VPN初心者向け安全ガイド：サブスクリプションURLの管理と公衆Wi-Fiのリスク

VPN初心者向け安全ガイドの要点は、サブスクリプションURLを認証情報と同じように管理すること、公衆Wi-Fiでもサイトの正当性を確かめること、そしてクライアントの接続表示だけでは全アプリの通信がプロキシ経由とは限らないことです。こうした違いを理解するほうが、ノードを何度も切り替えるより日常のリスク低減につながります。

アカウントのパスワードとサブスクリプションURLの違い

アカウントのパスワードはユーザーパネルへのログインに使い、プランの確認やサブスクリプション管理、問い合わせの送信などに関わります。一方、サブスクリプションURLは通常、クライアントにノード設定を取得させるためのものです。単なるWebページのURLではなく、アカウントを識別するトークンが含まれている場合があります。URLを知っている人が、パネルのパスワードを入力せずに設定を取得できることもあります。

URLが長く、パスワードがそのまま表示されていないからといって、一般的なWebアドレスと同じように扱ってはいけません。サブスクリプションのQRコードも、同じURLを別の形で表したものなので、秘密として管理する必要があります。実行できる操作はサーバー側の設計によって異なり、すべてのサブスクリプションURLがアカウント全体へのアクセス権を持つわけではありません。

情報の種類	主な用途	管理方法
ユーザー名とパスワード	パネルへのログイン、アカウント管理	他と使い回さないパスワードを設定し、信頼できるパスワードマネージャーに保存する
サブスクリプションURLとQRコード	ノードと接続設定の取得	公開・転送せず、出所不明の変換サイトにもアップロードしない
クライアント設定ファイル	ノードの認証情報、ルール、接続設定の保存	エクスポート前に内容を確認し、バックアップは保護された場所に保存する
診断ログとスクリーンショット	接続トラブルの原因調査	共有前にトークン、URL内の機密パラメーター、個人情報を隠す

NanNanVPNではメールアドレス不要で、ユーザー名とパスワードだけでアカウントを作成できます。アカウント作成時に提供する情報は少なくて済みますが、認証情報の管理が不要になるわけではありません。ログイン情報を安全に保管し、パネルで利用できるアカウント管理方法を事前に確認してください。用意されていると確認できない復旧手段を、独自に想定しないようにしましょう。

信頼できる入手元からサブスクリプションをインポートする

クライアントは設定を読み込んで接続を確立し、サブスクリプションサービスは設定を提供します。両者は別のものです。利用するOSに合ったクライアントを、サービスパネル、公式プロジェクトページ、または信頼できるアプリストアから入手しましょう。検索結果に表示される類似名のアプリやダウンロード広告、チャットグループの添付ファイルは、アイコンだけで正規のものと判断できません。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICは、それぞれ異なるプロキシプロトコルまたは方式で、クライアントによって対応状況も異なります。記事にプロトコル名が登場しても、NanNanVPNがそのプロトコルを提供しているとは限りません。実際に利用できる設定はパネルとクライアントの対応情報で確認し、プロトコル名だけでプライバシー保護の度合いを判断しないでください。

ドメインを確認済みのユーザーパネルからサブスクリプションURLを取得し、コピーしたURLを共有ドキュメントや公開チャットに残さないようにしましょう。
クライアントでサブスクリプションのインポートまたは設定の追加を選び、そのクライアントに対応した形式を使っているか確認します。任意のURLをプロキシサーバーのアドレス欄に入力しないでください。
サブスクリプションの更新後、ノードとルールが正常に読み込まれたか確認しましょう。更新に失敗した場合は、形式、アカウントの状態、ネットワークを先に確認し、見知らぬ人にURLを渡して試してもらうのは避けてください。
システムの接続権限を許可する前に、要求元のアプリ名を確認しましょう。設定のインポート成功とシステム権限の許可は別の段階なので、どちらも確認が必要です。
使わなくなった古い設定は無効にし、接続時に古いノードを誤選択したり、複数のプロキシツールがシステム設定を取り合ったりしないようにしましょう。

