターを確認する際は、プロトコル、トランスポート方式、セキュリティ設定をそれぞれ照合しましょう。クライアントがVLESSリンクを認識しても、使用するコアがリンク内のすべての拡張パラメーターに対応しているとは限りません。
Trojan
Trojanは通常TLS上で動作し、プロキシプロトコルの認証にパスワードを使用します。パスワードとTLS証明書の検証はそれぞれ役割が異なり、正しいパスワードを入力してもサーバーの本人確認にはなりません。接続を調べる際は、パスワードだけを何度も変更せず、サーバーアドレス、ポート、サービス名も個別に確認しましょう。
REALITY
REALITYはXrayエコシステムのトランスポート保護機能で、VLESSと組み合わせて使われることが多く、独立したサブスクリプション形式ではありません。クライアントの公開鍵、サービス名、shortIdなどをサーバー側の設定と一致させる必要があり、利用可否はコアのバージョンにも左右されます。インポート後に未対応パラメーターが表示された場合は、セキュリティ項目をむやみに削除して接続を試すのではなく、まずコアの対応状況を確認してください。
トランスポート層
クライアント設定でいうトランスポート層は、TCP、WebSocket、gRPCなど、プロキシのデータを運ぶ方式を指します。ネットワーク階層モデル上の特定の層だけを意味するものではありません。VMessやVLESSなどのプロキシプロトコルは、コアの実装に応じて異なる運搬方式と組み合わせられます。パス、Host、サービス名などは各トランスポートの設定項目であり、方式が異なる場合にそのまま流用することはできません。
TLS
TLSはネットワーク接続の認証、暗号化、完全性を保護し、クライアントは通常、証明書とサービス名を使って接続先を確認します。接続先アドレスと証明書の検証に使うサービス名は異なる場合があるため、サーバー側から指定された設定を入力してください。証明書エラーは、名前の不一致や証明書の期限切れ、システム時刻の異常などで発生します。検証を無効にすると安全性が損なわれるため、通常の対処法として使わないでください。
インターフェースと実行プログラム
コアとクライアント
GUIクライアントがサブスクリプションや設定を管理し、コアが実際の接続を処理します。機能を使えるかどうかは、クライアントに設定項目があるか、コアが対応しているか、設定が正しいかをあわせて確認してください。
V2Ray
V2Rayは通常、Project Vエコシステムのネットワークプロキシコアを指し、関連技術の総称として使われることもあります。コアプログラムは設定を読み込み、インバウンド、ルーティング、アウトバウンドを処理します。GUIはクライアントが提供します。「V2Rayの設定」と言われたら、コアのJSON設定、単一の共有リンク、クライアント用サブスクリプションURLのどれを指すのか確認しましょう。それぞれインポート先が異なります。
V2Fly
V2FlyはV2Rayコアを中心に保守・開発を行うコミュニティプロジェクトです。ドキュメントでは、そのコアをv2flyコアと呼ぶ場合もあります。GUIクライアントとは別のレイヤーのソフトウェアであり、クライアントとコアの更新時期が一致するとは限りません。プロトコルや設定項目が使えるかどうかは、コアのバージョンとクライアントの対応状況を確認してください。
Xray
XrayはV2Rayエコシステムから派生したコアプロジェクトで、独自のプロトコル、トランスポート、セキュリティ機能を備えています。V2Flyと共通の基盤を持ちますが、すべての設定を相互に使えるわけではありません。REALITYなどを利用する場合は、クライアント名にV2Rayが含まれるかではなく、使用するコアが対応しているかを確認しましょう。
v2rayN
v2rayNはWindows、macOS、Linux向けのGUIクライアントで、サブスクリプショングループ、サーバー、ルーティング設定、コアプロセスを管理できます。デスクトップ版にはクロスプラットフォームのUIがあり、Windows向けには従来の画面を維持したWPF版も用意されています。画面構成はバージョンによって異なる場合があります。インストーラーを選ぶ際はOSとCPUアーキテクチャを確認し、機能の詳細は使用するコアに応じて判断してください。
v2rayNG
