VPNを使うアプリを、経路を把握しながら選ぶ

ノートパソコンでは、ブラウザーの通信を保護しながら、別のアプリには通常の接続を使わせたい場合があります。スプリットトンネルなら両立できることがありますが、機能名だけでは、どの通信がどの経路を通るかは分かりません。あるクライアントのチェックボックスは「このアプリをVPN経由にする」、別のクライアントでは「このアプリを除外する」という意味かもしれません。まず期待する動作を短いリストにまとめ、関係するアプリを一つずつテストするのが有効です。選択肢があるからといって、大量の例外を作らないでください。どの例外にも、説明でき、後から見直せる明確な目的が必要です。

アプリを選ぶ前にスプリットトンネルの方針を決める

アプリ、作業内容、意図する経路を書き出します。例えば、調査に使うブラウザーはトンネルを通し、別のアプリは文書で確認できる互換性上の理由から直接接続が必要かもしれません。これは構成例であり、すべての人への推奨ではありません。勤務先が管理する端末では、個人的な希望より管理者のアクセス方針が優先されます。

そもそも例外が必要かを考えます。症状がプリンターを見つけられないことだけなら、ブラウザー全体を除外しても、本来の問題とは違うものを解決しようとしている可能性があります。ローカル機器の検出、端末の権限、ローカルネットワークへのアクセスは、それぞれ調べる必要があります。プリンターやキャスト機器への接続を保つガイドでは、この限定的な状況を説明しています。インターネットへの直接接続を認めることと、近くの機器へのアクセスを許可することは別の判断です。

変更案ごとに担当者と理由を書き添えます。個人のスマートフォンなら担当者は自分です。共有パソコンでは、このメモがあれば次の利用者が「接続済み」の表示はすべてのプログラムに当てはまると思い込むのを防げます。日付も記録してください。一時的な障害のために設けた例外が、知らないうちに恒久的なものになるべきではありません。

選択が包含と除外のどちらなのかを読む

アプリ選択には一般に二つの方式があります。包含リストはトンネルに入れるプログラムを指定し、除外リストはトンネルを通さないプログラムを指定します。つまり、同じ三つのアプリ名を並べても、正反対の方針を表すことがあります。強調表示だけを頼りにせず、クライアントの説明文を読んでください。

AndroidのVPN開発文書では、許可するアプリのリストと許可しないアプリのリストを代替的な方式として説明しています。また、変更には接続の再確立が必要とも記載されています。これは一般向けのすべてのクライアントが同じ操作画面を持つという意味ではありませんが、リストの変更を有効にするために再接続が必要な場合がある理由を説明しています。

包含方式では、新しいアプリをインストールしたときに注意が必要です。新しいプログラムは選択済みの範囲に入っていないかもしれません。除外方式では、元の目的がなくなった例外が残り続けることに注意が必要です。どちらかが自動的に優れているわけではありません。確実に管理できる方式を選び、リストにないアプリがどう動くかを確認してください。プラットフォームごとに翻訳が異なる機能名から推測しないようにします。

クライアントとOSを組み合わせて確認する

サブスクリプションはアクセス認証情報や接続先を提供しますが、経路設定はそれらを読み込むソフトウェアにも依存します。同じサブスクリプションを使う二つのクライアントで、利用できる操作項目が異なることがあります。同じアプリ名でも、スマートフォン版とデスクトップ版で機能が違う場合があります。クライアント互換性のチェックリストは、インストールしたプログラムが希望する方針を実際に実現できるか判断する際に役立ちます。

Androidでは、VPN外の接続をブロックするOS設定が、除外したアプリに影響する場合があります。文書に示された動作では、許可されたトンネル経路に入らないアプリは、直接接続できるのではなく、通信できなくなることがあります。厳格な方針なら、それは正しい結果かもしれません。サブスクリプションが期限切れになった証拠ではありません。

例外を動かすために、影響を考えずにブロック設定を解除しないでください。まず、この端末と作業で直接通信を許容できるか判断します。許容できなければ、別の対応している構成を選びます。元の設定のスクリーンショットや短いメモを残しておきますが、サブスクリプションURL、設定用の鍵、個人のアカウント情報は含めないでください。

ブラウザーの表示ではなくアプリをテストする

機密情報を使わないテスト作業を二つ準備します。一つは予定したトンネル方針の対象内、もう一つは対象外です。不要なバックグラウンド処理を終了してVPNに接続し、文書で勧められている場合は対象アプリを再起動します。選択したブラウザーで公開IPアドレスを確認して分かるのは、そのブラウザーのリクエストについてです。別のメールクライアント、ゲーム、ファイル同期処理が使う経路までは証明できません。

アプリが診断情報を提供するなら、それでアプリ自身の接続を確認します。提供しない場合は、観察できた結果を記録し、適切なテスト方法をサポートに相談します。アドレスを表示させるためだけに、見知らぬ検査用拡張機能をインストールしたり、認証情報を共有したりしないでください。ログインの成功だけでは特定の経路の証拠になりません。同じサービスが、どちらの経路からも接続を受け入れる可能性があるためです。

クライアントの通常の操作で切断し、再接続した後にテストを繰り返します。認証のためにアプリがブラウザーを起動する場合は、その引き継ぎもテストに含めてください。ログインページが、アプリ本体とは別のプログラムで動いているかもしれません。Androidの接続ガイドを参照するときも、実際に使用しているクライアントと端末に合った手順を使います。

経路と本人識別、フィルタリングを区別する

プログラムを除外するとネットワーク経路は変わりますが、別人になったり、既存のアカウントセッションが消えたりするわけではありません。サービスは引き続き、行動をログイン中のアカウントと関連付けられます。ブラウザーをトンネル外に移しても、Cookie、保存済み設定、アカウント履歴が以前の利用から自動的に切り離されるわけではありません。

DNSやフィルタリングも明示的な確認が必要です。アプリはOS、VPN、またはアプリ自身の設定で選ばれたリゾルバーを使うことがあります。経路の例外がこれらの選択に与える影響は、クライアントによって異なる可能性があります。DNSベースのブロック機能を頼りにしているなら、すべての機能が接続表示に従うと仮定せず、除外したアプリで期待する動作を確認してください。

メモでも、意図した経路、観察した動作、未解決の疑問を区別します。例えば「動画アプリは直接接続で動く」は観察結果ですが、「そのバックグラウンドリクエストはすべてトンネルを通らない」は、はるかに強い主張です。後者が重要なら、文書化された構成と、それを実際に測定できるテストを求めてください。症状が便利に改善したことを、安全性の保証に置き換えないようにします。

自分で説明できる小さな方針を維持する

端末を買い替えたとき、アプリを再インストールしたとき、クライアントを変更したときは、リストを見直します。目的がなくなった例外を削除し、残りの作業を再テストします。理由が明確な短いリストの方が、ネット上のトラブル対処ガイドから大量にコピーした例外よりも管理しやすくなります。

Lumeraya Helpに相談する際は、端末、OSのバージョン、クライアント名、選択方式、一つのアプリに期待していた動作を伝えてください。まったく通信できないのか、予想外の経路を使うだけなのかも説明します。公開スクリーンショットには、秘密の設定情報を載せないでください。

良いスプリットトンネル構成では、理解できる証拠が得られます。どのプログラムが含まれ、どれが除外され、何が未確認かを把握できる状態です。例外に具体的な目的がない限り、通常の通信は既定の保護された経路に置きます。昨日機能したチェックボックスを端末の永久的な説明とみなさず、環境が変わったらその目的を再確認してください。