VPNを使えば、すべての通信が自動的に安全になるわけではありません。VPNは端末とVPNサーバーの間の通信を保護し、接続先から見える出口IPアドレスを変更する仕組みですが、DNS問い合わせが通常の回線へ流れていたり、ブラウザのWebRTC機能から実際のネットワーク情報が見えたりする場合があります。また、VPN事業者がどのようなログを保存するか、クライアントがどの暗号化方式とプロトコルを使うかによって、プライバシー上の意味も変わります。
この記事では、DNS漏洩が起きる仕組み、確認時に見るべき項目、Windows・macOS・Android・iOS・Linuxや互換クライアントでの設定確認、さらに公衆Wi-Fi、決済、アカウント利用時の注意点を整理します。速度やノード数だけでVPNを選ぶのではなく、実際に自分の端末からどのDNSサーバーが見えているかを確認することが重要です。
VPNで保護できる範囲と限界
VPNクライアントを接続すると、端末からVPNサーバーまでの通信は暗号化されたトンネルを通ります。家庭のルーターや公衆Wi-Fiの利用者から、アクセス先の詳細やDNS問い合わせを直接見られにくくすることが主な役割です。一方、VPNサーバーから先の通信は、接続先のサービスが採用するTLSやアプリ側の暗号化に依存します。VPNを使っているからといって、ログイン先のサービス、ブラウザ、端末自体が安全になるわけではありません。
VPNはウイルス対策ソフトの代わりでもありません。偽サイトへ自分でログインすれば認証情報が盗まれる可能性がありますし、端末にマルウェアが入っていれば、VPNトンネルの内側から情報が読み取られる場合があります。利用者が入力するパスワード、決済情報、ワンタイムコードは、VPNの有無とは別に、サイトのドメイン、証明書警告、二要素認証の状態を確認する必要があります。
100+
対応国
220+
回線数
不限
同時接続台数
60日
無条件返金
VPNサービスを比較するときは、対応国や回線数だけでなく、公式クライアントがDNS保護、キルスイッチ、IPv6処理、WebRTCへの対策をどの程度行うかを確認してください。VPNRZはWindows、macOS、iOS、Android、Linuxに対応していますが、同じ機能名でもOSごとに許可される設定や動作は異なります。スマートフォンではOSのVPNプロファイル、デスクトップではアプリのルーティングやファイアウォール設定が結果に影響します。
DNS漏洩はなぜ起きるのか
DNSは、ドメイン名をIPアドレスへ変換する仕組みです。ブラウザでウェブサイトを開く前に、端末やブラウザはDNSサーバーへ問い合わせを行います。VPN接続が有効でも、この問い合わせだけが通常のネットワークへ流れると、VPNを使っているのに通信先のドメイン名をインターネットサービスプロバイダーやネットワーク管理者に推測される可能性があります。
代表的な原因は、VPN接続後も端末が以前のDNS設定を保持していることです。自動設定されたDNS、家庭用ルーターのDNS、手動で入力したパブリックDNSが優先されると、VPNトンネルの外側で名前解決が行われる場合があります。IPv6を無効にせず、VPNクライアントがIPv6経路を十分に処理できない場合も、IPv4だけを確認したテストでは見つからない漏洩が発生することがあります。
もう一つの原因は、分割トンネリングやルール分岐です。業務サイトや国内サービスを直接接続する設定では、DNS問い合わせも直接経路へ出る設計になっていることがあります。これは必ずしも不具合ではありませんが、すべての名前解決をVPN側へ送るつもりなら、グローバルモード、ルールモード、DNSモードの関係を確認する必要があります。
| 確認対象 | 漏洩が起きる例 | 確認する設定 | 注意点 |
|---|---|---|---|
| IPv4 DNS | 通常回線のDNSが表示される | VPN接続後のDNSサーバー | IPv4だけでは判断しない |
| IPv6 DNS | VPNがIPv6を処理せず直接接続する | IPv6の経路とDNS設定 | 端末とルーターの両方を確認する |
| 分割トンネル | 除外アプリや除外ドメインが直接名前解決する | アプリ・ドメイン別ルール | 意図した除外かを確認する |
| ブラウザのDoH | ブラウザが独自のDNSを使う | Secure DNSやHTTPS DNSの設定 | OS側のDNS結果と一致しない場合がある |
| WebRTC | ブラウザが候補アドレスを提示する | ブラウザの権限とWebRTC対策 | DNS漏洩とは別の確認項目 |
