ShadowrocketのVMessとVLESSの違い｜UUID・暗号化・トランスポートを解説

VMessとVLESSの主な違い

名称や新旧で判断せず、サーバー側の設定に合わせてプロトコルを選びましょう。VMessは認証とプロトコル層の暗号化機能を備えたプロキシプロトコルです。一方、一般的なVLESSの設定ではプロトコル自体にデータ暗号化機能がなく、通常はTLSなどの外部レイヤーで通信を保護します。どちらも複数のトランスポート方式に対応するため、「VMessはWebSocket」「VLESSはTLS」という対応関係は正確ではありません。

VMessのAEAD認証とデータの暗号化は関連していますが、同じものではありません。AEADはTLSのオン・オフを切り替える設定でもありません。以前の設定にAlterIdが含まれていても、互換性を試すために独自の値へ変更せず、利用中のサービスの管理者に現在有効な設定を確認してください。VLESSにFlowなどの追加設定がある場合も、クライアントとサーバーの双方が対応し、設定が正しく一致している必要があります。他の設定から推測して入力するのは避けましょう。

UUIDはユーザー識別情報であり、暗号化方式ではありません

UUIDは、サービスの利用を許可されたユーザーをサーバーが識別するためのものです。書式が同じでも、2つのプロトコルで同じアカウント設定を使えるとは限りません。サーバー側で該当プロトコルのユーザーとして登録されている必要があり、アドレス、ポートなどの設定も一致していなければなりません。UUIDのコピー時に空白が入ったり、文字が欠けたりすると、認証に失敗します。

• UUIDは省略せずにコピーしてください。表示名、サブスクリプションのtoken、通常のログインパスワードをこの欄に入力しないでください。
• 保存前に、先頭と末尾の空白、改行、文字の置き換わりがないか確認してください。特にアプリ間でコピーした内容は注意が必要です。
• UUIDやサブスクリプションURL全体が見える状態で、公開用のスクリーンショットを撮らないでください。問題を調べる際は、項目名とエラーの内容が分かれば十分です。

プロトコル、Transport、TLSの役割

サーバー設定は、それぞれ独立した複数の層から成ると考えると分かりやすくなります。VMessまたはVLESSはプロキシプロトコル、TCPやWebSocketなどはデータの運び方、TLSは外部レイヤーで保護された接続を確立するかどうかを決めます。WebSocket自体はTLSを意味しません。TLSを有効にしたWebSocketと、無効にしたWebSocketでは、接続先サーバーの要件も異なります。

WebSocketとTLSを使う既存設定を例にすると、サーバーアドレスは接続先を指定し、Portは待ち受けポートを指定します。WebSocketのHostとPathはサーバー側のルーティングに合わせ、TLSのServer Name（SNI）はハンドシェイク時に接続先の名前を示します。これらに同じドメイン名を使う場合もあれば、構成に応じて別々に指定する場合もあります。ドメイン名に関する欄が複数あるからといって、すべてをサーバーのIPアドレスに変更しないでください。

ここで推奨しているのはTLSの設定方法であり、既存のすべての設定でTLSを強制的に有効にするという意味ではありません。サーバーのポートがTLSなしの接続のみを受け付ける場合、クライアントでTLSだけを有効にするとハンドシェイクに失敗します。また、ポート番号が443であることは一般的な構成例にすぎず、使用中のプロトコルや暗号化の状態を示すものではありません。

Add Serverで入力する順序

サブスクリプションや共有設定が一式そろっている場合は、まずインポートしてから各項目を確認しましょう。手入力で設定し直すより、パラメーターを保ちやすくなります。手動で入力する場合は、Homeの右上にある追加ボタンからAdd Serverを開き、先にTypeを選択してから、その種類の画面に表示される項目を入力します。種類やアプリの画面状態によって表示項目は変わります。以下は確認の順序であり、すべての項目が同時に表示されるとは限りません。

1. Typeを確認します。サーバーがVMessならVMessを、VLESSならVLESSを選択してください。種類が一致しない場合、ほかの項目が同じでも有効な設定とは限りません。
2. アドレスとPortを入力します。アドレス欄にはホスト名またはIPアドレスを入力し、Webページのパスは付けません。ポートはサーバー側の指定どおりに入力してください。たとえばサーバーの指定が8443の場合、TLSを有効にするからといって443に変更してはいけません。
3. UUIDを入力します。この設定に対応するユーザー識別情報を使用してください。VMessの暗号化オプションや、VLESSのEncryption、Flowなどの追加項目は、利用中のサービスの設定に従います。
4. Transportを確認します。サーバーがWebSocketを使用する場合は、HostとPathを確認してください。別のトランスポート方式を使う場合、WebSocket用の項目を流用しないでください。
5. TLSを確認します。有効・無効の設定、Server Name、証明書の検証設定を確認してください。アドレスにIPアドレスを使う場合でも、サーバー側でドメイン形式のServer Nameが必要なことがあります。
6. 保存して設定を選択します。Homeに戻り、SERVER一覧から保存したサーバーを選んでから接続を確認してください。以前に選択した別の設定をテストしないよう注意しましょう。

接続できない場合は、症状から原因を絞り込む

まず、実際にどのサーバー設定を使っているかを確認し、どの層で失敗しているかを切り分けます。Homeの接続スイッチがオンになっていることは、端末上で接続処理が始まったことを示すだけです。リモート側の認証、TLSハンドシェイク、接続先Webページへのアクセスがすべて成功したことを意味するわけではありません。Connectivity Testは初期確認に使えますが、1回の結果ですべてのドメイン、ルール、アプリの接続状況を判断することはできません。

トラブルシューティングでは一度に1項目だけ変更し、変更前後の状況を記録してください。プロトコル、ポート、SNI、Pathを同時に変更すると、接続が復旧しても原因を特定できません。サブスクリプションで管理されている設定の場合は、問題の情報を保存し、更新後のパラメーターを確認してから作業してください。次回のサブスクリプション更新で手動変更が上書きされることがあります。

プロトコル名だけで判断せず、設定と接続を確認する

一般ユーザーが選ぶ際は、まず利用中のサービスがどのプロトコルに対応しているかを確認し、次にShadowrocketの各項目が設定一式と一致するかを確認して、最後に実際の接続結果を比較します。VLESSはより簡潔な設計ですが、どの回線でも速いとは限りません。VMessがプロトコル層の暗号化機能を備えていても、TLS、証明書、サーバーの識別情報を確認しなくてよいわけではありません。遅延、混雑、サーバー負荷、トランスポート方式はいずれも使用感に影響します。

• 同じ条件でテストします。同じネットワークから同じ接続先にアクセスし、ネットワークの切り替えによる差をプロトコルの違いと混同しないようにします。
• ルーティングとプロトコルを区別します。Configはルールに基づいて接続方法を選択し、Proxyは対象の通信をプロキシ経由でテストする際に使います。Directは直接接続です。ルーティング設定でVMessがVLESSに変わることはありません。
• ドメインへのアクセスを確認します。サーバーに接続できてもドメインにアクセスできない場合は、DNSとルールの適用状況を確認してください。すぐにUUIDを入力し直す必要はありません。
• 手動での接続確認後に自動接続を設定します。On Demandを設定する場合は、Settings → On Demandを開いて条件を確認してください。自動接続を有効にしても、サーバー設定の誤りは解消されません。