TUNモードで全通信を引き受ける仕組みを詳しく解説：v2rayN・v2rayNGの設定手順

TUNモードが通信を取り込む実際の流れ

TUNはネットワーク層で動作する仮想インターフェースです。有効にすると、システムはルーティング条件に合うIPパケットを仮想ネットワークインターフェースへ渡します。クライアントはパケットを読み取り、宛先アドレスとプロトコルを復元したうえで、ルールに従って直接接続、プロキシ、遮断を判断します。アプリから見ると、元のドメインとポートへアクセスしているだけで、ローカルのSOCKSやHTTPプロキシのポートを知る必要はありません。

システムプロキシは、よりアプリケーション層に近い場所で動作します。ブラウザーなどシステムプロキシ設定に従うソフトは、リクエストをローカルプロキシポートへ送ります。一方、一部のコマンドラインプログラム、ゲームコンポーネント、アップデーター、独自ネットワークスタックを持つソフトは設定を無視することがあります。TUNはアプリ側の対応に依存しないため、より多くの種類の通信をカバーでき、プロキシが必要なUDPリクエストにも対応できます。

「全通信の取り込み」とは、通信がクライアントの判定フローに入ることを指し、すべての接続がリモートノードを通るという意味ではありません。クライアントはドメイン、宛先IP、ローカルネットワークのセグメント、プロトコルに応じて振り分けます。たとえば家庭内ルーターには直接接続し、プロキシルールに一致するサイトはノード経由にし、DNSリクエストは指定した名前解決ポリシーで処理できます。

TUNとシステムプロキシの選び方

主にブラウザーやプロキシ設定に対応したソフトを使う場合は、システムプロキシのほうが軽量で、障害の影響範囲も小さくなります。クライアントが正常にローカルポートを待ち受け、アプリがシステム設定に従えば接続できます。システムプロキシを読み取らないプログラムも振り分け対象にしたい場合は、TUNを有効にするのが適しています。

切り分け中に、システムプロキシ、TUN、ルーティングモードを頻繁に同時変更しないでください。まずシステムプロキシでノードが使えることを確認し、ほかの一時的なネットワークツールを終了してからTUNだけを有効にする方法が確実です。接続状態が変わった場合、原因を仮想インターフェース、ルーティング、DNSに絞り込め、ノードそのものの問題と混同せずに済みます。

v2rayNでTUNモードを有効にする

以下はv2rayN 7.12.5のWindows画面を基準にしています。小さなバージョン違いでボタンの位置が変わる場合はありますが、ノードの準備、仮想インターフェースの権限許可、TUNの有効化、ルーティングモードの確認という4段階は変わりません。開始前に、通常のシステムプロキシモードでノードの遅延とWeb接続を一度テストし、ノードの障害をTUNの問題と誤認しないようにしてください。

1. 使用可能な設定を選択。v2rayNのメイン画面で、接続テスト済みのVMessまたはVLESS設定を選び、アクティブサーバーに設定します。
2. システムプロキシの状態を確認。TUNを初めてテストする際は、システムプロキシをいったん無効にすると、2つの取り込み方式が同時に変化することによる混乱を減らせます。
3. TUNを有効化。メイン画面またはトレイメニューから「TUNモード」スイッチを見つけて有効にします。Windowsで権限確認が表示されたら、今回の操作を許可してください。クライアントが仮想インターフェースを作成し、ルートを書き込むために必要です。
4. 振り分け方式を確認。「設定」→「パラメータ設定」を開き、TUN関連の設定と現在のルーティングモードを確認します。中国本土やLANへ直接接続したい場合は、ルールベースの振り分け設定を選び、「全通信の取り込み」という表示だけでアウトバウンド方式を判断しないでください。
5. DNSとアクセス経路を確認。まず普段使うWebページにアクセスし、次にこれまでシステムプロキシに従わなかったアプリをテストします。両方が接続できたら、ルーターの管理画面やLAN機器にも引き続きアクセスできることを確認します。

動作が安定したら、必要な自動起動設定を戻して構いません。システムを再起動するたびにTUNを作成できない場合は、クライアントの起動権限と関連サービスの状態を確認してください。サブスクリプションを何度も削除する必要はありません。サブスクリプションはサーバーとプロトコルのパラメータを提供するだけで、仮想インターフェースを作成できるかどうかは端末環境の問題です。

v2rayNGでシステム全体の通信を取り込む

v2rayNGはAndroidのシステムVPNインターフェースを使って仮想ネットワークを構築し、デスクトップのTUNによる通信取り込みに近い役割を果たします。以下はv2rayNG 1.10.4の画面を基準にしています。初回起動時にシステムの接続許可ダイアログが表示されます。許可して初めて、アプリの通信がv2rayNGのルーティングとプロキシ処理に入ります。

