VMessとVLESSの違い：暗号化と接続パラメータが1分でわかる

プロトコル・トランスポート・セキュリティ層を分けて考える

VMessとVLESSはいずれも、クライアントがサーバーとプロキシ接続を確立する方法を定義しますが、接続に必要なすべてを担当するわけではありません。正常に使えるノードには通常、認証とデータ処理を担うプロトコル、データを運ぶトランスポート方式、暗号化とサーバー認証を担うセキュリティ層という3種類の情報が含まれます。この3層を混同することが、ノード取り込み後によくある誤解です。

VMessは比較的早くから使われてきたプロトコルで、ユーザー認証、時刻に関する検証、プロトコル層のデータ保護を備えています。クライアントは通常、128ビットのユーザーIDでユーザーを識別します。サーバーとクライアントの時刻が大きくずれると、認証に失敗することがあります。現在もVMessの外側にTLSを重ねる設定が一般的です。TLSはサーバー認証、証明書検証、トランスポート層の保護も担うため、単なる重複設定ではありません。

VLESSはより軽量な設計です。ユーザー認証とデータ転送に必要な構造を残しつつ、VLESSのプロトコル層でペイロードを再暗号化することはありません。公開ネットワークで使う場合、VLESSは通常TLSまたはREALITYと組み合わせます。ノードのセキュリティ種別がnoneの場合は、保護された社内ネットワーク、トンネル、その他の信頼できる経路だけで動作しているか確認してください。「VLESS」と表示されているだけで通信が安全だと判断してはいけません。

VMessとVLESSでパラメータは具体的にどう違うか

どちらのプロトコルにもサーバーアドレス、ポート、ユーザーIDが登場しますが、同じ項目だから相互利用できるとは限りません。サーバーアドレスは接続先、ポートはサービスの入口、ユーザーIDは認証情報を示します。プロトコル種別は、クライアントが認証データとその後のペイロードをどのように構成するかを決めます。ノードをコピーする際に1文字抜けたり、余分な空白を残したり、予備ドメインをアドレス欄に入れたりすると、接続開始時点で失敗することがあります。

VMess設定にはalterIdが含まれることもあります。これは古い設定で使われていた追加IDパラメータで、現在の設定では通常0です。任意の乱数を自分で入力しないでください。securityフィールドが表示される場合もありますが、これはVMessのデータ処理オプションであり、外側のTLSスイッチとは別の概念です。古い解説が両方を「暗号化」と呼ぶため、混乱しやすくなっています。

VLESS設定ではflowが追加されることがあります。サーバー側でVisionのフロー制御が指定されている場合、クライアントには元の値xtls-rprx-visionを入力します。ノードに記載がない場合、経験だけで追加しないでください。Flowは速度テストの設定でも、新しいほど速くなる選択肢でもありません。プロトコルネゴシエーションの一部であり、誤るとハンドシェイク失敗、短時間での切断、プロトコル不一致のログが続くといった症状が出ます。

ローカルポートとノードのポートも区別してください。ノードのポートは443のような遠隔サービスの入口です。一方、10808や10809などのローカルポートは、アプリケーションがv2rayNへ通信を渡す入口です。バージョンや個人設定によってローカルポートは変わるため、「設定」→「パラメータ設定」に表示される値を確認してください。ブラウザーでプロキシを手動設定する際、遠隔側の443をローカルプロキシポートに入力すると、通信は本体のクライアントを経由しません。

TLS、REALITYとプロトコル暗号化の関係

TLSは実績のあるトランスポートセキュリティ機構です。クライアントは接続時に、サーバーが提示する証明書、対象名、有効性を確認し、ハンドシェイク完了後に暗号化通信路を確立します。設定のSNIは、ハンドシェイクで想定するサーバー名を示します。通常はIPアドレスではなくドメイン名です。ノードにSNIが指定されている場合は、そのまま保持してください。サーバーアドレスへ勝手に変更すると、証明書名が一致しない可能性があります。

REALITYは、Xray体系で特定のVLESS設定に使われるセキュリティ方式です。クライアントには通常、サーバーアドレス、ポート、ユーザーID、Flow、対象サーバー名、公開鍵、Short ID、クライアントフィンガープリントなどのパラメータが必要です。公開鍵やShort IDが1文字でも欠けると、ハンドシェイクに失敗します。通常のVLESSノードのTLSプルダウンをREALITYに変えるだけで有効になる機能ではなく、サーバー側も対応する方式で設定されていなければなりません。

VMessにプロトコル層の保護があるからといって、TLSの証明書検証が不要になるわけではありません。VLESSが軽量だからといって、接続が本質的に安全でないわけでもありません。正確には、最終的な安全性は完全な設定と導入環境によって決まります。特に公開ネットワークでは、適切なセキュリティ層を使用しているか、想定したサーバーを検証しているか、機密パラメータが信頼できる購読元から提供されたものかを確認する必要があります。

