TUN モードとシステムプロキシの違い:通信の乗っ取り方式を層ごとに解説

まず全体像を分けて考える:Clashはサービスそのものではない

Clashを初めて調べると、「Clashを契約する」「Clashのノードを買う」「Clashのアプリをダウンロードする」といった表現が混在しているため、ひとつの製品や通信サービスのように見えます。しかし、実際には役割が異なるものが組み合わさっています。Clash系クライアントは、端末上でプロキシ通信を処理するためのアプリです。通信の出口となるサーバーや接続情報を提供するサービスとは別物であり、アプリをインストールしただけで利用可能なノードが付属するわけではありません。

整理すると、初心者が確認すべき要素は大きく4つあります。第一に、ノードや接続先を提供するサービス。第二に、そのサービスを利用するための料金プランや契約。第三に、契約先から発行されるURL形式のサブスクリプション。第四に、サブスクリプションを読み込んで実際の通信を処理するクライアントアプリです。設定ファイルは、このサブスクリプションをClashやmihomoが理解できる形式にしたデータだと考えると混乱しにくくなります。

サービスと契約:料金を払う前に見るべき項目

ノードを提供するサービスは、一般に月間または年間の通信プランを販売しています。プランには有効期限だけでなく、転送量、速度制限、同時接続数、利用できる地域、更新方法などの条件が含まれます。「無制限」と書かれていても、速度や接続数に別の制限が設定されている場合があります。価格だけで比較せず、普段使う端末の台数と通信量に合っているかを確認してください。

確認項目	見るポイント	見落としやすい点
転送量	月ごとの上限、リセット日	超過後に停止するか速度制限になるか
有効期限	契約日からの期間、更新日	自動更新の有無と解約方法
接続数	同時に使える端末や接続数	スマートフォンとPCを同時利用できるか
サポート	障害告知、問い合わせ窓口	返金条件やサービス終了時の扱い
配布形式	Clash・mihomo向けURLの有無	特定クライアント専用の形式ではないか

契約先を選ぶときは、公式の案内ページに料金、利用規約、プライバシーポリシー、問い合わせ方法が明記されているかを確認しましょう。運営者情報がまったく分からず、支払いだけを急がせるページや、極端に安い料金を強調するページは慎重に扱うべきです。紹介記事や検索広告に表示された情報だけで契約せず、契約前に実際の販売ページと規約を読み、解約や返金の条件まで保存しておくと、後から確認しやすくなります。

アプリとコア:Clash Verge・Mihomo系をどう選ぶか

クライアントアプリは、画面を提供するGUIと、実際にプロキシ処理を行うコアに分けて考えると理解しやすくなります。現在の設定でよく使われるのは、Clash Metaから発展したmihomoコアです。アプリ名にClashが含まれていても、内部でどのコアを使っているか、更新が続いているか、対応OSは何かによって機能と安定性が変わります。

• Windows:Clash Verge Revなど、mihomoコアに対応したデスクトップクライアントが候補になります。システムプロキシ、TUN、設定ファイル編集のしやすさを確認します。
• macOS:ClashX系やClash Verge系などがあります。IntelとApple Siliconの対応、権限要求、TUN利用時のシステム拡張を確認してください。
• Android:Mihomo系のAndroidクライアントを中心に選びます。VPN権限、バックグラウンド制限、バッテリー消費、TUNの動作を確認することが大切です。
• iPhone・iPad:iOSでは一般的なデスクトップ版と同じ導入方法を使えません。App Storeで配布される対応アプリと、iOSのVPN構成に対応したサービスを選ぶ必要があります。

初心者は機能の多さだけで選ばず、現在も更新されていること、設定画面の説明が理解できること、公式の配布場所が確認できることを優先してください。TUNモード、ルール分流、DNSの高度な設定は便利ですが、最初からすべて有効にする必要はありません。まずシステムプロキシでブラウザの通信を確認し、必要なアプリが対象外になる場合だけTUNを検討すると、原因を切り分けやすくなります。

安全な入手先:検索結果の広告をそのまま信用しない

Clash関連の検索結果には、公式配布ページに似せたミラーサイト、古いインストーラーを置いたまとめサイト、不要なソフトを同梱した再配布ページが表示されることがあります。ダウンロード前に、サイトのドメイン、プロジェクト名、対応OS、更新日、リリース情報を確認してください。検索結果の一番上にあることは、公式であることの証明にはなりません。

