Global Routing
通信全体の処理方法を選ぶ項目です。主な選択肢はConfig（設定ファイル）、Proxy（プロキシ）、Direct（直接接続）で、シーン設定に応じて動作するSceneもあります。モードによって、現在の設定ファイルのルールが通信の判定に使われるかどうかが変わります。ルール振り分けを調べる前に、まず選択中のモードを確認してください。ここではサーバーを追加できず、接続が開始済みであることも示しません。
Config / Proxy / Direct / Scene
公式マニュアル・用語から探す
Shadowrocket 用語集
画面上の項目、接続プロトコル、ルールの動作を区別して解説します。各用語には個別のアンカーがあり、設定の確認やトラブルの記録に利用できます。操作手順が必要な場合は、チュートリアルやサーバー管理の項目をご覧ください。
01 · 設定の階層
画面表示と設定
まず全体のモードを確認し、次に個別ルールを確認します。接続、名前解決、URL書き換えはそれぞれ異なる問題を扱います。
Config
Global Routingに表示される場合は、すべてのリクエストを同じ経路に通すのではなく、現在の設定ファイルのルールに従って通信を処理する意味です。設定管理の文脈では、設定ファイルの選択項目や関連する内容を指します。「Configに切り替える」という説明を読むときは、画面を確認し、モードの変更なのか、別の設定ファイルの選択なのかを判断してください。
モード名と設定ファイルは別のもの
Proxy
Global Routingで、対象の通信をプロキシ経由にするモードです。実際に接続できるかどうかは、選択中のサーバーとその設定に依存します。ルール選択が問題かどうかを切り分けるため、一時的に使うこともできます。Proxyに切り替えても、サーバーの停止、パスワードの誤り、トランスポート接続の失敗は解決しません。
サーバーを確認してから、ルーティングを確認
Direct
Global Routingで、対象のリクエストをリモートのプロキシサーバーに転送せず、直接接続するモードです。通常のネットワーク接続とプロキシ経由の動作を比較するのに役立ちますが、アプリを終了したり、システムのVPN構成を削除したりする操作ではありません。接続を終了する場合は、モード名だけで判断せず、接続スイッチとOn Demandを確認してください。
DirectとルールアクションのDIRECTは大文字・小文字が異なります
Scene
設定したシーン条件に応じて処理方法を選びます。たとえば、接続するネットワーク環境ごとに異なる設定を使えます。シーン単位の設定であり、DOMAINのように個別のリクエストを判定するルールとは異なります。利用前に、設定済みシーンの条件と動作を確認してください。シーンを切り替えても、サーバーが自動で修復されるわけではありません。
シーン条件 → 対応する動作
On Demand
システムのオンデマンド機能を利用し、ネットワークの状態に応じて接続を開始・維持します。Wi-Fiとモバイル通信を別々に設定することもできます。制御するのは接続するタイミングであり、ドメインごとに直接接続するかプロキシを使うかではありません。手動で接続を切った後に再接続する場合は、サーバー情報を何度も削除するのではなく、この設定とシステム側の関連項目を確認してください。
接続するタイミングと通信の振り分けは別の設定
DNS
ドメイン名をIPアドレスに変換する機能で、接続の確立前によく関係する処理です。名前解決に成功してもサーバー認証が成功したとは限らず、名前解決の異常はルールアクションを変えるだけでは解決できません。調査時は、問い合わせたドメイン名、使用したDNS設定、応答結果を記録し、接続ログと合わせて問題の箇所を確認してください。
ドメイン名 → IPアドレス
URL Rewrite
パターンに基づいてリクエストURLを書き換えたり、指定した処理を行ったりする機能です。接続経路を決めるルール振り分けとは異なります。変更する際は、マッチ範囲と処理対象を確認してください。広すぎるパターンは、正常なリクエストにも影響することがあります。HTTPSリクエストで処理できる範囲は、暗号化された通信の可視性や関連設定にも左右されます。パターンを追加すれば必ず動作するわけではありません。
まずマッチ条件を確認し、次に処理できる条件を確認
02 · 接続方式
プロトコル
プロトコル名によって入力項目の意味が異なります。名称やポート番号が同じでも、設定をそのまま置き換えられるとは限りません。
Shadowsocks
サーバーアドレス、ポート、暗号化方式、パスワードなどを使って接続するプロキシプロトコルです。暗号化方式はサーバー側と一致させてください。アドレスとパスワードが正しくても、接続できない場合があります。ss://で始まる共有テキストを読み込んだ後も、リンクの形式だけで接続可能と判断せず、各項目を確認してください。
アドレス / ポート / 暗号化方式 / パスワード
VMess
ユーザーIDなどを使って認証するプロキシプロトコルです。一般に、トランスポート方式やTLSの設定も含まれます。読み込み後は、ホスト名やパスなどトランスポート関連の項目も確認してください。デバイスの時刻が大きくずれていると認証に影響することがあるため、ポートだけに注目せず確認しましょう。
プロトコルの設定とトランスポートの設定をそれぞれ確認
VLESS