DNS漏洩を自分で確認する手順
確認は、VPNを切った状態と接続した状態を分けて行います。同じブラウザ、同じネットワーク、同じDNSチェックページを使うことで、条件の違いによる誤判定を減らせます。チェックページに表示されるDNS事業者、国や地域、IPv4・IPv6の有無を記録してください。表示された組織名が自分の契約回線や家庭用ルーターと一致する場合、VPN接続中に通常経路が残っている可能性があります。
- VPNを切断して基準を確認する。DNSチェックページを開き、通常回線で表示されるDNSサーバーとIP情報を確認します。これは比較用の基準であり、異常とは限りません。
- VPNの公式クライアントを接続する。接続先を選び、クライアントに接続済みと表示されるまで待ちます。接続ボタンを押した直後ではなく、トンネルが確立した状態で確認してください。
- DNS結果を再確認する。ページを再読み込みし、DNS事業者、アドレス、地域表示を記録します。通常回線と同じDNSが残っている場合は、漏洩の可能性があります。
- IPv6も確認する。IPv6アドレスやIPv6 DNSが表示されるページでは、VPN接続中のIPv6が保護経路に入っているかを見ます。IPv6だけ通常回線の情報になる場合は、VPN側の対応を確認してください。
- ブラウザを変えて比較する。ブラウザ独自のSecure DNSやDoHが有効だと、OSのDNS設定と違う結果になる場合があります。別のブラウザでも確認し、差が出た場合はブラウザのDNS設定を見直します。
- 切断後に元へ戻るか確認する。VPNを切断し、通常回線のDNSとIPに戻ることを確認します。切断後も古いDNSや経路が残る場合は、クライアントの再接続、ネットワークの再起動、DNSキャッシュの消去を順番に試します。
DNSチェックの結果だけで完全な匿名性を判断することはできません。チェックページは、その時点で観測できるDNS問い合わせを表示するものです。アプリが独自の名前解決を行う場合、別のプロトコルを使う場合、企業ネットワークが内部DNSを強制する場合には、一般的なブラウザテストと実際のアプリ動作が一致しないことがあります。重要な環境では、OS、ブラウザ、VPNクライアントの設定を別々に確認してください。
公式クライアントと互換クライアントの設定
公式クライアントを使う場合は、設定画面でDNS保護、キルスイッチ、IPv6、分割トンネリング、自動接続の項目を確認します。名称はOSやアプリのバージョンによって異なりますが、VPNが切断されたときに通信を止める機能があれば、保護経路が失われた瞬間の直接通信を抑えられます。ただし、キルスイッチがDNS問い合わせまで止めるかどうかは実装によって異なるため、設定を有効にした後も実際のチェックが必要です。
Clash Verge、sing-box、Shadowrocketなどの互換クライアントでは、サブスクリプションを導入しただけではDNS保護が完成しない場合があります。DNSサーバー、Fake-IPまたはRedir-Hostの方式、ルールの優先順位、IPv6の処理、直連ドメインの扱いを確認してください。たとえば、ルール上は特定のドメインをDIRECTにしているのに、DNSだけはVPN経由にしたい場合、DNSのモードとルールの設計が一致していなければ意図と異なる動作になります。
Shadowsocks、VMess、Trojan、Hysteria2、WireGuardは、それぞれ通信方式や設定項目が異なります。しかし、プロトコル名だけでDNS漏洩の有無が決まるわけではありません。DNSをどのサーバーへ送り、どのインターフェースから出し、VPN切断時に何を遮断するかが重要です。サブスクリプションリンクを導入した後は、更新でルールやDNS設定が変わる可能性もあるため、更新後にもう一度確認しましょう。
- ✅ 公式クライアントではDNS保護とキルスイッチの状態を確認する
- ✅ 互換クライアントではDNSモード、ルール、IPv6処理を別々に確認する
- ✅ サブスクリプション更新後はDNSチェックをやり直す
- ❌ プロトコル名だけを見てDNS漏洩がないと判断しない
- ❌ 公式クライアントと互換クライアントを同時に起動しない
WebRTCとIPアドレスの確認
DNS漏洩とWebRTC漏洩は別の問題です。WebRTCはブラウザで音声通話やビデオ通話などを実現する技術で、接続候補を調べる過程でローカルアドレスやネットワーク情報が表示されることがあります。VPN接続中にWebRTCテストを行い、通常回線のIPや意図しない候補が表示されないか確認してください。
