ShadowrocketのOn Demand設定ガイド｜Wi-Fi・モバイル通信・ドメインで自動接続

1. On Demandと接続後のルーティングルールを区別する

設定前に、まず確認する場所を整理しましょう。ネットワーク環境に応じて自動接続する場合は Settings → On Demand を確認します。接続済みなのに特定のWebサイトへの経路が想定と違う場合は、Home → Global Routing と Config で現在有効な設定を確認します。両者は適用される段階が異なります。設定ファイルにドメインのルーティングルールを記述しても、システムのオンデマンド接続条件が作成されるわけではありません。

On Demandは、Appleのシステムが備えるVPNオンデマンド機能を利用します。システムは現在のネットワークと保存済みの条件をもとに接続の要否を評価し、接続に成功すると、Shadowrocketが選択したルーティング方式で通信を処理します。ネットワークの切り替えや名前解決の要求などが評価のきっかけになることはありますが、前面に表示されたWebページの内容を常時スキャンする機能でも、アプリの起動・終了に合わせて時間を計るスイッチでもありません。

• Proxy（プロキシ）：プロキシ経由のルーティングを使用します。設定内のルールを個別に照合する方式とは異なります。
• Direct（直接接続）：直接接続のルーティングを使用します。VPNが接続中でも、すべての通信がプロキシ経由になるとは限りません。
• Config（設定）：現在有効な設定内のルールに従って通信先を決めます。ドメインによる振り分けの確認に適しています。
• Scene（シーン）：シーンに応じたルーティング選択に使用します。現在のシーンの設定も確認してください。On Demandの接続動作ではありません。

たとえば、設定内の DOMAIN-SUFFIX,example.com,DIRECT は、ドメインのサフィックスが一致した場合に直接接続することを示します。FINAL,DIRECT は、それ以前のルールに一致しなかった場合の最終的な接続先です。これらのルールがシステムのVPNを自動で開始することはありません。GEOIP（IPアドレスの地理的な割り当てによる照合）や IP-CIDR（IPアドレス範囲による照合）も通信処理のルールであり、Wi-Fiやモバイル通信の条件に代わるものではありません。

2. 設定前に入口・接続・復元方法を確認する

自動化を設定する前に、まず手動で接続できることを確認してください。ここでは主にiPhoneとiPadでの設定を説明します。システム要件はApp Storeのページで確認してください。システムやアプリの画面によって選択できる項目が異なる場合があります。実際に保存できる条件は、現在の Settings → On Demand 画面で確認してください。システム上の動作名が、すべての画面に必ずボタンとして表示されるとは限りません。

1. Homeで、すでに利用可能な接続を選び、接続スイッチを手動でオンにします。初回にVPN構成の追加を求めるシステム通知が表示されたら、アプリ名を確認し、システムの案内に従って許可してください。
2. 普段アクセスできるWebページを開き、ネットワーク自体が正常に使えることを確認します。手動接続も失敗する場合は、接続パラメータ、ネットワークへの到達性、設定の問題を先に解決してください。
3. 現在の Global Routing の状態と、Config で有効になっている設定を記録します。テスト中に切り替えて、元の状態を忘れないようにしてください。
4. Settings → On Demand を開き、既存の条件と並び順を記録します。今回確認する項目だけを変更し、サブスクリプションの更新や接続先の変更は同時に行わないでください。
5. システムの 設定 → 一般 → VPNとデバイス管理 → VPN で、該当するVPN構成の場所を確認しておきます。システムに「オンデマンド接続」に関する項目が表示される場合は、その状態も確認してください。

3. Wi-Fi名で接続・切断を設定する

Wi-Fi名の条件は、通常 SSID（無線ネットワーク名）を指定します。判定対象はネットワーク名であり、ルーターのメーカー名やWebサイトのドメインではありません。以下では架空のネットワーク名 Home-WiFi を使い、「指定したWi-Fiでは切断し、モバイル通信では接続する」設定を例に説明します。特定のネットワークで切断するかどうかは実際の利用目的に応じて判断してください。「自宅」という名前だけで安全と決めつけることはできません。

1. システムのWi-Fi設定で、現在接続しているネットワークの正式名称を確認します。空白、記号、大文字・小文字をそのまま保ち、「自宅のネットワーク」のようなメモで実際のSSIDを置き換えないでください。
2. Settings → On Demand を開き、Wi-Fi条件を編集して、一致させるネットワーク名に実際のSSIDを入力します。この例の Home-WiFi は説明用です。
3. そのネットワークでVPN接続を維持しない場合は、一致時の動作に Disconnect（切断）を設定します。そのネットワークで接続する場合は Connect（接続）を選びます。現在の画面に表示される方法で保存してください。
4. すべてのWi-Fiを対象とする広範な条件がないか確認します。特定のSSIDに対する例外は、それを上書きする可能性のある汎用条件より先に設定してください。
5. 対象のWi-Fiからいったん切断して再接続し、VPNの状態を確認します。設定を保存した直後に元のネットワークでWebページを一度開くだけで、成功と判断しないでください。

Disconnectは、このVPNを切断するという意味です。デバイスのWi-Fiをオフにしたり、すべてのネットワーク通信を遮断したりするものではありません。自宅で特定のドメインだけを直接接続したい場合は、通常、VPN接続を維持したまま Config でルールを設定します。自宅のWi-Fi全体を切断する方法とは影響範囲が異なります。

4. モバイル通信での自動接続とルールの優先順位

モバイルデータ通信に対応するデバイスでは、Cellular（モバイル通信）条件に Connect を設定できます。指定したWi-Fiから離れると、システムはモバイルデータ通信に切り替わり、該当する条件を評価します。切り替え中には、ネットワークの利用可否やVPNトンネルの確立、その後の通信などの段階があります。オンデマンド接続によって、すべての既存接続が途切れずに維持されるわけではありません。