購読を取り込んだ後に確認すべき接続パラメータ

購読からの取り込みは、プロトコル、トランスポート、セキュリティパラメータをまとめて登録できるため、手入力より一般に確実です。ただし、取り込みが完了しただけで設定の検証まで済んだわけではありません。購読グループにノードが表示されているか、選択した項目にアドレス、ポート、プロトコル、トランスポート方式が含まれているかを確認してください。購読の更新は設定を取得する処理であり、遠隔サーバーへの到達性を保証するものではありません。

v2rayN 7.xの画面では、まずノードを選択してサーバー設定を確認し、「設定」→「パラメータ設定」でローカルの待受ポートを確認できます。その後サービスを起動し、ステータスバーにコア起動エラーがないことを確認してください。ログでは、名前解決失敗、接続拒否、ハンドシェイク失敗、ポート使用中などの表示を確認します。ログは遅延の数値だけを見るより、接続が実際にどの段階で止まっているかを判断するのに役立ちます。

1. 元の設定を先に保存：手動編集の前にノードを複製し、購読から配信された正しいパラメータを失わないようにします。
2. 基本フィールドを確認：プロトコル、アドレス、ポート、ユーザーIDが完全であることを確認します。アドレス欄に空白やパスを混在させないでください。
3. トランスポートフィールドを確認：WebSocketではHostとPath、gRPCではサービス名を確認し、TCP設定はノードの元の値を保持します。
4. セキュリティフィールドを確認：TLSではSNIを確認し、REALITYでは公開鍵、Short ID、フィンガープリント、Flowも確認します。
5. 起動後にログを確認：まずコアの起動エラーとポート使用中の問題を解決し、その後で遠隔側のハンドシェイクやタイムアウトを確認します。
6. 最後にシステムプロキシを有効化：ブラウザーでアクセスをテストし、「クライアントが起動している」ことと「アプリの通信がプロキシに入っている」ことを混同しないようにします。

Androidでv2rayNGまたはv2flyNGを使う場合も確認の順序は同じですが、メニューの位置はバージョンによって変わります。v2rayNGはXrayコアを使用するため、購読がVLESS、REALITYなどの対応設定を提供している場合に適しています。v2flyNGはv2flyコアを使用するため、そのコアが実際にサポートするプロトコルとパラメータを基準にしてください。クライアントが認識しないフィールドを削除すれば、ノードが自動的に下位互換へ切り替わるわけではありません。

プロトコル：VLESS
アドレス：node.example.net
ポート：443
ユーザーID：完全なUUID
トランスポート：TCP
セキュリティ：REALITY
Flow：xtls-rprx-vision
サーバー名：ノード資料のとおり入力
公開鍵：ノード資料から完全にコピー
Short ID：ノード資料から完全にコピー

上記の構成はフィールド間の関係を示すためのもので、直接接続できるノードではありません。実際の設定は、自分のサーバーまたは信頼できる購読から取得してください。購読の更新後にパラメータが変わった場合は、購読から配信された新しい項目を優先します。古いノードと新しいノードで手入力したフィールドを共用すると、トラブル対処時に実際に読み込まれている設定を特定しにくくなります。

VMessとVLESSはどちらが速いか

プロトコルのオーバーヘッドは性能に影響しますが、一般ユーザーにとってはサーバーとの距離、回線の混雑、パケットロス、トランスポート方式、暗号化実装、サーバー負荷のほうが大きく影響することが多いです。遅延が数ミリ秒違うだけで、どちらかのプロトコルが速いとは判断できません。クライアントの遅延テストは、接続確立やテスト先へのアクセス時間を示すことが多く、継続的なダウンロード速度とは一致しません。

同じ環境で比較すると、この違いが分かります。同一サーバー、同一経路、同じTCPトランスポートとTLS条件で各10回測定したところ、VMessの接続遅延の中央値は86ミリ秒、VLESSは84ミリ秒でした。同じ100 MBのテストファイルをブラウザーでダウンロードした平均速度は、それぞれ11.8 MB/sと12.1 MB/sです。約2ミリ秒と0.3 MB/sの差はネットワーク変動の範囲内であり、他の回線にもそのまま当てはめることはできません。

より実用的な選択基準は安定性です。まず10～15分連続して使い、Webページの表示、動画のバッファリング、ログに記録される再接続回数を確認します。次に同じ時間帯でパケットロスと速度を比較してください。古いVMessノードが安定し、新しいVLESSノードが頻繁にタイムアウトするなら、まず新しいノードの回線とパラメータを確認します。プロトコル名だけを理由に安定した接続を捨てる必要はありません。

よくある問題と具体的な対処法

以下の問題は、購読の移行、手動コピー、クライアント更新の後によく発生します。原則として一度に1項目だけ変更し、変更後すぐに再試行してログを確認してください。プロトコル、ポート、トランスポート、セキュリティ種別を同時に変更すると、偶然つながったとしても、本当の原因を特定できません。

最後に、VMess、VLESS、TLS、REALITY、TCP、WebSocket、gRPCはそれぞれ異なる層に属します。トラブル対処では「プロトコル認証 → トランスポート方式 → セキュリティハンドシェイク → ローカルプロキシ → アプリ通信」の順に確認すると、ノードを何度も切り替えるより早く解決できます。サーバーとクライアントのパラメータが一致していれば、どちらのプロトコルも日常の接続に利用できます。本当に避けるべきなのは、セキュリティ層の不足、フィールドの不一致、テスト数値だけで接続全体を判断することです。