ユーザーIDを使うプロキシプロトコルで、VMessとは別の種類です。プロトコル名だけを変更して、すべての設定をそのまま流用することはできません。プロトコル自体は通信を暗号化しないため、サーバーが指定するセキュアなトランスポート方式を確認してください。既存の共有リンクに含まれるトランスポート、ホスト名、その他の追加項目も保持してください。
ユーザーID / トランスポート / セキュリティ設定
Trojan
通常はTLSと組み合わせ、パスワードで接続を認証するプロキシプロトコルです。サーバーアドレス、証明書のホスト名、パスワードはそれぞれ役割が異なり、相互に置き換えることはできません。証明書エラーが出た場合は、ホスト名、デバイスの時刻、証明書の状態を確認してください。検証を無効にする方法を通常の対処として使わないでください。
認証の成功と証明書の有効性を別々に確認
Hysteria2
QUICベースのプロキシプロトコルで、接続にはUDP通信が可能なネットワーク環境が必要です。プロトコルの世代や認証などの設定をサーバー側に合わせてください。ネットワークによるUDPの制限、サーバー設定の誤り、証明書の異常などで接続できない場合があります。ウェブページが開かないというだけで原因を特定することはできません。
QUIC / UDP
WireGuard
公開鍵と秘密鍵のペア、および接続先の設定を使ってトンネルを構築するプロトコルです。通常、鍵、エンドポイント、トンネルアドレスなどを設定します。「アドレスとパスワード」の形式とは項目の構成が異なるため、既存の設定に合わせて一つずつ入力してください。秘密鍵は機密情報です。設定の整理やバックアップ、問い合わせ用の記録を作成する際も公開しないでください。
Private Keyは他人に見せない
HTTP / SOCKS5
HTTPプロキシとSOCKS5は別のプロキシプロトコルで、ハンドシェイク方式が異なります。ポート番号が同じという理由だけで種類を置き換えないでください。ユーザー名やパスワードが必要か、UDPに対応しているかは、利用するサーバーの仕様を確認してください。プロトコル名だけでは通信が暗号化されているか分からないため、安全なトランスポート方式も別途確認が必要です。
プロトコルの種類とポート番号は別のもの
03 · マッチ条件とアクション
ルールキーワード
Configモードでは、通常ルールを上から順に確認し、最初に一致したルールのアクションを適用します。example.comは構文の例です。
DOMAIN
完全なドメイン名に一致します。特定のホスト名だけを処理したい場合に適しています。入力するのはドメイン名のみで、URLのスキーム、パス、クエリパラメーターは含めません。example.comに一致しても、すべてのサブドメインに一致するわけではありません。ドメインの末尾に一致させる場合はDOMAIN-SUFFIXを確認してください。
DOMAIN,example.com,DIRECTDOMAIN-SUFFIX
ドメインの末尾に一致し、指定したドメインとそのサブドメインを対象にできます。同じドメイン範囲をまとめて処理する場合に便利です。文字列の任意の位置を検索する機能ではなく、ウェブページのURLパスにも一致しません。追加後は、先にある個別ルールとの順序を確認してください。例外ルールより先に一致すると、例外が適用されない場合があります。
DOMAIN-SUFFIX,example.com,PROXYDOMAIN-KEYWORD
ドメイン名に指定した文字列が含まれるかを確認します。完全一致や末尾一致より広い範囲に適用されることがあります。短い文字列では、無関係な複数のドメインにも一致する可能性があるため、ログで実際の対象を確認してください。対象範囲を正確に指定できる場合は、より具体的なマッチ方法を使うと管理しやすくなります。
DOMAIN-KEYWORD,example,DIRECTGEOIP
対象IPの地理データベース上の分類に基づいて一致を判定します。ウェブページの言語、ドメインの末尾、利用者の所在地を基準にするものではありません。ドメインへの接続では、先に名前解決が必要な場合があります。また、データベースの内容と実際のネットワーク構成が異なることもあります。対象IPと一致したルールを確認し、サイト名だけで判断しないでください。
GEOIP,CN,DIRECTIP-CIDR / IP-CIDR6
IPv4とIPv6のネットワーク範囲をそれぞれ指定します。スラッシュの後の数字はネットワークプレフィックス長です。IPアドレスの範囲を示すもので、ポート番号やドメインの末尾ではありません。IPv4のルールだけで同じサービスへのIPv6接続も対象になるとは限らないため、デュアルスタック環境では両方のアドレスを確認してください。
IP-CIDR,192.0.2.0/24,DIRECTFINAL
それ以前のルールに一致しなかった通信に適用する、ルール一覧のフォールバック項目です。通常は末尾に置きます。後に続くアクションが未分類の通信の行き先を決めるため、変更すると広い範囲に影響します。個別ルールが一致しない場合は、FINALだけを変更せず、ドメイン名、ルールの順序、現在のモードを確認してください。
FINAL,PROXYPROXY / DIRECT / REJECT
ルールが一致した後に適用する処理方法で、プロキシ経由、直接接続、接続拒否を指定します。マッチ条件を表すものではありません。大文字のキーワードは、画面上のProxyやDirectというモード名と区別してください。ログにREJECTと表示されている場合、ルールの指定どおりに拒否されている可能性があります。まず想定したルールに一致しているか確認しましょう。
