MacでVPNを設定する方法

始める前に

クライアントをインストールする

1. 両方のビルドがある場合は、ストアではなくプロバイダーのサイトからビルドを選びます。 App Store版はAppleのサンドボックス内で動作します。サンドボックスでは、VPNクライアントの目的の一部である機能、たとえばログイン前から有効になるキルスイッチやアプリケーション単位のスプリットトンネリングが禁止されます。直接ダウンロードする版は通常、完全なクライアントです。ストア版しか提供されていない場合に限り、ストア版を選んでください。
2. まずプロバイダーのウェブサイトにサインインし、アカウント画面からダウンロードします。そうすれば、実行するファイルが、サブスクリプションを保有していることを確認したセッションから取得されたものだと分かります。
3. インストーラーを開き、macOSに求められたら拡張機能を承認します。システムには、クライアントがネットワーク拡張機能またはVPN構成を追加しようとしていると表示され、システム設定 › 一般 › ログイン項目と機能拡張へ移動します。許可してください。拡張機能が許可されていないクライアントは、起動してサインインまではできますが、接続はしません。
4. バックグラウンド項目をオンのままにします。同じ設定画面のバックグラウンドでの実行を許可に、クライアントが表示されます。リストを整理するためにオフにすると、スリープ後にトンネルが再接続しなくなります。
5. クライアントにサインインし、自分を特定できない名前をデバイスに付けます。この名前はプロバイダーに保存されます。
6. まだ接続しないでください。先に設定を開きます。以下の3つの設定のうち2つは、ほとんどのクライアントで初期状態ではオフになっています。

確認しておくべき3つの設定

クライアントのメニューは異なっても、設定そのものは変わりません。3つすべてについて、名称が分からない場合は用語集に項目があります。

キルスイッチ

トンネルが切断された場合にすべての通信を遮断し、接続を通常のネットワークへ静かに切り替えないようにします。通常は初期状態でオフになっています。これは製品の信頼性が低く感じられるためです。トンネルが切断されると、気付かないまま通信が続くのではなく、接続自体が停止します。そこがキルスイッチの目的です。オンにしてください。クライアントに、接続中だけ適用されるスイッチと常時適用されるスイッチの区別がある場合は、後者を選びます。不審なWi-FiでMacが復帰すると、クライアントが再接続するまで数秒間、保護されていないネットワーク上に置かれます。重要なのはこの空白です。スイッチの目的については専用ページで説明しています。

トンネル内のDNS

ほかのすべての通信がトンネル内にあっても、名前解決だけがMacからトンネルの外へ出ることがあります。その場合、どのサイトを訪れたかをネットワークに知られ、そこで何をしたかだけが隠されます。DNSリーク防止、プロバイダーのDNSを使用、またはカスタムDNSフィールドを探し、第三者ではなくプロバイダー自身のリゾルバーに設定します。すでに通信をプロバイダーに信頼しているのに、名前解決だけを見る第二の当事者を加えても、いずれかが知る情報を減らすことなく当事者の数が増えるだけです。リークが起きる仕組みについてはDNSリークのページで説明しています。

プロトコル

問題が起きていない限り、最新の初期設定のままにします。プロトコルのページでは、現行のものと旧式のものを一覧にしています。接続問題を解決するためにクライアントが古い選択肢を提示しても、それは理解したうえで行い、後で元に戻すべきトレードオフです。レジスターでは、プロバイダーが現在も提供している最も弱いプロトコルを示しています。手動でそれを選ぶことは、その判定を自分で選択することです。

実際に動作していることを確認する

接続したら、思い込まずに確認します。次の3つをこの順番で確認してください。いずれも無料で、ソフトウェアは必要ありません。

1. アドレスが変わった。「自分のIPアドレスは何か」といったページを開き、国が選択した出口ロケーションと一致することを確認します。クライアントが接続済みと表示しているのに自国が表示される場合、拡張機能は動作していますが、通信はそこを通っていません。
2. 名前解決がトンネル内にある。DNSリークテストを実行し、報告されたリゾルバーを確認します。インターネットプロバイダーに属するものがあれば、上記のDNS設定が反映されていません。
3. キルスイッチが説明どおりに動作する。ダウンロードを実行した状態でアクティビティモニタを開き、クライアントのヘルパーまたはデーモンプロセスを探します。プロバイダーの名前が付いているプロセスです。それを強制終了し、クライアントに指示せずトンネルを切断します。転送は完全に停止するはずです。続行するなら、そのスイッチは飾りです。

より長いテスト一覧と、それぞれで確認できること・確認できないことについては専用ガイドで説明しています。

スリープ、復帰、不審なWi-Fi

ノートパソコンは、これまで接続したことのないネットワークで起動する機器です。Macは蓋を開いた直後の数秒間、クライアントが再接続する前に、Wi-Fiへの接続、メールの確認、同期という危険な処理を行います。この時間を閉じる設定が2つあります。クライアントの自動接続をオンにし、再接続を自分ではなくクライアントに任せること。そして上記の常時オンのキルスイッチを有効にし、再接続するまでMacが何も送信しないようにすることです。両方を設定すると、カフェのネットワークからは、接続した後、トンネルが確立するまで通信を停止したノートパソコンに見えます。そのようなネットワークがそれ以外に読み取れる情報については公衆Wi-Fiのページで説明しています。

クライアントに、信頼済みネットワークではオフのままにするリストがある場合は、リストを短く保ちます。自宅を登録するのは、そこにプリンターがあるからであって、その背後にいるインターネットプロバイダーが何も見られないからではありません。