VPNは家族のデバイスのペアレンタルコントロールを壊すのか

ペアレンタルコントロールは一つの製品ではない。ルールはルーターに、DNSサービスに、OSのアカウントに、特定のブラウザーに、あるいは各アプリに置かれる。VPNはネットワーク経路が見える範囲を変えるが、アカウント単位の時間制限には何も変えない。トンネルを追加する前と後で同じ確認を行えば、境界は議論の対象ではなく目に見えるものになる。

どのルールがどこにあるかを書き出す

まず棚卸しをする。デバイス、アカウント、ブラウザー、アプリ、そして各要件を強制する仕組みだ。時間制限は通常プラットフォームのアカウントにある。インストールや購入の制限もそこにある。曖昧なのはコンテンツフィルタリングで、ルーターのルール、DNSの応答、ブラウザーのポリシー、アプリ単位の機能のいずれでもありうる。通信がカプセル化されると、それぞれの振る舞いは変わる。

変更前に取った棚卸しだけが、後退と、もともと動いていなかったものを区別する手段になる。

何かをインストールする前に基準を測る

どのリゾルバーが応答するか、通常の宛先がどの経路を通るか、既知のブロック対象ページが実際にブロックされるかを記録する。その後、同じ三つの観察を同じ順序で、同じデバイスで繰り返す。

resolvectl status | head -20
ip route get 203.0.113.10
dig +short example.com

リゾルバーの出力を見れば、デバイスがルーターのDNSを使っているのか、デバイス側に設定したプライベートリゾルバーを使っているのかがわかる。この一点がほとんどの意外な結果を説明する。独自の暗号化リゾルバーを使うデバイスは、家庭のフィルターに一切問い合わせないからだ。各結果の横に、家庭の実際の要件を平易な言葉で添えておく。「九時以降はSNS禁止」と「このルーターはドメインリストを遮断する」は別の要件であり、責任者も別で、トンネルはその片方にしか影響しない。

トンネルを上げたまま同じ確認を繰り返す

トンネルを接続したら、リゾルバーと経路の確認を繰り返す。リゾルバーがプライベートなものに変わっていれば、デバイスが家庭のネットワークに残っていても、ルーターのフィルタリングは経路から外れている。

resolvectl status | head -20
ip route get 203.0.113.10
curl -sS -o /dev/null -w '%{http_code}\n' https://example.com

いまトンネルを通る経路は、アカウントの制限が効かなくなったという意味ではなく、ルーターのフィルタリングが失われたことを説明する。アカウントの制限は別に確認する。ブロックされたページから推測するのではなく、プラットフォーム自身の設定で読む。ブラウザーの結果にも同じ注意が要る。一つのブラウザーでサインインした子どものアカウントにだけ適用されるフィルターは、別のブラウザーやその外で開いたデスクトップアプリについては何も語らない。

無効化するのではなく競合を解く

デバイスのネットワーク拡張をどちらも所有したい二つの製品は競合しうる。よくある症状は、片方が接続を拒むことだ。トンネルを動かすために保護を外すのは逆方向である。両方のベンダーの互換性の注意書きを読み、要件を保つ配置を選ぶ。同じフックを奪い合う二つのアプリを動かすのではなく、管理されたデバイスプロファイルなど別の層へフィルターを移すことが必要な場合もある。

正当な学校や仕事のリソースがブロックされているなら、家庭の管理者に文書化された承認手続きを用意する。理由と見直し日を添えた例外は維持できるが、その場しのぎのネットワーク変更の山は維持できない。

記録は小さく、最新に保つ

一枚で足りる。デバイス、アカウント、どのルールをどの仕組みが強制するか、最後に確認した日付だ。大きなアプリ更新の後には確認をやり直す。ネットワーク拡張やブラウザーのポリシーは版の間で移ることがある。

この記録は、半年後にこれをデバッグする人のために書く。それはすべてを忘れたあなた自身かもしれない。製品名ではなく仕組みの名前を書けば、改名の後でもメモは意味を保つ。