Shadowrocketの対応プロトコル｜Shadowsocks・VMess・VLESS・Trojan・Hysteria2を解説

1分で確認：プロトコル・トランスポート・ルーティングの違い

Shadowsocks、VMess、VLESS、Trojan、HTTP、SOCKS5、WireGuard、Hysteria2は、それぞれクライアントとサーバー間の通信方法を定めています。アドレスとポートは接続先を示す情報です。接続の確立には、パスワード、UUID、鍵、トランスポート設定も関係します。リストに表示される名前は自由に付けられるため、名前にプロトコル名があっても、Typeがそのプロトコルとは限りません。

TCP、WebSocket、QUICなどのトランスポート層はデータの送信方法を定め、TLSは該当する接続層の暗号化と認証を担います。Global Routingは、アクセスごとに適用するポリシーを決めます。Global Routingを変更しても、誤ったパスワードは直りません。また、UDPに対応していないネットワークでQUICが使えるようになるわけでもありません。

Add Serverで既存の設定を見分けて確認する

手動追加は個別の設定確認に、サブスクリプションは提供元を保った一括更新に向いています。どちらの場合も、まず元の設定情報を確認してください。サブスクリプションには接続情報が含まれることがあります。確認時にリンク全体、QRコード、パスワード、秘密鍵を公開しないでください。

1. 追加画面を開く

   Homeを開き、右上の「+」をタップしてAdd Serverを表示します。Typeでは、既存の設定と同じプロトコルを選択してください。表示名を見て選ぶのは避けましょう。

2. 接続先を確認する

   既存の情報と照らし合わせてアドレスとポートを入力します。アドレス欄には、項目に必要なホスト名またはIPだけを入力してください。共有リンク全体をホスト名として入力したり、443を全プロトコル共通のポートと考えたりしないでください。

3. 認証情報を確認する

   Shadowsocksでは暗号化方式とパスワード、VMessとVLESSではUUID、TrojanとHysteria2では各プロトコルの認証情報を確認します。WireGuardではローカルの秘密鍵と対向の公開鍵を確認してください。これらの認証情報は互換ではありません。

4. トランスポートを確認する

   TLS、サーバー名、トランスポートを一つずつ照合します。既存の設定でWebSocketを使っている場合は、パスとHostも確認してください。アドレスが名前解決できても、これらの項目を省略してはいけません。

5. 保存してテストする

   保存したらHomeに戻り、対象の設定を選んでConnectivity Testを実行し、実際のアクセスも確認します。既存のサブスクリプションを使う場合は、Home →「+」→ TypeでSubscribeを選び、自分のサブスクリプションURLを入力します。更新後に設定を再確認してください。手動変更が提供元の内容で上書きされることがあります。

Shadowsocks・VMess・VLESS：認証と暗号化を区別する

この3種類は既存のサブスクリプションでよく見かけますが、設定項目は異なります。Shadowsocksでは、クライアントとサーバーで暗号化方式とパスワードを一致させます。VMessはUUIDなどを使って認証し、独自のデータ保護機能を備えています。VLESS自体は通信内容を暗号化しないため、UUIDを使っているだけでTLSによって保護されるわけではありません。

たとえば既存の設定でWebSocketのパスが/gatewayと指定されている場合、/を入力すると別の接続先になります。指定されたHostと接続先アドレスが異なることもあります。ドメインの名前解決とTCPポートへの接続に成功しても、認証やパスが正しいとは限りません。

• Shadowsocksの暗号化方式は名称まで正確に一致させてください。似た名前でも同じアルゴリズムとは限りません。
• VMessの認証では時刻の検証が行われます。認証エラーが発生した場合は、Appleデバイスの日付と時刻も正確か確認してください。
• VLESSではUUIDとセキュリティ層の設定をまとめて確認してください。接続を直すためにセキュリティ層を無効にするのは避けましょう。