システムはオンデマンドルールを順番に評価し、最初に一致した適用可能なルールの動作を実行します。先頭の汎用接続条件がすべてのWi-Fiを対象としていると、その後に設定した特定SSIDの切断条件が適用されないことがあります。Shadowrocketの画面では条件がネットワークの種類ごとに整理される場合があります。確認時は表示順だけでなく、各条件がどの範囲を対象とするかも確認してください。スイッチがオンかどうかだけでは判断できません。

• まず対象範囲の狭い例外を置き、その後に広範囲のデフォルト条件を検討します。汎用条件が例外より先に適用されないようにしてください。
• 一致する条件がない場合、システムが必ず接続または切断すると決めつけないでください。残りのネットワークで必要な動作を明示し、実際に確認してください。
• 手動で切断しても、自動接続が解除されるわけではありません。その後のネットワークイベントが Connect 条件に一致すると、システムが再接続することがあります。
• 接続を継続して手動で管理する場合は、まずOn Demandをオフにし、システム側のオンデマンド設定も確認してから、接続スイッチを操作してください。

モバイル通信機能のないiPadでは、モバイル通信への切り替えテストはできません。Wi-Fiで別のデバイスのインターネット共有に接続している場合も、このデバイスが使うのはWi-Fiインターフェイスです。共有元の接続方式ではなく、このデバイスで認識されるネットワークの種類に基づいて判定してください。

5. ドメインによるオンデマンド接続とDOMAIN-SUFFIXのルーティングは別機能

「ドメインにアクセスしたら接続する」という設定は、仕組みを分けて考える必要があります。Appleのオンデマンド機能にある EvaluateConnection（接続の評価）は、ドメインや名前解決に関する条件を使ってVPN接続の要否を判定できます。接続後に DOMAIN-SUFFIX で通信を振り分ける仕組みとは異なり、ブラウザーのアドレスバーを常時監視する機能でもありません。

システムのドメイン評価における ConnectIfNeeded（必要に応じて接続）は、通常、DNSの名前解決失敗や必要なDNSサーバーが利用できない場合などに関係します。NeverConnect（一致するドメインでは接続を開始しない）も、Webサイトをブロックするルールではありません。これらはシステム機能の名称です。現在のShadowrocketの画面で該当する条件が選べる場合に限り、画面上で提供される選択肢を設定してください。設定ファイルのキーワードとして、そのまま貼り付けることはできません。

1. まず目的を確認します。「トンネル未接続時に、内部ドメインへのアクセスをきっかけに接続したい」のか、「トンネル接続中に、特定のWebサイトの接続先を指定したい」のかを区別してください。後者は Config で設定します。
2. Settings → On Demand で、ドメインに関する条件と選択できる動作が用意されているか確認します。現在の画面にネットワークの種類しか表示されない場合は、実際に選択できる範囲で設定し、存在しない項目を作り出さないでください。
3. 画面がドメイン条件に対応している場合は、自分にアクセス権があり、実際にそのネットワーク環境での名前解決が必要なドメインを使ってテストします。internal.example.com は記述例であり、実際の接続確認には使用できません。
4. 項目の用途に応じてホスト名またはドメイン名を入力し、完全なURLは入力しないでください。https://internal.example.com:443/path のプロトコル、ポート、パスはドメイン名には含まれません。
5. まず未接続時のDNS応答を記録してから、条件を有効にしてテストします。通常のネットワークですでにドメインを解決できる場合、「必要に応じて接続」が必ず発動するとは限りません。

目的が「example.com は直接接続し、その他の通信は現在の設定に従う」であれば、有効な設定にドメインルールを追加し、Global Routing → Config を選択します。ドメインルールは接続先を決めるものです。VPN全体を切断すると他のアプリの通信にも影響するため、両者を置き換えて使うことはできません。

6. 3つのケースで設定を確認する

一度に変更する項目は一つにします。同じ既存の接続、有効な設定、テスト用Webページを使ってください。以下は確認時に記録する内容であり、所要時間や実測性能を保証するものではありません。システムの評価やトンネルの確立には時間がかかるため、状態が安定してから判断してください。

VPNが接続済みなのにページが表示されない場合は、問題は接続後の処理段階にあります。Global Routing、有効な Config、DNS、接続先への到達性を確認してください。Wi-Fi名の条件を何度も変更する必要はありません。接続動作自体が起きない場合は、オンデマンドのスイッチ、現在のインターフェイスの種類、ルールの優先順位を先に確認します。

• 公衆Wi-FiでWeb認証が必要な場合は、テスト前にネットワークへのログインを完了してください。Wi-Fiに接続していても、インターネットにアクセスできるとは限りません。
• On Demandを一時的にオフにし、同じネットワークで手動接続します。それでも失敗する場合は、自動接続条件ではなく、まず接続自体の問題を調べてください。
• テスト中にサブスクリプションを更新したり接続先を変更したりしないでください。接続パラメータが変わると、条件が発動したかどうかを判断しにくくなります。
• テスト後は、最終的に必要なルーティング状態と条件に戻してください。一時的なグローバル直接接続や汎用接続条件を、普段の設定に残さないようにします。

7. 自動再接続・ネットワーク名の照合・バッテリーに関するよくある質問

確認する順序を統一します。まずネットワークが利用可能か、次にシステムが接続を開始したか、最後に接続後のルーティングとDNSを確認します。この3段階で状況を記録すれば、On Demand、サブスクリプション、設定を同時に変更するより原因を見つけやすくなります。基本操作については、当サイトのほかのガイドもご覧ください。