大学や企業のネットワークは、規則とセキュリティのために通信を選別しています。ポートやプロトコル（WireGuardが使うUDPなど）、既知のVPNサーバー、DNSの名前をブロックすることが多いです。通常のウェブ通信と同じTCPポート443を通るVPNなら、たいてい通ります。ただし、同意した利用規則に反する場合があるので、先に規則を確認してください。組織が管理している端末では、決して試さないでください。
キャンパスのWi-Fiは、使いたいアプリ以外はすべて問題なく動きます。VPNだけが「接続中」のまま止まり、やがてタイムアウトします。あるいは職場のネットワークで、閲覧はできるのにトンネルのようなものだけを受け付けません。これは不具合ではありません。こうしたネットワークは一部の通信を止めるように作られていて、VPNがその対象になりやすいのです。
この記事は、大学生と職場で働く大人の方に向けたものです。未成年向けの学校のネットワークは別の話なので、ここでは扱いません。
大学や職場のネットワークがVPNを止めるしくみ
ネットワーク管理者が「VPN」そのものを禁止することはあまりありません。止めるのは、VPNを構成する部品です。
| 方法 | 何をするか | 利用者から見えること |
|---|---|---|
| ポートとプロトコルの制限 | ウェブ（TCP 80と443）、DNS、一部のサービスだけを通し、ほかのUDPは捨てる | WireGuardのハンドシェイクが完了しない |
| プロトコルの識別 | ファイアウォールが、大きさや形からVPNの通信開始を見分ける | 一瞬つながって止まる、または始まらない |
| VPNサーバーのブロックリスト | 既知のVPNのアドレスを拒否する | 一部のロケーションだけつながらない |
| DNSのフィルター | ネットワークのDNSが一部の名前を拒否・書き換える | アプリがサーバーを見つけられない、ブロック画面が出る |
| TLSの検査 | 管理された端末で、組織の証明書を使って暗号化通信を開く | セキュリティの警告が出る、アプリが接続を拒む |
理由は、帯域の確保、セキュリティ方針、ライセンス上の決まり、そして単にファイアウォールが初期設定のままだった、ということもあります。VPNを止めれば、マルウェア対策などネットワーク側のフィルターも働き続けます。
eduroamは「ネットワークのネットワーク」
多くの大学が、研究・教育機関向けのローミングWi-Fiであるeduroamを使っています。どの機関でも同じアカウントで使えますが、ネットワークとファイアウォールは各機関がそれぞれ運用しています。そのため、ある大学でつながるVPNが別の大学ではつながらないこともあり、「eduroamの共通ルール」というものはありません。
また、多くの大学は自前のVPNも用意しています。自宅から図書館や学内システムを使うためのものです。これは別の道具で、通信を大学から隠すのではなく、大学のネットワークの中へつなぐものです。VPNの使われ方を調べた研究（USENIX Security 2022）では、多くの利用者が高校や大学でVPNを知り、無料のVPNを使い、所属機関が提供するVPNのほうが安心だと感じていることがわかっています。
まず、使ってよいかを確かめる
VPNはほとんどの国で合法ですが、大学や企業のネットワークは独自の規則を持つ私的なネットワークです。ブロックを回避する前に、次のことを確かめてください。
- 利用規程を読む。アカウントを受け取ったときに同意した規程の中には、トンネルや「セキュリティ対策の回避」を明確に禁じているものがあります。
- 組織が管理する端末ではVPNを使わない。業務用のスマートフォンや仕事用プロファイルでは、VPNが禁止されていることがあります。その場合Androidはアプリを起動させず、変更できるのは管理者だけです。表示される内容は仕事用プロファイルとほかのVPNのヘルプ記事で説明しています。
- 試験、実験室、制限のあるシステムには、独自の規則があることが多いので従ってください。
正当な目的で必要なものがブロックされているなら、情報システム部門や大学の窓口に相談しましょう。どのネットワークで、どのアプリやサイトを、何のために使いたいのか、どんなエラーが出るのかを短く具体的に伝えるのが効果的です。それがいちばん早く、後で問題にもならない方法です。
許されている場合に通るもの
規則上問題がなければ、ネットワークがすでに受け入れているもの、つまりTCPポート443の暗号化されたウェブ通信の中にVPNを通すのが確実です。ステルスモード（難読化）はそのためのものです。
- まず自動モードを試す。良いアプリは速いプロトコル（UDP）を試し、だめなら自動で切り替えます。
- 毎日使うネットワークで自動モードに時間がかかるなら、ステルスを手動で選ぶ。
- 別のロケーションを試す。特定のサーバーのアドレスだけをブロックするネットワークもあります。
- 許さないネットワークもあると受け入れる。ごく一部のサービスしか通さない、またはすべての接続を詳しく検査するネットワークでは、どの設定でも通らないことがあります。それもひとつの答えです。
Wi-FiでVPNがつながらないときの無料診断では、見えている症状を選ぶと、あなたの場合の手順が表示されます。同じ原因はホテルでも起こります。ログインページについてはホテルのWi-FiでVPNがつながらないときの記事で説明しています。
VPNの有無でネットワークから見えるもの
VPNがなければ、大学や職場のネットワークからは、訪れたサイト（DNSの問い合わせと、暗号化通信の開始時に送られるサイト名から）、時刻、データ量がたいてい見えます。ただし、HTTPSのサイトのページ内容や入力内容は見えません。VPNを使うと、見えるのはVPNサーバーへの暗号化された接続とその量だけです。ステルスモードではその接続がHTTPSのように見えますが、高度な検査をするネットワークならVPNだと見抜けることもあります。一覧表はWi-Fiの管理者に見えるものの記事にあります。
こうしたネットワークでのPryVPNの動き
- 自動：まずUDPのWireGuardを試します。約7秒以内にサーバーが応答しなければステルス（TCPポート443のTLS 1.3の中にWireGuardを通す方式）に切り替え、そのネットワークでは数時間それを覚えておきます。
- ステルスはUDPより遅く、Android 10以降が必要です。ステルスの間は、TLS接続をサーバーに届けるため、PryVPNのアプリ自身だけがトンネルの外に出ます。ほかのアプリは保護されたままです。各設定はプロトコルのヘルプ記事で説明しています。
- ネットワークが証明書を差し替えて暗号化通信を検査している場合、PryVPNはそれに気づき、接続せずにお知らせします。そのネットワークを通して何かを送ることはしません。
- VPNを禁止している管理端末では、PryVPNは起動できず、それを回避しようともしません。
どのネットワークでも必ずつながる、という約束ではありません。ただ、UDPを止めているだけのネットワークなら、ネットワークの専門家にならなくてもつながります。そして、ネットワークが許さない場合は、そのことを正直にお伝えします。
よくある質問
VPNを使っていることは大学にわかりますか？
たいていはわかります。VPNサーバーへの接続、ステルスモードならHTTPSのような長い接続と、そのデータ量が見えます。中のサイトや内容は見えません。
大学のWi-FiでVPNを使うのは違法ですか？
ほとんどの国でVPNは合法です。大学の規則は別の問題で、違法なことをしていなくても、利用規程に反すれば処分の対象になることがあります。規則を読み、迷ったら窓口に確認してください。
モバイルデータではつながるのに、Wi-Fiではつながらないのはなぜですか？
ブロックしているのがWi-Fiのファイアウォールで、スマートフォンやVPNの問題ではないからです。携帯電話会社のネットワークには、別の規則があります。
使ってよいネットワークでの道具としてPryVPNが合いそうなら、ベータ版に登録してください。
参考資料
誤りに気づいたらsupport@pryvpn.comまでお知らせください。修正して日付を更新します。