1. 配布元を確認する:クライアントの公式サイトや、開発元が案内している配布ページから進みます。短縮URLや、別のダウンロードページへ何度も転送されるリンクは避けます。
2. OSとCPUを合わせる:Windowsのx64、ARM64、macOSのApple Siliconなど、端末に合うビルドを選びます。対応しない版を無理に実行しても起動失敗や動作不良の原因になります。
3. 権限要求を読む:インストール時に管理者権限やVPN権限を求められることはありますが、連絡先、SMS、アクセシビリティなど、用途と関係の薄い権限を要求するアプリは慎重に判断します。
4. 初回起動後に設定を確認する:自動起動、システムプロキシ、TUN、外部コントローラーポートなどが勝手に有効になっていないか確認します。

コントロールパネル用の外部ポートは、通常のプロキシポートとは役割が異なります。たとえばAPIや管理画面を外部ネットワークから開放すると、設定変更や接続情報の漏えいにつながるおそれがあります。外部公開が必要ない場合は、管理用ポートをローカルホストに限定し、認証機能がある場合は必ず設定してください。設定ファイルやログにサブスクリプションURL、認証情報、ノードのパスワードが残っていないかも確認します。

初回設定:小さく動かしてから範囲を広げる

初回導入では、いきなりTUNと複雑なルールを同時に有効化せず、どの段階で問題が起きたか分かる手順にします。画面名はクライアントによって異なりますが、考え方は共通しています。

1. クライアントを公式の配布元からインストールし、アプリのバージョンと内蔵コアの種類を確認します。
2. サービスから発行されたサブスクリプションURLを、サブスクリプションまたはプロファイル画面に登録します。URLを手入力する場合は、前後に空白や改行が入っていないか確認してください。
3. 更新後、設定ファイルが読み込まれ、プロキシグループとノード一覧が表示されることを確認します。ノードが空の場合は、アプリを疑う前に契約期限、URLの有効性、サービス側の対応形式を確認します。
4. 最初はシステムプロキシを有効にし、ブラウザで接続をテストします。特定のドメインだけでなく、通常アクセスする複数のサイトで動作を確認します。
5. 必要な通信がシステムプロキシに対応していない場合だけ、TUNを有効にします。VPN権限や管理者権限を許可した後、他のVPNアプリが同時に動作していないことを確認してください。
6. ルールモードで、接続ログまたはルール一覧から通信がどのポリシーグループに入ったかを確認します。グローバルモードは切り分け用に使い、日常利用では目的に合うルール分流へ戻します。

mode: rule
log-level: info
mixed-port: 7890

上の例は考え方を示す最小限の項目です。実際のポート番号、DNS設定、プロキシグループ、ルールはクライアントや配布された設定によって異なります。サブスクリプションの内容を確認せず、別の設定例を丸ごと上書きするのは避けてください。特にmixed-portを変更した場合は、システムプロキシ側のポートも同じ番号に合わせる必要があります。

最初に避けたい失敗:動かない原因を増やさない

初心者がつまずきやすいのは、複数の設定を一度に変更してしまうことです。ノードを選び、モードを変え、DNSを変更し、TUNを有効にした直後に通信できなくなると、どの変更が原因なのか分からなくなります。変更は一項目ずつ行い、その都度、アプリの状態、接続ログ、ブラウザの結果を記録してください。

• サブスクリプションURLを他人から購入する:出所が分からず、期限切れや情報流出のリスクがあります。契約したサービスから自分で発行されたURLを使います。
• 無料設定を無条件で読み込む:外部設定には、通信先の変更、過剰なルール、意図しないDNS、管理APIの設定が含まれる場合があります。内容を確認できない設定は常用しないでください。
• TUNを常時有効にする:全通信を処理できる反面、権限、DNS、ルーティング、バッテリー消費の問題が増えます。必要な範囲で使うのが基本です。
• ログをdebugのままにする:詳細ログは調査には役立ちますが、通常利用では記録量が増えます。調査後はinfoまたはクライアントの標準設定に戻します。