WindowsとmacOSのクライアントは、システムプロキシや仮想ネットワークインターフェースを介して通信を処理する場合があります。iOSとAndroidのクライアントでは、通常、システムのVPN権限が必要です。Linuxでの通信処理方法はクライアントとネットワーク設定によって異なります。同じような名前の「接続」ボタンでも、実際に対象となる通信範囲は異なる場合があるため、別のプラットフォームの設定画面をそのまま参考にしないでください。

公衆Wi-Fiのリスクと接続範囲

公衆Wi-Fiのリスクは、パスワードの有無だけではありません。よく似たネットワーク名で誤接続を誘うホットスポットや、不要な情報の入力を求める認証ページ、設定に問題のあるルーターもあります。施設のスタッフにネットワーク名を確認し、不要な自動接続をオフにして、利用後は必要に応じて保存済みネットワークを削除しましょう。

HTTPSはブラウザーと接続先サイト間の通信を保護し、証明書によって接続先の身元を確認します。ただし、そのサイトの運営やサービスが信頼できるかどうかを判断してくれるわけではありません。フィッシングサイトもHTTPSを利用できます。アカウント情報を入力する前にドメイン全体を確認し、鍵マークをページの内容や運営者に対する保証と捉えないでください。

プロキシ接続は、対象となる範囲で端末とプロキシの接続先との通信を保護できますが、すでにインストールされたマルウェアを除去したり、偽サイトに自分でパスワードを入力するのを防いだりはできません。どの通信が対象になるかは、ルールによる振り分け、アプリ独自の通信方法、クライアントの通信処理モードにも左右されます。

✅ 接続前にホットスポットの提供元を確認し、機密性の高い操作には信頼できるネットワークを使いましょう。
✅ 証明書の警告が出たら操作を中止し、URL、システム時刻、ネットワーク環境を確認しましょう。警告を無視してログインを続けないでください。
✅ 認証ページには、用途を理解し、本当に必要な情報だけを入力しましょう。プロファイルや証明書のインストールを突然求められないか注意してください。
❌ インターネット接続のためだけに、安易にルート証明書をインストールしたり、OSやブラウザーのセキュリティチェックを無効にしたりしないでください。
❌ クライアントに接続済みと表示されても、利用中のすべてのアプリが同じように保護されているとは限りません。

公衆ネットワークによっては、外部サービスに接続する前にWeb認証が必要です。その場合、プロキシ接続を一時的に確立できないことがあります。信頼できる認証ページで手続きを済ませてから、クライアントに再接続してください。認証ページの出所が怪しい場合は、セキュリティ設定を変更し続けるより、信頼できるネットワークに切り替えるほうが適切です。

振り分けとDNSを確認する。出口だけで判断しない

ブラウザーで出口アドレスの変化を確認できても、その確認リクエストが該当する経路を通ったと分かるだけで、すべてのアプリが同じ出口を使っている証明にはなりません。システムプロキシは通常、アプリがプロキシ設定に従うことが前提です。仮想ネットワークインターフェース方式ではより多くの通信を処理できますが、迂回ルールやアプリの除外設定が残る場合があります。

振り分けモードでは、ドメインやアドレスなどのルールに応じて、直接接続かプロキシ経由かが決まります。中国本土のサイトへは直接接続し、それ以外の地域のサイトへはプロキシ経由で接続するのが一般的な設定例ですが、実際の動作はルールの内容によって異なります。「グローバルモード」もクライアントごとに意味が異なる場合があるため、システムプロキシ、仮想ネットワークインターフェース、クライアント内部のルーティングのどれに適用されるのかを確認しましょう。

DNSはドメイン名をネットワークアドレスに変換します。アクセス通信がプロキシ経由でも、関連するDNSリクエストがローカルネットワークのリゾルバーに送られると、検索したドメインが漏れる可能性があります。これを一般にDNS漏えいと呼びます。ただし、ローカルのリゾルバーが表示されただけで設定ミスとは限りません。明確な振り分け設計では、直接接続するドメインにローカルDNSを使う場合もあります。

確認する際は、まずクライアントのDNSとルーティングに関する説明を読み、信頼できる検査ページで出口とリゾルバーを確認したうえで、クライアントのログと照らし合わせましょう。ブラウザーの暗号化DNS、システムの名前解決設定、アプリ独自の名前解決方式も結果に影響します。検査サイトにもアクセスデータが渡るため、サブスクリプションURLや設定ファイルを貼り付けないでください。

