スプリットトンネリングとは
ひとことで言うと: スプリットトンネリングは、インターネット通信を二つの経路に振り分けるVPNの機能です。一部は暗号化されたVPNトンネルを通り、残りは通常どおりインターネットへ直接出ていきます。すべてをVPN経由にするか、まったく使わないかという二者択一ではなく、どのアプリや宛先がトンネルを使うのかを自分で決められます。
急行レーンのある道路を思い浮かべてください。VPNトンネルが保護されたレーンで、スプリットトンネリングはどの車がそのレーンに入り、どの車が一般道に残るのかを決める標識の仕組みにあたります。
スプリットトンネリングの仕組み
端末でVPNが有効になっていると、OSはネットワーク通信を仮想ネットワークインターフェース、つまりトンネルへ送り込みます。そこで通信は暗号化され、VPNサーバーへ届けられます。スプリットトンネリングは、その手前にルーティングの判断をひとつ挟みます。
1. アプリ（またはブラウザ）がネットワーク要求を出します。
2. ルーティング規則が、そのアプリや宛先がトンネル対象の一覧にあるかどうかを確認します。
3. トンネルを通る通信は暗号化されてVPNサーバーを経由し、サーバーが宛先へ転送します。宛先から見えるのはVPNサーバーのIPアドレスです。
4. 除外された通信は、いつもの回線からそのまま端末を出ていきます。宛先には本当のIPアドレスが見え、インターネット接続事業者もその通信の行き先を把握できます。
Androidでは、これはプラットフォーム自体に組み込まれています。VPNフレームワークにより、VPNアプリが特定のアプリケーションをトンネルに含めたり除外したりできるためです（アプリ単位のスプリットトンネリング）。宛先を基準に分ける実装もあり、特定のサイトやIP範囲をトンネルの外へ流します。逆向きに動く方式（「逆スプリットトンネリング」）もあり、選んだアプリだけがVPNを使い、それ以外はすべて直接接続のままになります。
どんなときに使いたくなるのか
1. VPN経由だと動かなくなる国内サービス
VPNサーバーのアドレスからの接続を拒むサービスや、見かけ上の所在地が変わると挙動がおかしくなるサービスがあります。不正検知が厳しい銀行アプリ、一部の動画配信サービス、実際の地域情報を必要とする配達アプリなどです。そのアプリだけを除外すれば、ほかはすべて保護されたまま、そのアプリも問題なく使えます。
2. 速度が重要な通信
暗号化とVPNサーバーを経由する分の余分な行程は、いくらかの負荷になります。容量の大きなゲームのダウンロードや、ミリ秒単位の遅延が意味を持つビデオ通話では、その通信だけを直接流し、閲覧やメッセージはトンネル内に残す使い方を好む人もいます。（対戦ゲームでの得失については、ゲーム用VPNのガイドをご覧ください。）
3. ローカルネットワーク上の機器
プリンター、スマートホームのハブ、ファイル共有はローカルネットワーク上にあります。全体をトンネルに通すと、端末からそれらに届かなくなることがあります。ローカル通信をローカルのままにするスプリットトンネリングなら、VPNを切らずにこの問題を解決できます。
4. データ通信量の管理
VPNの料金プランにデータ量の上限がある場合、機密性の低い大容量の通信を除外すれば残量を長持ちさせられます。帯域が無制限のサービスでは重要度が下がりますが、この機能が生まれた歴史的な理由としてはよく挙げられるものです。
セキュリティ上の代償 — ここは必ずお読みください
スプリットトンネリングは、保護に意図的に開ける穴です。その点は正直に申し上げておきます。
- 除外した通信は完全にむき出しになります。 本当のIPアドレスは除外したすべての宛先から見え、インターネット接続事業者は、VPNをまったく使っていないときとまったく同じようにその通信を見て記録できます。
- 設定ミスは何も知らせてくれません。 ブラウザを除外したまま忘れてしまうと、守られているつもりで実はそうではない状態のまま、一つの作業を最後まで続けてしまいます。ステータスバーのVPNアイコンは、どちらの場合も点いたままです。
- 身元が混ざります。 関連する通信が両方の経路に分かれて流れると、ウェブサイト側でVPN上の身元と本当の身元を結び付けられる可能性があります。たとえば、除外したアプリとトンネル内のブラウザセッションが同じアカウントにログインする場合です。
- 信頼できないネットワークでは、スプリットトンネリングはたいてい誤った選択です。 公衆Wi-Fiでは、すべてのパケットが暗号化された状態で端末を出ることこそが目的です。何かを除外すれば、VPNをつないで塞いだはずの攻撃面をそのまま開け直すことになります。
よい目安はこうです。スプリットトンネリングは「銀行アプリがVPN接続を拒否する」といった、名前を挙げられる具体的な問題を解決するために使い、既定の設定にはしないこと。迷ったときは、すべてトンネルに通してください。
スプリットトンネリングとGLOBEX
GLOBEXが力を入れているのは、全体をトンネルに通す使い方を手間なく実現することです。アプリを開いてConnectをタップすれば、設定は一切不要で通信が暗号化されます。無料プランにも無制限の帯域とPremiumと同じ8つの接続プロトコルが含まれているため、通信を除外させるようなデータ上限はありません。特定のアプリがどのVPNでも不調になる場合（銀行アプリが典型例です）、どの事業者でも最も簡単で確実な対処は、いったん接続を切ってそのアプリを使い、また接続し直すことです。アプリに含まれる内容は機能ページで、無料プランの詳細は無料VPNのページでご確認いただけます。
よくあるご質問
スプリットトンネリングを使うと、トンネル内の通信の暗号化は弱くなりますか。 いいえ。トンネル内の通信は、全体をトンネルに通す場合とまったく同じように暗号化されます。代償が生じるのは除外した部分だけです。
ウェブサイト側に、スプリットトンネリングを使っていると分かりますか。 直接には分かりません。それぞれの宛先には、その通信が届いた経路、つまりVPNサーバーのアドレスか本当のアドレスかが見えるだけです。
逆スプリットトンネリングのほうが安全ですか。 一つの意味では、より安全な形で失敗します。「これらのアプリだけがVPNを使う」設定では、新しく入れたアプリは既定で直接経路になります。「これらのアプリ以外はすべて」の設定では、新しいアプリは既定で保護されます。プライバシーが目的であれば、除外リスト方式（既定で完全に保護）のほうが望ましい構えです。
まとめ
スプリットトンネリングはルーティングの道具であり、セキュリティの強化ではありません。選んだ通信の保護を、互換性や速度、ローカルへのアクセスと引き換えにするものです。信頼できるネットワークで、問題のあるアプリ一つのために意図して使うなら、本当に役立ちます。反対に、なんとなく使えば、自分では持っているつもりの保護を静かに取り去ってしまいます。どの通信がトンネル内にあるかを把握し、例外は短く保ち、ネットワークそのものが信頼できないときは、すべてトンネルに通してください。