マッチ条件 → 処理方法
ルールが動作しないように見える場合は、設定を変更する前にルールとトラブル対処のFAQをご覧ください。
04 · データ管理
サブスクリプションと設定
サブスクリプションはリモートのサーバー情報を管理し、設定ファイルは通信の処理方法をまとめます。両者は別の種類のファイルです。
Subscribe
利用者がすでに持っているサブスクリプションを読み込み、更新する項目です。内容はサブスクリプションURLのサーバーから返されます。更新が成功しても、クライアントが応答を取得・処理できたことを示すだけで、含まれる各サーバーへの接続を保証するものではありません。サブスクリプションURLに認証情報が含まれる場合があるため、スクリーンショットの共有、ログの提出、メモの作成時はURL全体を隠してください。
読み込み後に件数、名前、接続結果を確認
Add Server
サーバーの登録を手動で追加する項目です。手元にあるサーバー情報に合わせてプロトコルを選び、該当する項目を入力してください。パスワード、ユーザーID、鍵、トランスポート設定は種類によって異なり、使い回すことはできません。保存するとパラメーターがローカルの一覧に登録されますが、接続できるかどうかは、登録を選択して接続テストを行う必要があります。
プロトコルを選んでから項目を入力
サーバーと共有リンク
サーバーの登録には、接続に使うアドレス、認証情報、トランスポートの設定が保存されます。共有リンクは、1件分の登録情報を読み込みやすいテキスト形式にしたものです。通常、単体の共有リンクからは、サブスクリプションURLのように一覧を継続して更新できません。QRコードもテキストを伝える方法のひとつです。読み込み後は種類と設定を確認し、認証情報を含むQRコードを公開しないでください。
単体の登録情報と更新可能なサブスクリプション一覧は別のもの
Connectivity Testと遅延
テスト先に到達できるかを確認し、テスト方式に応じて所要時間を表示します。所要時間はテスト先、ネットワーク経路、テスト方法によって変わり、通信速度やすべてのウェブサイトでの利用感を示すものではありません。結果を比較するときは、できるだけ同じ条件で測定してください。タイムアウトした場合は、名前解決、ハンドシェイク、テスト先の応答に分けて確認する必要があります。
テスト所要時間とダウンロード速度は別の指標
設定ファイル
ルール、DNS、その他の設定をまとめるファイルです。サーバー情報だけを含むサブスクリプションとは役割が異なります。設定ファイルをダウンロードまたは編集した後は、どのファイルを現在使用しているか、Global RoutingがConfigになっているかを確認してください。変更前に元に戻せるコピーを用意し、原因を特定しやすいよう一度に一つずつ変更しましょう。
編集 → 使用するファイルを選択 → ルールの一致を確認
読み込み、更新、整理、バックアップの手順はサーバー管理マニュアルをご覧ください。
05 · デバイスと権限
インストールとシステム権限
プロセッサのアーキテクチャ、アプリの購入記録、ネットワーク利用の許可は、それぞれ別に管理します。相互に置き換えることはできません。
VPN構成
アプリが対象の通信を処理することをシステムが許可した記録で、リモートサーバーの情報とは異なります。初回接続時に追加の確認が表示されたら、操作が自分で起動したShadowrocketから始まったことを確認し、システムの案内に従って許可してください。この記録を削除すると、次回の接続時に再追加が必要になる場合がありますが、サーバーのパスワードの誤りは解決しません。
システムの許可とサーバー認証は別々に確認
Appleシリコン / Intel / arm64
これらの名称はプロセッサのアーキテクチャを示し、選ぶインストーラーに関係します。プロキシモードの違いを示すものではありません。Macでは「このMacについて」でチップまたはプロセッサを確認し、Appleシリコン版かIntel版を選んでください。Androidインストーラーのarm64もアーキテクチャを示しています。各プラットフォームで初回起動時に表示される確認は、ダウンロードページの許可手順に従って処理してください。
購入済み項目
App Storeで購入アカウントに紐づくアプリの記録です。機種変更や再インストールの際は、購入時のアカウントでアプリを探して再ダウンロードできます。iPhone / iPad版はApp Storeで$2.99の買い切り、Mac / Windows / Android / Linux版は無料で、後者は本サイトから入手できます。ストアの掲載内容では、デベロッパ名Shadow Launch Technology LimitedとアプリID 932747118を確認してください。システム要件はApp Storeの掲載内容をご確認ください。
システムの実行許可
アプリの初回起動や入手元についてOSが確認する手続きで、VPN構成の許可とは別です。本サイトから入手したことを確認したうえで、WindowsではSmartScreenの「詳細情報」から「実行」、macOSでは「プライバシーとセキュリティ」から「このまま開く」、Androidではインストールを実行するアプリに「不明なアプリのインストール」を許可できます。許可の選択肢が表示されない場合は、確認画面をそのままにしてデバイスの管理制限を確認してください。システム全体の保護を無効にしないでください。