VPN接続中でも、すべての通信情報が自動的に隠れるとは限りません。VPNトンネル自体は正常に接続されていても、ドメイン名を問い合わせるDNS通信だけが通常の回線へ流れたり、ブラウザーのWebRTC機能から別のアドレスが公開されたりすることがあります。こうした状態は、動画の再生やWebページの閲覧ができるだけでは判断できません。接続前と接続後の情報を確認し、DNSサーバー、公開IPアドレス、WebRTCの候補アドレスを個別に調べる必要があります。
この記事では、VPNの安全性を確認するための基本的な考え方から、ブラウザーで行うテスト、Windows・macOS・Android・iOSでの確認ポイント、DNSリークが起きた場合の対策までを整理します。結果に知らないDNS事業者が表示されたからといって、直ちに情報漏えいと断定する必要はありません。重要なのは、VPN接続前後でどのサーバーが表示されるか、アクセス元の地域や通信経路が意図した状態になっているかを比較することです。
VPNは安全？DNSリークの確認方法と対策を解説
DNSリークが起きる仕組みと確認すべき情報
DNSは、ブラウザーで入力したドメイン名を接続先のIPアドレスへ変換する仕組みです。VPNが有効なら、通常はDNS問い合わせもVPNトンネルを通るか、VPN事業者が指定するDNSサーバーへ送られます。しかし、OSに設定されたDNS、ルーターのDNS、ブラウザー独自の名前解決機能が優先されると、Webサイトへの本体通信はVPN経由なのに、アクセス先のドメイン名だけが通常の回線側へ送信されることがあります。これが一般にDNSリークと呼ばれる状態です。
DNSリークでは、必ずしも閲覧内容そのものが読まれるわけではありません。ただし、どのドメインへ名前解決を行ったかという情報が、意図しないDNS事業者やネットワーク管理者に見える可能性があります。プライバシーを重視する場合は、公開IPアドレスだけでなく、DNSサーバーの運営者や所在地域も確認しましょう。VPNアプリがDNS保護を提供していても、分割トンネル、手動DNS、IPv6、ブラウザーのセキュアDNS設定が別の経路を作る場合があります。
DNS
名前解決の経路
IP
通信元の見え方
WebRTC
ブラウザーの候補情報
IPv6
別経路の確認対象
確認時は、次の情報を別々に見ます。公開IPアドレスは、Webサイトから見た通信元の出口です。DNSテストは、名前解決を担当したサーバーの一覧を示します。WebRTCテストは、ブラウザーが接続候補として扱うローカルアドレスや公開アドレスを表示することがあります。これらは異なる仕組みなので、公開IPがVPNのものに変わっていても、DNSやWebRTCに問題がないとは限りません。
VPN接続前後を比較するテスト方法
テストは、VPNを切断した状態と接続した状態で同じ条件を使って比較します。ブラウザーのプライベートウィンドウを使うと、古いキャッシュやログイン状態の影響を減らせますが、プライベートウィンドウだけでDNSリークを防げるわけではありません。確認ページを開いた後にVPNを切り替える場合は、ページを再読み込みし、結果が更新されたことを確認してください。
- VPNを切断し、現在の公開IPアドレス、DNSサーバー名、表示地域を記録します。
- ブラウザーのキャッシュを更新し、DNSテストで表示されるサーバーの運営者と地域を確認します。
- WebRTCテストを開き、公開IP、ローカルIP、候補アドレスが表示されるかを記録します。
- VPNアプリを起動し、選択したノードへ接続してから、同じテストを再実行します。
- VPN接続後も通常回線側のDNSや元の公開IPが表示されていないか、前後の結果を比較します。
VPN接続後に公開IPが変わり、DNSサーバーもVPNのネットワークや設定した保護DNSに変わっていれば、基本的な経路は意図どおりと考えられます。ただし、DNS事業者名がVPNサービス名と一致しないケースもあります。VPNが外部のDNSサービスを利用している場合や、OSの暗号化DNSを組み合わせている場合があるためです。判定では名称だけでなく、接続前から変化したか、元の回線事業者のDNSが残っていないかを確認してください。
