🛡️
違いは暗号強度ではない
4つのプロトコルはすべて、破られていない現代暗号を使っています。違うのは、速度、コードの大きさ、不安定なネットワークでの挙動、そして外から見たときの通信の見分けやすさであって、暗号が持ちこたえるかどうかではありません。
ガイド
VPNプロトコル：WireGuard・OpenVPN・IKEv2・Xray/VLESS
VPNプロトコルは、端末とサーバーが暗号化トンネルをどう組み立てるかの取り決めです。WireGuardは最速かつ最シンプル、OpenVPNは最も成熟して柔軟、IKEv2/IPsecはモバイルでのネットワーク切り替えに最も強く、TLS上のXray/VLESSはトンネルの通信を普通のHTTPSに見せかけます。それぞれ、強みと引き換えに何かを差し出しています。
🌍
新しいほうがだいたい速い
同じハードウェアでWireGuardがOpenVPNを上回るのは、軽量なハンドシェイクでカーネル内を走るからです。OpenVPNが年季と引き換えに得たのは、生のスループットではなく、設定の自由度と対応プラットフォームの広さです。
🔑
「見えやすさ」は独立した軸
WireGuard、OpenVPN、IKEv2の通信は、いずれもネットワーク側がVPNトンネルとして分類できます。本物のTLSの中を走るXray/VLESSは、通常のHTTPSセッションと見分けがつかないように設計されています。
VPNプロトコルとは何か、なぜ選択が重要か
プロトコルは、アプリとサーバーの間の取り決めです。鍵をどう交換するか、パケットをどう暗号化して包むか、切れた接続をどう再開するか。契約にはたいてい複数が含まれていて、アプリは接続ごとに1つを選びます。切り替えはメニューの項目であって、一生の約束ではありません。
選択の影響は3か所に現れます。スループットとバッテリー消費は、パケットあたりのCPUコストがプロトコルごとに違うために変わります。安定性は、ネットワークをまたいで移動するときや、厳しいファイアウォールの内側で違いが出ます。そして見えやすさです。ネットワーク機器がVPN通信だと造作なく分類できるトンネルもあれば、分類を避けるために作られたものもあります。3つ全部を制するプロトコルはありません。だからメニューがあるのです。
WireGuard：速度と小さなコードベース
2026年のデフォルトの答えはWireGuardです。古いスタックの数十万行に対して約4,000行のカーネルコード、ネゴシエーションの行列の代わりに1つの現代的な暗号スイート（ChaCha20-Poly1305）、そして1往復で完了するハンドシェイク。実際には、普通のハードウェアで回線速度に迫るスループット、素早い再接続、スマホでの控えめなバッテリー消費を意味します。
その対価は2つの設計特性です。第一に、標準のWireGuardサーバーは各ピアにトンネル内の固定アドレスを割り当てるため、ユーザーごとの安定した識別子を避けるには、事業者が自前の層——内部アドレスのローテーション、切断後のピア状態の破棄——を足す必要があります。それをやっているかどうかは事業者の性質であって、プロトコルの性質ではありません。第二に、WireGuardは特徴的なハンドシェイクパターンを持つUDP上で動くため、VPN通信を特定したいネットワーク機器には見つけやすく、未知のUDPを落とすネットワークでは完全に動かなくなります。
OpenVPN：成熟と柔軟性
OpenVPNは2000年代初頭から本番で使われていて、その年季こそが資産です。20年にわたる精査、ほぼすべてのプラットフォームとルーターでのサポート、そしてほとんどどんなネットワーク構成にも合わせられる設定項目。速度ならUDP、到達性ならTCPで動き、TCPの443番ポートなら、少なくともファイアウォールがめったに閉じないポートを使えます——ただしTLSハンドシェイクはブラウザのものとは依然違うので、分類は可能なままです。
コストは重さです。OpenVPNはパケットをユーザー空間で処理し、パケットごとにカーネル境界をまたぎます。同じハードウェアでのスループットは普通WireGuardの何分の一かで、再接続は一瞬ではなく秒単位です。コードベースとOpenSSLへの依存は桁違いに大きく、それは監査すべき面積が広いということです。それでも、レガシーなルーター、証明書を要求する企業構成、UDPが使い物にならないネットワークでは、今も正しい道具です。
IKEv2/IPsec：スマホのために生まれた
IKEv2を際立たせるのはMOBIKEです。確立済みのトンネルがネットワークアドレスの変更を生き延びられるようにする標準拡張で、Wi-Fiの圏外に出てLTEに移っても、セッションは新しいハンドシェイクなしで移行します——他のプロトコルなら通話の途中で切れる、まさにその瞬間です。iOSとAndroidのネイティブ対応、OSのIPsecスタックによる暗号処理のおかげでバッテリー消費は低く、モバイルアプリの定番デフォルトになっています。
弱点は環境依存です。IKEv2はUDPの500番と4500番ポートを必要とし、制限の厳しいネットワーク——ホテルのWi-Fi、オフィスのファイアウォール——はそれをよくブロックしますし、自前のTCPフォールバックがありません。設定の透明性もWireGuardに劣ります。IPsecのパラメータは交渉で決まるため、設定の甘いサーバーは意図より弱い設定に落ち着くことがあります。モバイルでは強く、敵対的なネットワークでは脆い選択肢です。
Xray/VLESS：HTTPSに見えるトンネル