IEPL専線、中継、直接接続は主に通信経路の構成を表すもので、プライバシー認証を意味するものではありません。専線の名称だけで、クライアントの入手元、通信の暗号化、データの取り扱い方針の確認に代えることはできません。特定の利用場面に適した回線であっても、ログイン済みのアカウントを接続先サイトが識別できなくなるわけではありません。

URLが漏えいした場合の対処

サブスクリプションURLを公開チャットに投稿したり、公開リポジトリにアップロードしたり、公開スクリーンショットに写り込ませたりした場合は、まず認証情報の漏えいとして扱いましょう。投稿を削除すればその後の拡散を抑えられますが、すでに誰かが保存している可能性は否定できません。メッセージを取り消しただけで対応を終えないでください。

信頼できるユーザーパネルにログインし、サブスクリプションのリセットやトークンの更新機能を探しましょう。該当する機能が見つからない場合は、公式サポートに旧URLを無効化する方法を確認してください。
新しいURLを取得したら、利用中の端末とクライアントの設定を更新し、古いサブスクリプションを削除しましょう。以後の自動更新で古いURLが使われ続けるのを防げます。
パネルで使用量やセッション情報を確認できる場合は、普段の利用状況と異なる点がないか調べましょう。異常は調査の手がかりですが、通信量の変化だけでアカウントの不正利用を断定することはできません。
アカウントのパスワードも漏えいした場合や、他の漏えい済みサイトと同じパスワードを使っていた場合は、パスワードを変更し、利用可能なセッション管理設定も確認しましょう。
公開ファイル、共有クリップボードの履歴、関連するバックアップから機密情報を削除し、新しいURLが同じ経路で再び広まらないようにしましょう。

パネルのパスワード変更とサブスクリプショントークンの無効化は、別々の操作の場合があります。パネルに明記されていない限り、パスワードを変えれば古いサブスクリプションも無効になると決めつけないでください。古い設定に保存済みのノード認証情報がいつ無効になるかもサーバー側の仕組みによるため、サポートまたは公式情報で確認が必要です。

サポートに問い合わせる際は、OS、クライアント名、エラーの内容、発生した状況を伝えると役立ちます。ログを送る前にサブスクリプションURL、ノード認証情報、個人情報を含むパスを確認し、スクリーンショット内のQRコードも隠してください。アカウントに関する相談には公式問い合わせ窓口が適していますが、調査に必要な情報だけを送るようにしましょう。

ノーログポリシーと日常のプライバシー対策

NanNanVPNがセキュリティ面で掲げる主な方針は、ノーログポリシーです。これはサービスのプライバシーに関する方針であり、ネットワーク上のあらゆる場面を保証するものではありません。接続先サイトは、ログイン中のアカウント、ブラウザーの保存データ、端末の特徴などをもとにアクセスを関連付けることがあります。端末内の他のアプリにも、それぞれのデータ収集方法があります。

プライバシーを判断する際は、正式なポリシーを確認してデータ処理の範囲を把握しましょう。「ノーログ」だからといって、アカウント情報や支払い情報が一切存在しないと考えるのは適切ではありません。NanNanVPNはAlipay、WeChat Pay、USDTでの支払いに対応していますが、いずれかの方法を選んでも匿名性が保証されるわけではありません。アカウント管理と返金には、それぞれの規則が適用されます。

日常的な利用では、OSやクライアントを最新の状態に保つこと、使い回しのないパスワードを設定すること、ブラウザー拡張機能を慎重に導入することが、理解しにくい高度な設定を追いかけるより実践的です。ブラウザーのプライベートウィンドウで減らせるのは、端末に一部の閲覧履歴を残すことです。ログイン中の身元を自動的に隠す機能ではなく、プロキシやDNS設定の確認に代わるものでもありません。

インストール方法は使い方ガイドをご覧ください。権限、サブスクリプション形式、使用量の異常について不明な点がある場合は、サポート窓口で確認できます。技術ツールは具体的な問題の解決に役立てるものです。安全そうに見せるためだけに、理解できない設定を有効にする必要はありません。