| 確認項目 | VPN接続後に見るポイント | 注意が必要な状態 |
|---|---|---|
| 公開IP | 選択したVPN出口に対応する地域や事業者が表示される | 接続前と同じIPや回線事業者が表示される |
| DNSサーバー | VPNまたは意図した保護DNSの情報が表示される | 自宅、会社、学校、携帯回線のDNSだけが表示される |
| WebRTC | 不要な公開IPや元回線の候補が表示されない | VPN接続前の公開IPがブラウザーに表示される |
| IPv6 | IPv4とIPv6の両方が意図した経路になる | IPv6だけ元回線から直接外部へ出ている |
アプリとブラウザーで行う具体的な対策
最初に確認するのはVPNアプリの設定です。アプリに「DNSリーク保護」「DNSをVPN経由にする」「接続時にDNSを自動設定する」といった項目があれば有効にします。表記はクライアントによって異なります。WireGuard、OpenVPN、IKEv2などのVPN方式では、トンネルの作り方やDNSの適用方法が異なるため、同じアプリでもモードを変えると結果が変わることがあります。Shadowsocks、VMess、Trojan、Hysteria2などのプロキシ方式を利用するクライアントでは、システム全体のDNSまでトンネル化されるとは限りません。グローバルモード、システムプロキシ、TUNモードの違いを確認してください。
ルール分流を使う場合は、DNS問い合わせをどの経路で処理するかが重要です。Webサイトの通信だけをプロキシへ送っていても、名前解決をローカルへ残す設定では、DNS情報が通常回線へ出る可能性があります。Clash Vergeやsing-boxなどのクライアントでは、DNSモード、ルール、Fake-IPまたはRedir-Hostの動作、TUNの有効状態を確認します。Shadowrocketでは、グローバル、ルール、プロキシ経由のDNSに関する設定を確認し、設定を変更した後は一度接続を切ってから再接続します。
- ✅ VPNアプリのDNS保護またはVPN経由DNSを有効にする。
- ✅ 分割トンネルを使う場合は、DNS通信が除外対象になっていないか確認する。
- ✅ IPv6を利用している場合は、IPv6側にもVPN経路があるか確認する。
- ✅ ブラウザーのセキュアDNSを使う場合は、指定先とVPNの方針が一致しているか確認する。
- ❌ 複数のVPN、プロキシ、DNSフィルターを同時に有効にして結果を判断しない。
- ❌ テストサイトへサブスクリプションURLや個人情報を入力しない。
ブラウザーのWebRTC対策も確認します。WebRTCは音声通話やビデオ通話、リアルタイム通信に使われる標準機能で、接続候補を交換するためにアドレス情報を扱います。VPNを使っていても、ブラウザーやOSのネットワーク構成によっては、ローカルアドレスや通常回線側の候補がテストページに表示されることがあります。WebRTCを完全に無効にすると一部の通話機能に影響するため、まずブラウザーのプライバシー設定、拡張機能、管理ポリシーを確認し、必要な機能とのバランスを取ってください。
Windows・macOS・スマートフォンでの確認ポイント
Windowsの場合
Windowsでは、VPNアプリの接続状態だけでなく、ネットワークアダプターに設定されたDNS、複数の仮想アダプター、IPv6の状態を確認します。別のVPNクライアントや仮想マシン用のネットワークソフトが残っていると、優先順位が複雑になることがあります。VPN接続後にDNSキャッシュを更新し、同じブラウザーで再テストすると、切り替え前の結果が残っている可能性を減らせます。会社や学校の管理端末では、管理ポリシーによってDNS設定を変更できない場合があるため、勝手に設定を削除せず管理者へ確認してください。
macOSの場合
macOSでは、VPN構成、ネットワーク拡張、システムプロキシ、プライバシー関連の拡張機能が別々に存在します。VPNアプリがネットワーク拡張の許可を求めた場合は、アプリ名と入手元を確認してから許可します。システム設定のネットワーク項目に古いVPN構成や不要なDNS設定が残っていると、テスト結果が安定しないことがあります。変更前の設定を記録し、不要な構成を削除する場合は、元に戻せるようにしておきましょう。
