ガイド
スプリットトンネリングの設定方法
一部のアプリやアドレスをトンネルの外へ送り、それ以外をすべてトンネル内に残す方法、各例外が伴う代償、そして指定どおりに分割されていることを確認するチェックについて説明します。2026年後半のクライアントとAndroid 17を前提にしています。
ここで確認すること
スプリットトンネリングでは、選択したアプリやアドレスをトンネルの外へ送り、それ以外はトンネル内に残します。リストに追加した各項目は、VPNが通常のネットワーク上で完全に関与しなくなるトラフィックです。適切に設定すれば、ほかには影響を与えずにプリンターやバンキングアプリを使えるようになります。設定が粗いと、自分で設定したリークになります。以下では、必要最小限の手順を示します。
2種類のルール
アプリごと
このルールではプログラムを指定し、そのプログラムの接続がトンネルを迂回します。Windows、macOS、Androidのクライアントが対応しています。Android 17以降では、クライアントがリストをシステム管理の画面に渡せるため、除外はクライアントではなくオペレーティングシステムによって適用されます — クライアント自身の設定からその画面を開く場合も、その画面を使っています。iOSの通常のクライアントにはアプリ単位の分割機能がありません。最も近い機能は、以下のローカルネットワーク切り替えです。
アドレスまたはサブネットごと
このルールでは宛先を指定し、どのプログラムからのトラフィックでも、その宛先への通信はトンネルを迂回します。アドレスルールは、そのアドレスで明日応答するものをすべて対象にするため、より大まかで、後から内容を把握しにくい方法です。自分のネットワーク上にあるデバイスには適していますが、インターネット上のサービスには適していません。
外へ出すもの
- 自分のネットワーク上にあるデバイス — プリンター、NAS、メディアサーバーなど、トンネルのルーティングによって見えなくなっているものです。まずローカルネットワーク切り替えを試してください。設定が小さく、これらの大半をルールなしで対象にできます。
- 出口のアドレスからの接続を拒否するアプリ。典型的には銀行のアプリです。このルールにより、そのアプリだけが実際のアドレスを確認でき、ほかのものには影響しません。その結果、銀行にはあなたの所在地が知られます。これが代償です。
- それ以外はデフォルトでは対象にしません。リストの各項目は、そのアプリのトラフィックを接続中のネットワークが読み取れることを意味します。長いリストは、ブラウザーとそれ以外のごく一部しか保護しないVPNです。
例外は、トンネル経由では動作しないアプリのためのものです。出口の国ではサービスを提供しないと決めたサービスにアクセスする方法ではありません。それはサービス側の判断であり、それを回避するルーティングはこのページの対象外です。
ルールの設定
- クライアントのスプリットトンネリング欄を開きます。通常は接続設定または詳細設定の中にあります。Android 17以降では、同じリストを管理するシステム画面をクライアントが開く場合があります。どちらの場合もリストは1つで、そこへ移動する入口はクライアント自身の欄です。
- 何か追加する前にモードを確認します。多くのクライアントには、リストにあるアプリがトンネルを迂回するモードと、リストにあるアプリだけがトンネルを使うモードの2つがあります。後者は逆スプリットトンネリングで、リストが空だと何もトンネルを通りません。意図したモードになっていることを確認してください。
- フォルダーではなくアプリを追加します。接続を作成する実行ファイルを追加してください。複数のプロセスで構成されるスイートでは、それぞれが必要になる場合があります。インストール先のフォルダーを追加すると、アップデーターも対象になります。
- アプリを完全に終了して、クライアントを再接続します。ルールは新しい接続に適用されます。開いたままのアプリは古い経路を使い続けるため、チェックで誤った結果になります。
逆モード
逆モードでは、リストにあるアプリだけがトンネルを使い、それ以外はトンネルを迂回します。1つのアプリだけがトンネルを必要とし、ほかのマシン全体はクライアントをインストールしていないかのように動作させたい場合には適しています。それ以外には不向きです。リストに入れ忘れたアプリはすべてオープンなネットワーク上に出るためです。これを使う場合、ほとんどのクライアントではキルスイッチが対象にするのはリストにあるアプリだけです。残りは最初からトンネル内にいないためです。
ローカルネットワークへのアクセス