WebRTCの扱いはブラウザごとに異なります。不要な場合は、サイトごとのカメラ・マイク権限を見直し、プライバシー設定や拡張機能の説明を確認します。信頼できない拡張機能を多数追加するより、ブラウザ標準の権限管理とVPNクライアントの公式機能を優先した方が、設定の変更点を追跡しやすくなります。
公衆Wi-Fi、決済、アカウント利用時の注意
公衆Wi-Fiでは、接続先が正規のアクセスポイントかを確認してください。VPNは偽アクセスポイントそのものを見分ける機能ではなく、端末が危険なネットワークへ接続することを防ぐものでもありません。自動接続を無効にし、共有設定を見直し、VPNが確立する前に重要なサイトを開かないようにすると、意図しない直接通信を減らせます。
決済を行うときは、VPNを使っているかどうかにかかわらず、公式アプリや正しいドメインを使用してください。決済サービスが地域、IP、端末、追加認証を組み合わせて判定している場合、出口地域を頻繁に変えると本人確認が追加されることがあります。決済が失敗したときに、何度も再試行するのではなく、VPNの出口、ブラウザのCookie、サービス側の通知を確認する方が安全です。
アカウント利用では、VPNがパスワードを保管してくれるわけではありません。長く使い回したパスワードを避け、二要素認証を有効にし、共有端末ではログアウト状態を確認してください。VPNのログ方針も確認し、接続日時、IP、DNS問い合わせ、帯域使用量など、何が保存されるのかを利用規約とプライバシーポリシーで読みます。「ログなし」という短い宣伝文句だけでなく、保存期間、法的要請への対応、アカウント情報との結び付きも確認対象です。
| 利用場面 | 優先する確認 | 避けたい行動 |
|---|---|---|
| 公衆Wi-Fi | アクセスポイント名、VPN接続、共有設定 | VPN確立前に決済や管理画面を開く |
| オンライン決済 | 公式アプリ、正しいドメイン、追加認証 | 失敗した決済を無確認で繰り返す |
| 仕事用アカウント | 組織のVPN方針、DNS、端末管理 | 許可なくルールや証明書設定を変更する |
| 共有端末 | ログアウト、ブラウザ権限、保存パスワード | 他人の端末に認証情報を残す |
DNS漏洩が見つかったときの切り分け
最初に、VPNが本当に接続済みか、アプリが一時停止していないかを確認します。次に、他のVPNクライアント、プロキシ、セキュリティソフト、ブラウザのSecure DNSが同時に動いていないかを調べます。複数のネットワーク制御ツールを同時に使うと、どの設定がDNSを変更しているのか分かりにくくなります。
その後、分割トンネリングを一時的に無効にし、IPv6の処理を確認します。これで漏洩が止まるなら、原因は除外ルールかIPv6経路に絞りやすくなります。公式クライアントで問題がなく、Clash Vergeやsing-boxなどでだけ問題が出る場合は、サブスクリプションのノードではなく、互換クライアント側のDNSモードやルールを確認してください。
DNSキャッシュを消去してから再接続することも有効です。ただし、キャッシュ削除だけで根本原因が解決するとは限りません。ネットワークを切り替えた後、VPNを再接続し、ブラウザを完全に終了してから再テストします。改善しない場合は、VPN事業者へOS、クライアント名、使用プロトコル、DNSチェック結果、分割トンネルの状態を伝えると、再現条件を整理しやすくなります。パスワードや完全な接続情報をサポートへ送らないよう注意してください。
- ✅ VPN接続状態と自動接続の設定を確認する
- ✅ 他のVPN、プロキシ、セキュリティソフトを一時的に整理する
- ✅ 分割トンネルを無効にして結果を比較する
- ✅ IPv4とIPv6を別々に確認する
- ❌ DNSチェック結果だけを添付して個人情報を無加工で共有しない
よくある質問
DNSチェックで複数のサーバーが表示されたら漏洩ですか？
パブリックDNSを手動設定すれば安全になりますか？
公式クライアントとClash Vergeを同時に使えますか？
VPNを使えばアカウントは匿名になりますか？
VPNの安全性を判断するときは、宣伝上の速度や国数だけでなく、DNS、IPv6、WebRTC、ログ方針、クライアントの更新、切断時の挙動まで確認することが大切です。最初に一度チェックして終わりではなく、OSの更新、VPNクライアントの変更、サブスクリプション更新、ルール変更の後に同じ手順を繰り返してください。VPNは正しく設定して初めて、日常の通信経路を守るための現実的な道具になります。