v2rayNGはXrayコアを使用するAndroid向けGUIクライアントです。サブスクリプションのインポート、サーバー選択、ルーティング設定などを行えます。サービスの起動時には通常、OSのVPN権限が必要です。許可を与えると、システムの仕組みを通じてクライアントが対象の通信を受け取れるようになりますが、サーバーへの接続成功を意味するわけではありません。動作を確認するには、選択中のサーバー、接続ログ、実際のアクセス結果も確認してください。
v2flyNG
v2flyNGはV2Flyコアを使用するAndroid向けGUIクライアントで、コアの互換性に応じた代替候補です。操作方法はv2rayNGと似ていますが、基盤となるコアの対応範囲は同じとは限りません。サブスクリプションを移行する前に、使用中のプロトコルやトランスポート設定に対応しているか確認してください。選び方は3つのクライアントを比較をご覧ください。
設定情報の入手先
サブスクリプションとノード
サブスクリプションは設定の取得元、ノードは接続パラメーター、テスト結果はその時点の測定記録です。それぞれ「設定をどう更新するか」「どこに接続するか」「今回アクセスできるか」を示します。
サブスクリプション
サブスクリプションは、クライアントがサーバー設定の一覧を取得・更新するためのURLまたはデータです。エンコードされたテキストなど、クライアントが対応する形式で提供されます。追加した後に更新操作が必要な場合があり、更新に成功してもすべてのサーバーに接続できるとは限りません。URLに接続情報が含まれることがあるため、スクリーンショットやログを共有する際は、URL全体と機密パラメーターを隠してください。
ノード
ノードは、プロキシ接続に使うサーバー設定一式です。通常、アドレス、ポート、認証情報、プロトコル、トランスポート設定などを含みます。一覧に表示される名前は識別用のメモにすぎず、サーバーの場所や品質を保証するものではありません。ノードを選んだ後にサービスを起動し、アプリの通信が実際にクライアントへ入っていることを確認して、初めて一連の接続が成立します。
共有リンク
共有リンクは、サーバー設定1件をコピーしてインポートしやすいテキスト形式にしたものです。一般的な形式にはvmess://、vless://、trojan://があります。共有リンクは通常、設定を1件インポートするために使います。サブスクリプションURLは設定一覧を取得し、後から更新するためのものです。リンクにはパスワードやUUIDが含まれる場合があるため、接続情報として扱い、公開ログに貼り付けないでください。
レイテンシ
レイテンシは、指定した方法で測定した応答時間です。数値の意味は、テストツールがどの接続段階まで測定するかによって異なります。TCPポートの測定と、プロキシ経由でWebページにアクセスする測定は同じではありません。テスト先、タイムアウト設定、ローカルネットワークも結果に影響します。比較する場合は、できるだけ同じ方法とテスト先を使いましょう。レイテンシが低くても、通信速度や長時間接続の安定性が高いとは限りません。
実接続レイテンシ
実接続レイテンシは通常、選択したサーバー経由でテスト先にアクセスしたときの所要時間を指し、単純なポート測定より多くの処理を含みます。どの段階まで測定するかは、クライアントの実装とテスト先によって異なり、DNS、ハンドシェイク、接続先サイトの応答にも左右されます。タイムアウトしてもサーバーがオフラインとは限らず、テスト先に到達できない可能性もあります。テストに成功しても、利用するアプリでの動作確認の代わりにはなりません。
接続をどの出口へ送るか
ルーティングとトラフィック分岐
ルールの優先順位やアウトバウンドを考える前に、まず通信がクライアントへ入っていることを確認しましょう。ルール内のタグは設定を参照するための名前であり、名前だけで処理が実行されるわけではありません。
ルーティングルール
ルーティングルールは、ドメイン、IP、ポートなどの条件に基づいて、接続をどのアウトバウンドで処理するか決めます。通常は上から順に評価され、最初に一致したルールが適用されます。範囲の広いルールを先に置くと、後続の細かいルールが一致しないことがあります。未一致時の動作は、コアやクライアントが生成する設定によって異なります。すべての未一致通信がプロキシ経由になると決めつけず、デフォルトのアウトバウンドを確認してください。
トラフィック分岐
トラフィック分岐とは、接続をルールに基づいてプロキシ、直接接続、ブロックなどの出口へ振り分ける処理です。たとえば、LAN内のアドレスは直接接続し、指定したドメインはプロキシ経由にできます。これは通信がコアに入った後の選択方法であり、すべてのアプリの通信を自動的にコアへ取り込むものではありません。アプリがシステムプロキシを経由しない場合、ルーティングルールだけを変更しても影響しないことがあります。まず通信の入口を確認してください。