TrojanとHysteria2：どちらもセキュリティ層を使うが、トランスポート要件は異なる

Trojanでは、一般的にTLSを使って認証情報とプロキシデータを送信します。パスワードだけでなく、証明書の検証、サーバー名、実際の接続先アドレスも一致させる必要があります。接続先のIPアドレスと証明書のドメイン名が異なる場合があります。既存の設定でサーバー名が指定されている場合は、アドレス欄の内容に置き換えず、その値を使用してください。

Hysteria2はQUICを基盤とし、UDPとTLSを使用します。名前が似ていても、異なる世代のHysteriaプロトコルとは互換ではありません。ネットワークでUDPが制限されている場合、TCPを使うサービスは動作してもHysteria2がタイムアウトすることがあります。認証文字列を何度も変更する前に、ネットワーク条件とポートのプロトコルを確認してください。

• Trojan：アドレス、ポート、パスワード、TLSのサーバー名を確認します。証明書エラーが出た場合は、まずデバイスの時刻、サーバー名、証明書の有効性を確認してください。
• Hysteria2：認証情報、TLS設定、既存の設定で指定された場合は難読化や帯域幅の項目を確認します。元の設定にある項目だけを入力してください。
• 共通の確認項目：元の設定で443を使う場合は、TCP、UDP、または両方の通信が許可されているか確認してください。同じ番号でもネットワーク経路は異なります。
• 性能を比較する場合：ネットワーク、接続先、テスト時間をそろえて比較してください。プロトコル名から通信速度を直接判断することはできません。遅延の測定だけでは、継続的なデータ転送の性能は分かりません。

HTTP・SOCKS5・WireGuard：用途と認証情報の違い

HTTPとSOCKS5は、既存のプロキシ接続先でよく使われます。HTTPプロキシではCONNECTを使って接続先へのトンネルを確立できますが、クライアントからプロキシまでの通信が自動的にTLSで保護されるわけではありません。接続先サイトのHTTPSと、プロキシ接続先までの通信が暗号化されているかは別の問題です。

SOCKS5は複数のコマンドと認証方式に対応しますが、プロトコル名だけでは、利用中のサーバーとネットワークがUDPに対応しているとは限りません。一般的なHTTPプロキシも、あらゆる用途に使えるUDPトンネルとは見なせません。UDPが必要な用途では、設定内容と実際に使える機能を確認してください。

WireGuardは鍵を使うトンネルプロトコルで、一般的なプロキシのような「ユーザー名とパスワード」の構成ではありません。対向の公開鍵はローカルの秘密鍵とは異なり、Endpointは対向側のネットワーク上の接続先です。自分のデバイスに割り当てられるトンネルアドレスではありません。この2種類のアドレスを混同すると、接続先に到達できてもトンネル内で通信できないことがあります。秘密鍵は自分のデバイスと信頼できる設定内だけで管理し、公開画像に載せないでください。

プロトコルを確認したら、Global Routingでルールの問題を切り分ける

Homeでは接続先とサーバーを選択し、Configでは設定ファイルを管理し、Settingsではアプリの設定を変更します。Global RoutingのProxy、Direct、Config、Sceneはルーティング方式であり、新しいプロトコルではありません。トラブル対応では、まず元の設定値を記録してから一時的に変更してください。Sceneの結果は設定済みのシーンによって異なるため、現在適用されているシーンも確認します。

たとえば、DOMAIN-SUFFIX,example.com,PROXYはドメインのサフィックスでポリシーを指定します。IP-CIDR,192.0.2.0/24,DIRECTはIPアドレスの範囲で照合します。GEOIPはIPアドレスの地理情報に基づき、FINALは一致しなかった通信を処理します。これらのキーワードが決めるのは通信の振り分け先であり、プロトコルではありません。ここでの例は構文と照合対象を示すもので、既存の設定にそのまま置き換えられる完成済みルールではありません。

よくある質問：インポート・テスト・実際の利用の違い

選択の順序は、まず利用中のサービスが明示しているプロトコルを選び、設定項目をすべてそろえ、トランスポート要件をネットワークが満たしているか確認し、最後に同じ条件で利用結果を比べます。対応プロトコルの一覧はサーバー設定の代わりにはならず、特定のプロトコルがあらゆるネットワークで速いことを保証するものでもありません。