VPN は Wi-Fi では動くがモバイルデータでは動かない：その理由

結論ではなく比較から始める。同じ端末、同じプロファイル、二つのネットワークである。一方でトンネルが失敗し他方で動くなら、違いは資格情報ではなく経路のどこかにある。どちらの失敗かで意味が変わるため、得られた症状を記録する。ログイン前の拒否と、何も運ばない接続は別の問題である。以下の内容はすべて、ネットワークだけを変えて行ったこのテストを前提にしている。

VPN は下位の接続を必要とし、それを置き換えるものではなく、事業者が運ばないと決めたものを運ばせることもできない。

端末は固定し、ネットワークだけを変える

ネットワークとサーバーを同時に変えると、原因の候補が二つ残り、切り分ける手段がなくなる。同じ端点をまず Wi-Fi で、次にモバイルデータで比較し、毎回正確な症状を記録する。認証前の失敗は到達性を、資格情報の拒否はアカウントを、接続済みで何も運ばないトンネルは経路や DNS を示す。本当にネットワークの話なのは最初の一つだけである。

ログイン時の明示的な拒否も認証の確認に含める。一つのネットワークでしか現れなくても同じである。事業者やゲストネットワークの中には、誤解を招くエラーを生む形で通信を横取りするものがある。

アクセスネットワークが見えるもの、課金できるもの

トンネルを運ぶ事業者は接続そのものを観測する。時刻、量、そして VPN 端点のアドレスである。ペイロードを暗号化してもこれらの性質は隠れず、それはモバイルデータだけでなく自宅の Wi-Fi 回線にも当てはまる。VPN が変えるのは誰が何を見られるかであり、答えはホップごとに異なる。接続を一般に私的だと説明するのではなく、ホップごとに書き留める。

料金はもう一つの実際的な違いである。カプセル化、キープアライブ、再試行はいずれもバイトを消費し、アプリは切り替えの後に転送を再開することがある。従量制の自宅 Wi-Fi もあるので、どちらかの回線が無制限だと決めつけず、端末のカウンターとプランを確認する。

ポータルのログインと事業者の制限

トンネルがどこかに到達する前に、キャプティブポータルを満たす必要がある。VPN を再接続しても、ネットワークが許可していない端末は通れず、常時接続の方針がポータルを到達不能にすることがある。まず通常のブラウザーの流れでサインインを済ませ、その後にトンネルを立ち上げる。管理された方針がこの順序を妨げる場合は、事業者または管理者の文書化された手順に従う。

事業者の制限がもう一つの変数である。経路によっては特定のプロトコルしか通さず、アドレスを強引に変換するものもあり、一方のアドレスファミリーを他方と違う扱いにするものもある。比較は失敗を経路に絞り込むが、どの仕組みが原因かは特定しない。

切り替えは再接続と同じではない

それぞれのネットワークが単独で動いたら、実際の切り替えを観察する。クライアントが変化を検知して再接続する場合もあれば、すでに死んだセッションを保持したままの場合もある。すでに使っているアプリは、切り替え後に開いたアプリとは違う復旧の仕方をする。だから トンネルのアイコンが残っていることはほとんど証明にならない。実際に気にしているアプリを切り替えの間に試し、手動の操作なしに復旧するかを記録する。

トンネルがアイドル後にだけ失敗するなら、キープアライブは NAT 状態の一つのケースに対処できる。弱い電波を直すものではなく、すべての切り替えを直すものでもない。設定を変える前に、アイドルと移動を区別する。

ネットワーク、失敗の段階、切り替えの間の挙動を記録する。この三つが経路の問題とクライアントの問題を分ける。