VPNをオンにするとプロバイダーには何が見えるのか——隠れるもの、隠れないもの（2026年）

結論から言うと、VPNの中を流れるものはプロバイダーには読めません。ただし、VPNがあること、どのアドレスにつながっているか、いつ使っていたか、どれだけの量が流れたかは見えます。携帯キャリアやカフェのWi-Fiの管理者も同じです。VPNは見えるものを大きく減らしますが、ゼロにはしません。誤解のほとんどは、この差から生まれます。

VPNなしで見えるもの

トンネルがなければ、プロバイダーはすべてのパケットの通り道にいます。接続先サーバーのアドレスと時刻、プロバイダーのDNSで名前を引いていればそのDNS問い合わせ、そしてほぼすべてのHTTPS接続の冒頭にあるサイト名（SNI）が見えます。SNIはDNSを暗号化していても見えます。Encrypted Client Helloがこれを変えつつありますが、まだどこでも使えるわけではありません。HTTPSのサイトのページやフォーム、メッセージの中身は見えません。

VPNを使っても見えるもの：サーバー、時間、量

VPNを使うと、すべてのパケットは1台のサーバーに向かいます。長い接続先のリストが、1本の流れになるわけです。ただし、そのサーバーのアドレスは見えたままで、そこから分かることもあります。データセンターのネットワークは、家庭や携帯の回線とは様子が違います。自宅の回線からデータセンターの1台へ長時間つながっている、というだけで見分けのつく形になります。

暗号化が守るのは中身で、封筒ではありません。接続の開始と終了、各方向のバイト数、どんな波で送られたかは、引き続きプロバイダーに見えます。双方向に一定の流れが30分続けば通話らしく、一方向に数GBなら大きなダウンロードらしく見えます。どのサイトを開いたかは分かりませんが、生活のリズムは分かります。正直に言えば、VPNが隠すのは中を通るものであって、VPNを使っているという事実ではありません。

トンネル自身のハンドシェイク

開いたサイトのハンドシェイクはトンネルの中を通ります。しかしトンネル自身のハンドシェイクは外側にあり、そこで何が読めるかはプロトコルによって違います。

• VLESS Reality：実在する第三者のサイトに向けたハンドシェイクで、そのサイトの名前を載せます。記録されるような自分のドメインはありません。弱点は別のところにあり、接続先のアドレスとその名前の持ち主が一致しないため、照らし合わせることはできます。
• Hysteria2などQUICを使うプロトコル：最初のQUICパケットは、RFC 9001で公開されている値から作る鍵で保護されています。経路上の誰でも復号して名前を読めます。QUICだけでは名前は隠れません。
• 自前ドメインで普通のTLSを使うVLESSやTrojan：ハンドシェイクにそのドメインが平文で載り、通信に付いたままのラベルになります。
• WireGuard：TLSがないので名前もありません。それでも見えないわけではなく、ハンドシェイクは先頭バイトが決まった148バイトと92バイトのメッセージなので、長さを見る簡単なルールで見分けられます。

トンネルの外に漏れる経路

• トンネル外のDNS：クライアントが名前解決を引き受けないと、問い合わせはプロバイダーのDNSへ行きます。これはVPNが隠すはずだったサイトのリストそのものです。
• IPv6：トンネルがIPv4しか運ばず、回線にIPv6があると、IPv6対応のサイトには直接つながります。IPoE環境でのふるまいはIPoE（v6プラス・transix）環境でVPNはどう動くのかで説明しています。
• 除外設定：VPNの外に出すよう設定したサイトやアプリは、VPNなしと同じように見えます。
• 起動時と再接続時：トンネルが立ち上がるまでの間（起動時とネットワークが切り替わるたび）、通信は普段の経路を通ります。切断時の遮断機能がなければ、この数秒は見えます。

当社アプリの扱い

• 現在地：「Where are you?」の画面に2つのモードがあります。「I am abroad」では、ロシアのサイトも含めてすべての通信が当社を通ります。「I am in Russia」ではロシアのサイトが直接開き、プロバイダーにはVPNなしと同じように見えます。ロシア国外なら「I am abroad」を選んでください。アプリの表示は今のところ英語とロシア語のみです。
• iPhoneとiPadのDNS：サイト名はCloudflareがDNS-over-HTTPSで、VPNサーバー経由で解決します。直接開くサイトの名前は、VPNの外でYandexの公開DNSが解決します。
• パソコンのDNS：サイト名はCloudflareとGoogleが解決し、問い合わせはVPNサーバーを経由します。IPv6もIPv4と一緒にトンネルに入れます。
• サーバーのアドレスは、接続する前にお使いのネットワークのDNSで調べます。そうしないと接続先がないためです。この1回の問い合わせはプロバイダーに見えます。
• 切断時：iPhoneとiPadには「Block the internet if the VPN drops」のスイッチがあり、VPNがオンの間はその外を何も通しません。

見る人は消えず、場所を移るだけ

プロバイダーに見えなくなったものは、別の誰かに見えるようになります。通信はVPNサーバーからインターネットに出るので、その運営者が以前プロバイダーのいた位置に立ちます。だから「プロバイダーに何が見えるか」は、いつも「VPNサービスに何が見えるか」とセットで考えるべきです。

プロバイダーが何を保存するかは、法律と事業者の方針で決まります。日本では電気通信事業法が通信の秘密を定めていますが、どの記録をどれだけの期間残すかは事業者ごとに異なります。VPNを使えば、その記録に残るのはVPNサーバーへの接続であり、見たサイトではありません。

自分の接続を確かめる手順

1. 1VPNをオンにして当社の漏れチェックを開きます。サイトから見えるアドレスと国、WebRTCの漏れ、タイムゾーンが分かります。DNSはまだ調べられません。
2. 2パソコンでIPv6をcurl -6 https://ifconfig.coで確かめます。自宅のアドレスが返ればIPv6がトンネルの外を通っています。接続エラーならIPv6自体がないということで、これも問題ありません。
3. 3再接続を確かめます。Wi-Fiをオフにしてまたオンにし、すぐにチェックを開き直します。切断時の遮断が効いているかは、この数秒で分かります。
4. 4確認は毎週ではなく、クライアントを替えたとき、OSを更新したとき、回線を替えたときに行います。

よくある質問