VPNに接続したのにIPアドレスが変わらないのはなぜか

接続し、クライアントは接続済みと言い、アドレス確認はいまだに以前と同じ数値を表示します。表示に問題はありませんが、プロファイルとアプリの間の何かが、その要求をトンネルの外に留めたのです。設定に触れる前に、公開アドレスを一度も測っていないテスト、通信の一部しか覆わないトンネル、経路判定を勝ち取る第二の経路のうち、どれを見ているのかを決めてください。どれにも一分未満で終わる確認が一つあります。

テストが実際に何を測ったかを確かめる

Wi-FiやEthernetのダイアログに表示されるアドレスは自分のセグメント上のインターフェースアドレスであり、ウェブサイトが見るアドレスではないため、トンネルが完全に動作していても同じままになり得ます。位置もまた別の信号で、保存されたアカウント地域や許可された位置情報の読み取りは出口を変えても動かず、すでにあなたを認識しているログインも動きません。

公開アドレスのエコーを使い、各ファミリーを別々に尋ねてください（デュアルスタックのテスト結果は興味深いケースを隠すため）：

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

接続の前と後に両方を実行します。IPv4の答えが出口アドレスに変わり、IPv6の答えが変わらないなら、トンネルは壊れておらず、一つのファミリーがその外を走っています。両方の答えが同じままなら、要求はトンネルにまったく届いておらず、ここから先が当てはまります。

プロファイルが通信の一部しか覆っていないことがある

分割トンネルのプロファイルはよくある答えであり、欠陥ではありません。OpenVPNがすべてをトンネルに通すのは、redirect-gatewayがプッシュされたオプションにあるときだけで、それがないとクライアントは少数の具体的な経路を受け取り、既定の経路は物理リンクに残ります。Windowsでは同じスイッチがアダプターのIPv4プロパティに「リモートネットワークでデフォルトゲートウェイを使用する」として現れ、これを外すのは再接続のたびに残る意図的な選択です。

アプリごとの範囲が第二の層です。AndroidのアプリごとのVPN設定はどのアプリを含めるかを決めるので、ステータスバーのVPNキーはブラウザーが内側にあることを証明しません。自分の通信をプロキシするブラウザー拡張は鏡像を作り、ブラウザーは出口アドレスを示す一方、同じマシンのメールクライアントやゲームはいまだにあなたのアドレスを示します。同じ要求を二つのアプリで比べてください。片方が変わり片方が変わらないなら、見ているのは範囲であって、失敗するトンネルではありません。

一つのアドレスファミリーは依然として直接出られる

ほとんどのVPNプロファイルはIPv4向けに書かれており、多くはいまもそうです。デュアルスタックのネットワークではトンネルがIPv4用に10.8.0.xを取る一方、物理リンクはグローバルなIPv6アドレスと既定経路を保つため、IPv6対応サイトは直接到達され、報告されるアドレスはプロバイダーのものです。これは動作中のIPv4トンネルがあっても漏れであり、IPv4しか話さないテストには見えません。

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

各応答でインターフェースを読んでください。IPv6の検索がEthernetやWi-Fiのデバイスを名指しし、IPv4の検索がトンネルを名指しするなら、そのファミリーのポリシーは壊れているのではなく欠けています。IPv6をデバイス全体で切ると症状は消えて判断が隠れるため、プロファイルの適用範囲を直すかその接続だけでファミリーを無効にするほうを選び、どちらを選んだかを記録してください。

第二の経路が検索を勝ち取ることがある

競合するプロキシ、二つ目のVPNクライアント、コンテナーやリモートデスクトップツールの仮想アダプター、あるいはテストしている正確なプレフィックスへの追加経路は、いずれも優先され得ます。具体的な経路は常に既定経路に勝つため、測定しているサイト向けに残った/24がLANゲートウェイを指していると、トンネルがどれほど健全でもその通信はトンネルの外へ送られ続けます。

何も変える前に、読み取り専用のコマンドで棚卸しをしてください：

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

もっともらしいメトリックを持つ既定経路が複数ないか、宛先を覆う具体的な経路がないか探します。ブラウザーでは、プロキシ拡張やシステムのプロキシ設定が接続を所有していないかも確認し、拡張は独自の上流を名指ししてOSの出口をそのままにできるため、同じマシンの端末とは違うアドレスがブラウザーに現れます。

新しい要求で測り直す

再接続し、最初に試したのと同じアプリで測定を繰り返します（キャッシュされたページや再利用された接続は古い状態を報告するため）。接続中はクライアントのログやイベント表示を見てください：認証後に経路を適用する際のエラーはどんな表示よりも強い証拠で、通常は失敗した経路やアダプターを名指しします。

二つの結果を切り離してください。アドレスが変わるのに一つのサイトが依然として拒否するなら、トンネルは動いており、サイトがデータセンターのアドレスを拒否しており、それは別の答えを持つ別の問題です。アドレスが決して変わらないなら、テストはどのアドレスを出力したか、どのファミリーだったか、どのアプリが要求したか、その要求がどの経路を通ったかという四つの問いを順に進めます。VPNの経路判定に関するMicrosoftのドキュメントは、両方に経路があるときWindowsクライアントがトンネルと物理アダプターのどちらを選ぶかを説明しています。