1. 設定をインポートして選択。サブスクリプションを更新したら、接続テスト済みのVMessまたはVLESSノードを選択します。
2. VPN設定を確認。「設定」→「VPN設定」を開き、プロキシが必要なアプリを除外対象にしていないか確認します。初回はアプリ別の絞り込みを無効にし、まず全体の通信経路を検証するのがおすすめです。
3. メイン画面に戻って起動。メイン画面の起動ボタンをタップします。システムがVPN接続の許可を求めたら「許可」を選び、ステータスバーにVPNが表示されてからテストしてください。
4. ルーティングモードを確認。用途に応じてルールベースの振り分け、またはグローバルプロキシを選びます。ルールベースならLANや指定した宛先を直接接続にでき、グローバルプロキシなら取り込んだ接続の多くをプロキシのアウトバウンドへ渡します。
5. ドメインとIPを分けてテスト。まず普段使うWebページを開いて名前解決を確認し、次に対象アプリをテストします。Webページは開くのにアプリだけ失敗する場合は、アプリ別プロキシ設定を確認してください。IPには接続できるのにドメインで失敗する場合は、DNSを重点的に確認します。

Androidのバックグラウンド制限により、画面消灯後にクライアントが停止することがあります。前面では正常にアクセスでき、画面ロック後しばらくして接続が切れる場合は、システムのアプリ設定でv2rayNGのバックグラウンド実行を許可し、バッテリー設定がネットワーク活動を制限していないか確認してください。この現象はノードのプロトコルとは直接関係ありません。

DNS、MTU、ルーティングループでエラーが起きやすい理由

TUNによってより多くの接続を一元処理すると、DNSとルーティング設定の依存関係が明確になります。ドメインはまずIPへ名前解決する必要があり、そのリクエスト自体も直接接続かプロキシ経由かを選ばなければなりません。DNSリクエストが、初期化を終えていない同じTUNインターフェースへ誤って戻されると、Webページが長時間読み込まれたり、IPを直接入力した場合だけ接続できたりすることがあります。

MTUは、現在のインターフェースで1つのネットワーク層パケットが送信できる最大サイズを示します。数値が実際の経路に合っていないと、小さなWebページは開けても、大きなアップロードや画像、特定のハンドシェイクだけが繰り返しタイムアウトすることがあります。この場合は現在の数値を記録してから少しずつ下げてテストし、毎回1つのパラメータだけを変更してください。ノードの転送方式、セキュリティ設定、MTUを同時に変えないことが重要です。

TUN有効化後にインターネットへ接続できない場合のチェックリスト

切り分けの要点は、障害がどの層で発生しているかを確認することです。まず仮想インターフェースが正常に作成されたかを確認し、次にデフォルトルート、DNS、最後に個別アプリとプロトコルを確認します。各手順の結果を記録すれば、複数の設定画面を行き来せずに済みます。

• ノード自体が使えることを確認:TUNを無効にし、システムプロキシでWeb接続テストを1回行います。
• 作成権限を確認:Windowsではv2rayNに仮想インターフェースの作成権限があるか確認し、AndroidではシステムVPNの許可が有効か確認します。
• インターフェースの競合を除外:ほかの仮想ネットワークインターフェースを作成したりデフォルトルートを変更したりするソフトを一時的に終了し、TUNを再起動します。
• プライベートネットワークを確認:ルーターやLANサービスへアクセスする場合は、現在のネットワークが直接接続になっていることを確認します。
• DNSを確認:ドメインは失敗するのに対象IPへ到達できる場合は、クライアントログで名前解決のタイムアウトを確認します。
• アプリ別ルールを確認:v2rayNGで特定のアプリだけ通信できない場合は、そのアプリが除外されていないか確認します。
• 時刻を確認:端末の時刻が大きくずれていると、TLSを使用するVMessまたはVLESS設定のハンドシェイクに失敗することがあります。

Windowsでは、システム標準のコマンドでインターフェース、ルート、DNSを確認できます。コマンドは状態の確認だけに使い、意味を理解しないままルートを一括削除しないでください。新しい仮想インターフェースが表示されているか、デフォルトルートの向きが適切か、ドメインの名前解決結果が返るかを重点的に確認します。

ipconfig /all
route print
nslookup example.com

ログに接続タイムアウトが出ている場合は、プロキシサーバーへの接続がタイムアウトしているのか、アウトバウンド経由で対象サイトへの接続がタイムアウトしているのかを区別します。前者はノードアドレス、ネットワーク到達性、ルーティングループが原因になりやすく、後者は対象サービス自体に到達できない可能性があります。同じDNSリクエストがログに繰り返し現れる場合は、まず名前解決経路を確認してください。

よくある問題と利用上の注意

TUNは、アプリがシステムプロキシを読み取らない場合、UDPを一元的に処理したい場合、宛先ルールで通信を振り分けたい場合に適しています。ノード自体の帯域幅、遅延、到達性を改善するものではなく、誤ったサーバーアドレス、ポート、認証情報、転送パラメータを修正することもできません。

安定した設定かどうかは、スイッチが点灯するかではなく、継続利用中のドメイン名前解決、Webアクセス、対象アプリ、LAN接続が期待どおり動作するかで判断します。確認後は現在のルーティングとDNS設定を保存しておくと、後で問題が起きたときに基準設定と比較できます。