GeoIP
GeoIPはカテゴリ別に整理されたIPアドレスの集合で、ルーティングではgeoip:privateなどの形式で参照できます。照合の基準は実際の宛先IPとデータファイルの内容であり、ドメイン名の文字列やサーバーのメモではありません。アドレスの割り当てやデータの更新に伴って集合の内容が変わることがあります。使用前に、現在のデータファイルに参照するカテゴリが含まれているか確認してください。
GeoSite
GeoSiteはカテゴリ別に整理されたドメインルールの集合です。たとえばgeosite:cnやgeosite:category-ads-allのように指定して、多数のドメインを使うルーティング設定を簡潔にできます。カテゴリの対象範囲はデータファイルによって異なり、含まれるドメインがすべて同じ通信特性を持つとは限りません。ルールが一致するかどうかは、コアがドメイン情報を取得しているか、先行するルールがすでに一致しているかにも左右されます。
アウトバウンド
アウトバウンドは、コアが接続を処理するときに使う出口設定です。プロキシサーバー、本機からの直接接続、接続の拒否などを指定できます。proxy、direct、blockは一般的なタグ名で、実際の動作はタグに紐づく設定によって決まります。ルールから参照する際は、定義済みアウトバウンドの名前と一致させてください。ルールに名前を記入するだけでは、出口は作成されません。
通信の入口と名前解決の経路
DNSとネットワークモード
ネットワークモードはクライアントに取り込む通信を決め、DNSはドメインの名前解決方法を決めます。両者は影響し合いますが、片方を有効にしても、もう片方の設定が自動で完了するわけではありません。
DNS
DNSはドメインをIPアドレスなどのレコードに変換し、アプリが接続先を見つけられるようにします。OS、ブラウザー、プロキシコアがそれぞれ別のリゾルバーを使う場合があり、1か所の設定を変更しても、他の問い合わせ経路が変わるとは限りません。調査する際は、まずどのソフトが問い合わせを行い、どの出口を通るかを確認し、その後でキャッシュや応答を調べましょう。DNSサーバーのアドレスを変えるだけでは解決しないことがあります。
システムプロキシ
システムプロキシは、OSがアプリに提供するプロキシ設定です。設定に従うアプリだけが利用します。ブラウザー、拡張機能、ターミナルのプログラムでは個別のプロキシ設定が使われる場合があるため、ブラウザーからアクセスできても、コマンドラインも同じ経路を使っているとは限りません。クライアントを終了した後も、アプリが停止済みのローカルプロキシポートへ接続しようとする場合は、システムプロキシ設定が元に戻っているか確認してください。
TUNモード
TUNモードは仮想ネットワークインターフェースでシステムの通信を受け取り、プロキシプログラムへ渡す方式です。通常、システムプロキシより広い範囲の通信に影響します。システムルーティング、DNS、必要な権限の設定が必要で、他のVPN、仮想ネットワークアダプター、セキュリティソフトの影響を受けることもあります。スイッチを有効にしただけですべての通信が意図どおりに取り込まれるとは限りません。Web、ターミナル、LANへのアクセスを個別に確認してください。
FakeDNS
FakeDNSは、ドメインに制御されたアドレスプール内の合成IPを返し、ドメインとアドレスの対応関係を保存することで、後続の接続時にドメイン情報を復元できるようにします。合成アドレスは対象サイトの実際のグローバルIPではありません。後続の通信は、この対応関係を認識できる処理経路に入る必要があります。通信の取り込みやルーティング設定と組み合わせて使います。無効化した後もアプリに合成アドレスがキャッシュされている場合は、キャッシュの削除や再接続が必要になることがあります。
DNS漏洩
DNS漏洩とは通常、ドメインの問い合わせが想定した名前解決経路を通らず、別のリゾルバーやネットワーク出口で処理される状態です。判断する際は、設定した通信の振り分け方と照らし合わせましょう。意図的に直接接続で名前解決している場合、「プロキシを通っていない」という理由だけで異常とはいえません。調査では、OSのDNS、ブラウザーのセキュアDNS、クライアントの名前解決設定に加え、IPv4とIPv6それぞれの実際の経路を確認してください。