VLESSはXrayプロジェクト発の軽量トランスポートプロトコルです。最小限のフレーミング、自前の暗号化は持たず、本物のTLSセッションの中で動くよう設計されています。暗号化層が標準のTLS——すべてのWebサイトが使うのと同じプロトコル——なので、443番ポートのVLESS接続は、普通の証明書ハンドシェイクとそれに続く不透明な暗号化ストリームを見せます。外から見たあらゆるHTTPSセッションの姿、そのものです。
これが効いてくるのは、識別可能なVPNプロトコルを分類して絞ったり落としたりするネットワークです。WireGuardのハンドシェイクやOpenVPNのTLSの癖がトンネルの正体を明かしてしまう場面でも、よく設定されたXrayエンドポイントは、統計以上の識別パターンを分類器に与えません。コストは、サーバー側の可動部品が増えること、スループットの上限がカーネルネットワーキングではなくTLS処理で決まること、そして主流プロトコルに比べて小さなクライアントのエコシステムです。Auroraは日常の速度のためにWireGuardを、標準的なトンネルが不安定なネットワークのために自社ノードでXray/VLESSを走らせています。
結局どのプロトコルを選ぶべきか
まずWireGuardで始めて、何か具体的な不具合が出たときだけ変えましょう。実用的な対応表はこうなります。
- デフォルト、速度、ゲーム、大容量ダウンロード——WireGuard
- 一日中Wi-Fiとモバイル回線を行き来するスマホ——IKEv2。再接続が十分速く感じるならWireGuardでも
- Web通信しか許さない厳格なファイアウォール——TCP 443のOpenVPN、できればXray/VLESS
- 識別可能なVPNプロトコルが詰まったり切れたりするネットワーク——TLS上のXray/VLESS
- 古いルーター、または企業の証明書要件——OpenVPN
- よく分からない——アプリを自動のままにして、この順でフォールバックさせる
よくある質問
いちばん速いVPNプロトコルはどれですか？
ほぼすべてのベンチマークとネットワーク条件で、WireGuardです。カーネル空間でのパケット処理、1往復のハンドシェイク、単一の現代的な暗号がパケットあたりのオーバーヘッドを最小に保つため、スループットは回線速度に迫ります。同じハードウェアのOpenVPNは普通その数分の一で、IKEv2は両者の間に落ち着きます。
WireGuardがある今、OpenVPNは時代遅れですか？
いいえ。遅いのは確かですが、WireGuardの届かないハードウェアと環境で動きます。レガシーなルーター、証明書ベースの企業構成、443番ポートのTCPしか通らないネットワーク。20年分の監査にも価値があります。デフォルトの座からフォールバックの座に移っただけで、引退したわけではありません。
スマホに最適なプロトコルはどれですか？
ネットワーク切り替えを最も上品にこなすのはIKEv2/IPsecです。MOBIKEが、Wi-Fiからモバイル回線に移るときに再交渉なしでトンネルを移行させます。WireGuardは僅差の2位——再接続が速すぎて差が見えないことも多く——、バッテリーと素の速度ではたいてい勝ちます。
これらのプロトコルはどれも同じくらい安全ですか？
実用上は、正しく設定されていれば、はい。WireGuard、OpenVPN、IKEv2、TLSベースのVLESSはいずれも、実用的な破りが知られていない現代暗号の上に立っています。現実世界のリスクは設定と運用に宿ります——交渉で決まった弱いパラメータ、古いままのサーバー、ログ取得。4つのどれの数学にでもなく、です。
VPNアプリが勝手にプロトコルを切り替えるのはなぜですか？
自動モードは最速のプロトコルから試し、ネットワークが妨害するとフォールバックします。たとえば未知のUDP通信が落とされてWireGuardが接続できないとき、アプリはTCPベースかTLSに偽装したプロトコルで再試行します。この切り替えは、多少の速度と引き換えに、そのネットワークで動く接続を手に入れるものです。
VLESSとVMessの違いは何ですか？
どちらも同じプロジェクトの系譜です。VMessは暗号化とタイムスタンプ検査を内蔵した古いほうのプロトコル。VLESSはそれを取り払って暗号化をTLS層に委ね、より軽く、解析もしやすくなっています。きちんと設定されたTLSトランスポートの上なら、2つのうち現在推奨されるのはVLESSです。
あわせて読みたい
キルスイッチと漏れ
キルスイッチは、VPNトンネルが切れた瞬間にすべてのインターネット通信を遮断し、アプリが通常回線へ静かにフォールバックするのを防ぎます。これがないと、2秒の切断でも本当のIPアドレスがさらされます。さらに、トンネルが張られている間でも、DNSリクエスト、ブラウザのWebRTC、IPv6の通信はトンネルの脇をすり抜けることがあります。どの漏れにも、簡単なテストと対処法があります。
ルーターとVPN
VPNトンネルをルーターに載せると、ネットワーク上のすべての端末が一度に守られます。アプリを入れられないテレビ、ゲーム機、スマートスピーカーも含めてです。トレードオフは本物です。スループットはルーターのCPUに縛られ、家中が1つの国から出ていくことになり、トラブルシューティングは難しくなります。このガイドでは、構成の種類と決め方を解説します。
旅行とVPN
旅先では、VPNはホテルや空港のWi-Fiで通信を暗号化し、アカウントへのログインをいつもの国からの接続に見せかけ、海外だと挙動の変わるサービスに届かせてくれます。万能薬ではありません。ストリーミングサービスはサーバーのアドレスを検知しますし、現地のルールは国ごとに違います。何より大事なルールはひとつ——出発前にすべてを設定し、テストしておくことです。