Android・iOSの場合
Androidでは、VPNアプリの常時接続、VPN以外の接続をブロックする機能、プライベートDNSの設定が互いに影響することがあります。プライベートDNSを手動指定している場合、その設定がVPNのDNS保護より優先されることがあるため、VPN接続中と切断中の両方で確認します。iOSでは、VPN構成、iCloudプライベートリレー、Safariのプライバシー機能、コンテンツブロッカーが結果に影響する場合があります。複数の保護機能を同時に有効にするのではなく、一つずつ切り替えてテストすると原因を特定しやすくなります。
リークが続くときの切り分け手順
対策後も元のDNSや公開IPが表示される場合、まずVPN接続そのものが有効か確認します。アプリの画面に接続済みと表示されていても、システムプロキシだけが設定され、対象外のアプリやIPv6通信が通常回線へ出ていることがあります。ブラウザーだけでなく、別のブラウザーや別のネットワークでも同じ結果になるかを確認してください。自宅のWi-Fi、携帯回線、会社や学校のネットワークでは、ルーターや管理ポリシーが異なるため、結果も変わる可能性があります。
次に、設定を一度単純化します。ルール分流、カスタムDNS、広告ブロッカー、ブラウザー拡張、別のセキュリティソフトを一時的に停止し、VPNの標準設定だけで再テストします。問題が消えた場合は、停止した機能を一つずつ戻して原因を特定します。問題が消えない場合は、別の接続方式や別のVPNクライアントで比較します。ただし、複数のクライアントを同時に起動せず、片方を完全に切断してから切り替えてください。
DNSリークと判定する前に、表示されたDNSの意味も確認します。家庭用ルーターが外部DNSへ転送している場合、テストページにはルーター自身ではなく、上流のDNS事業者が表示されることがあります。また、VPN事業者が外部のDNS基盤を利用している場合、VPNブランドとは異なる名称が表示されることがあります。元回線の事業者、VPNの説明、接続時の設定を照合し、名称だけでなく経路全体から判断してください。
よくある質問
公開IPが変わればVPNは安全ですか？
公開IPが変わることは、VPN出口への通信が機能している確認材料です。しかし、DNSリークやWebRTCによるアドレス露出は別の仕組みで起きるため、公開IPだけで安全性を判断できません。DNSテストとWebRTCテストも同じ条件で確認してください。
DNSサーバーの名前がVPN会社と違っても問題ありませんか？
必ずしも問題とは限りません。VPNが外部のDNSサービスを利用している場合や、暗号化DNSを組み合わせている場合は、別の事業者名が表示されることがあります。接続前のDNSと比較し、元の回線事業者のDNSが残っていないか、VPNの説明と一致するかを確認します。
WebRTCは無効にしたほうがよいですか？
通話やビデオ会議を使わない場合は、ブラウザーの設定や拡張機能でWebRTCの候補情報を制限する方法があります。ただし、無効化するとリアルタイム通信が動作しないことがあります。まず表示される候補を確認し、必要な機能への影響を考えて設定してください。
テストで元の情報が表示されたら何をすべきですか？
VPNを切断してアプリを再起動し、DNS保護、IPv6、分割トンネル、TUNまたはシステムプロキシの設定を確認します。その後、他のVPNやプロキシ、ブラウザー拡張を停止して再テストしてください。問題が続く場合は、結果の画面、利用端末、接続方式、設定変更の内容を整理してサポートへ相談すると、原因を伝えやすくなります。
VPNの安全性は、接続アイコンが表示されているかだけでは判断できません。公開IP、DNS、WebRTC、IPv6という異なる経路を個別に確認し、接続前後の差を記録することが重要です。設定を変更した後は必ず再接続し、必要な機能を残しながら、意図しないDNSやアドレスが通常回線へ出ていないか定期的に確認しましょう。