多くのクライアントには、自分のネットワークのアドレスだけを通し、それ以外をすべてトンネル内に残す単一の切り替えがあります。これは、サブネット単位のスプリットトンネリングを自動で選択する機能で、ルールなしでプリンターやNASを対象にできます。自分で管理するネットワークでは代償は小さいですが、公衆ネットワークでは、そのネットワーク上のすべてのデバイスから自分のデバイスへ到達できるようになります。これがデフォルトで無効になっており、離れる前に再び無効にする価値がある理由です。
指定どおりに分割されていることを確認する
- 除外したアプリで、そのアプリ独自のアドレスチェックを探します — バンキングアプリのセッション詳細、トレントクライアントのアドレス欄、除外したブラウザーで開いた任意のページなどです。自分のアドレスと国が表示されるはずです。
- 除外していないアプリでアドレスチェックを実行します。出口のアドレスが表示されるはずです。リストに追加していないブラウザーで実行し、アドレスを表示できる別のアプリがあれば、それでも確認します。
- 完全なチェック一式を1回実行します。ルールを設定した状態で、VPNが動作していることを確認する方法の手順を実行してください。意図した範囲を超えるルールは、トンネル内に残るはずだったもののリークとして表示されます。
これらのチェックで確認できること
+リストに追加したアプリだけが通常のネットワーク上に出ていること
+ルックアップを含め、それ以外はすべて出口経由になっていること
+モードが意図したものであり、逆モードではないこと
これらのチェックで確認できないこと
−プロバイダーがトンネル内のトラフィックについて何を保持するかは分かりません — それについては保持に関するページで説明しています
−意図的な例外はリークテストでは確認できません。除外したアプリは、その内部から確認するか、まったく確認しないことになります
−今日設定したルールはアップデート後もアプリに適用されますが、更新されたアプリが、リストに追加していないプロセスから接続を開く場合があります
分割が維持されない場合
除外したアプリに出口のアドレスが表示される
ルールが適用されていません。通常の原因は、アプリがすでに起動していたことです。スプリットトンネリングは、ルール設定後に作成された接続に適用されます。アプリを完全に終了し、クライアントを再接続してから、アプリをもう一度開いてください。Androidでは、ルールがクライアント内にあるのかシステム設定にあるのかを確認してください。一方で除外しても他方で除外していない場合、オペレーティングシステムが適用する設定に従います。
ブラウザーは最も難しいケースです。ウィンドウを閉じてもバックグラウンドプロセスが接続を維持するため、ウィンドウではなくブラウザー自身のメニューから終了する必要があります。
除外していないアプリに自分のアドレスが表示される
アプリ単位のルールより広い設定が有効になっています。宛先をたまたま対象にするアドレスまたはサブネットのルール、リストにあるアプリだけをトンネルに通す逆モードを誤って設定している場合、または公衆アドレスを割り当てるネットワークでローカルネットワーク切り替えを有効にしている場合に起こります。アプリのリストだけでなく、すべてのルールを確認してください。機能全体を無効にして、アドレスが出口のものに戻ることを確認し、その後ルールを1つずつ戻します。
プリンターやNASにまだ接続できない
ローカルネットワークアクセスはスプリットトンネリングより小さい設定であり、別の設定になっていることもあります。自分のネットワークのアドレスを通し、それ以外はすべてルーティングします。クライアントにこの機能がある場合は、サブネットルールを手動で追加する前に有効にしてください。デバイスにアドレスではなく名前で接続している場合、その名前がトンネルのDNSを通じて解決されている可能性があります。そのDNSからはネットワークが見えないため、代わりにアドレスを使ってください。
リークテストは合格するが、アプリを除外した
テストをブラウザーで実行しており、そのブラウザーはトンネル内にあります。意図的な例外は仕様上、リークテストでは見えません。除外したアプリのトラフィックは完全に通常のネットワーク上にあり、別の場所で開いたページがそれを報告することはありません。例外の確認には、最後のセクションで説明したとおり、除外したアプリ自身のアドレスを使います。テストページではありません。
同じ手順、別の機種
他のプラットフォーム
すべてのプラットフォームには、1つのページのタブではなく専用のガイドがある。手順はインストーラーが開いた時点で分岐し、3つのプラットフォームに一度に答えようとするページはどれにもきちんと答えられない。