Shadowrocketのリンク形式を解説：ss://・vmess://・vless://・trojan://とサブスクリプションの違い

1. 単一の共有リンクとサブスクリプションURLの違い

単一の共有リンクには、通常、プロトコル、サーバーアドレス、ポート、認証情報など、1つの接続設定が記載されています。一方、サブスクリプションURLは設定情報を取得するための入口です。ShadowrocketがURLにアクセスし、返された内容を解析して1つ以上の項目として登録します。そのため、ss://のリンクを1つコピーする場合と、サブスクリプションURLを保存する場合とでは、取り込む対象も、その後の更新方法も異なります。

https://で始まるだけでは、サブスクリプションURLとは限りません。通常のWebページ、アカウントページ、サブスクリプションの入口はいずれもHTTPSを使用できます。Subscribeから取り込めるのは、サービス提供元が明示したサブスクリプションURLで、応答内容を使用中のクライアントが解析できる場合です。また、応答に複数の接続先が含まれるとは限りません。1つだけでも、リモート更新の仕組みを利用できます。

2. リンクに共通する基本構造を読む

URI形式の共有リンクの多くは、scheme、認証情報、ホストとポート、クエリパラメータ、備考に分けて確認できます。各プロトコルでそれぞれの意味は異なるため、あるプロトコルのユーザー名の位置を、別のプロトコルのパスワードの位置とみなすことはできません。以下ではTrojanを例に構造を説明します。パスワードとアドレスは架空の値です。

trojan://[email protected]:443?security=tls&sni=example.com#Demo-Trojan

• trojan://：リンク形式を識別するscheme。
• demo-password：認証用パスワード。特殊文字を含む場合は、URIの規則に従ってパーセントエンコードが必要です。
• example.com:443：接続先アドレスとポート。443はこの例で設定した値で、すべてのプロトコルで固定されているポートではありません。
• ?security=tls&sni=example.com：クエリパラメータ。各フィールドが認識されるかどうかは、取り込み形式とクライアントの対応状況によって異なります。
• #Demo-Trojan：表示名などに使われる備考で、サーバーアドレスの一部ではありません。

パーセントエンコードとBase64は別のものです。たとえば備考の空白は%20と表せます。Base64はバイト列を伝送可能な文字列に変換する方式です。どちらも認証情報を暗号化するものではありません。共有リンク、QRコード、サブスクリプションURLにアクセス用の認証情報が含まれる場合があります。公開コメント欄に投稿したり、提供元が不明なオンラインデコードページに貼り付けたりしないでください。

3. ss://：暗号化方式とエンコード範囲を確認する

Shadowsocksで一般的なSIP002形式の共有リンクは、ss://userinfo@host:port#remarkの形式です。一般的なAEAD設定では、userinfoは通常、method:passwordをURL-safe Base64でエンコードしたものです。以下のエンコード部分をデコードすると、aes-128-gcm:demo-passwordになります。

ss://[email protected]:8388#Demo-SS

デコード後の認証情報：
aes-128-gcm:demo-password

サーバー：example.com
ポート：8388
暗号化方式：aes-128-gcm
パスワード：demo-password

また、method:password@host:port全体をエンコードした旧形式のリンクもあります。どちらの形式も「先頭から決まった文字数を切り出す」方法では解析できません。Base64文字列末尾の=によるパディングは省略されることがあり、URL-safe形式では-や_が使われる場合もあります。パディングがないだけでリンクが壊れているとは限りません。

• 取り込み後は、暗号化方式とパスワードの両方を確認してください。パスワードが正しくても、暗号化方式が一致しなければ意図した接続はできません。
• リンクにpluginパラメータが含まれている場合は、必要なプラグインとそのパラメータが対応しているか確認してください。削除しても同じ設定になるとは限りません。
• Shadowsocksの暗号化方式をVLESSやTrojanに当てはめないでください。プロトコルごとにフィールドの意味が異なります。

4. vmess://：外側のBase64と内側のJSON

一般的なVMess共有形式では、vmess://の後にBase64でエンコードされたJSONが続きます。この形式では、見た目に@host:portがなくても、アドレスが欠けているわけではありません。アドレスとポートはJSONのフィールドに含まれています。以下は一般的な形式をデコードした内容の一例で、そのまま貼り付けて取り込める完全なURIではありません。

{
  "v": "2",
  "ps": "Demo-VMess",
  "add": "example.com",
  "port": "443",
  "id": "00000000-0000-4000-8000-000000000000",
  "aid": "0",
  "scy": "auto",
  "net": "ws",
  "type": "none",
  "host": "example.com",
  "path": "/demo",
  "tls": "tls",
  "sni": "example.com"
}

この例では、addが接続先アドレス、idが明らかに架空のUUID、netがWebSocket通信方式、pathがWebSocketのパスを表します。hostとsniはそれぞれHTTP HostとTLS SNIに使われる場合があり、接続先アドレスと同じとは限りません。vフィールドはこの共有形式の構造を示すもので、Shadowrocketのアプリバージョンではありません。

• まずBase64が完全か確認し、次にデコード結果が有効なJSONか確認してください。「デコードできる」ことだけでは不十分です。
• アドレスとポートが同じでも、設定が同じとは限りません。UUID、通信方式、パス、TLS、SNIが接続に影響する場合があります。
• JSON内の引用符やカンマをむやみに追加・削除しないでください。また、チャットアプリで加わった改行や日本語の句読点を元のリンクに混ぜないようにしてください。

5. vless://とtrojan://：似た構造、異なる認証情報

どちらの共有リンクも、内容を読み取りやすいURI形式がよく使われます。VLESSでは通常、@の前にUUIDを置き、Trojanではパスワードを置きます。どちらも通信方式やTLSのパラメータを含む場合がありますが、プレフィックスを置き換えるだけで一方のプロトコルをもう一方に変換することはできません。

vless://[email protected]:443?encryption=none&security=tls&type=ws&host=example.com&path=%2Fdemo&sni=example.com#Demo-VLESS

trojan://[email protected]:443?security=tls&sni=example.com#Demo-Trojan

VLESSのencryption=noneは、「接続全体でTLSを使用しない」という意味ではありません。security=tlsとは異なる階層の設定です。また、ポートが443だからといって、証明書が必ず有効とは限りません。証明書、SNI、実際のサーバー設定が一致している必要があります。検証エラーが発生した場合は、手元の設定を確認してください。証明書検証を無効にすることを、通常の解決策として行わないでください。

この記事で取り上げた4種類のプレフィックスは、プロトコルの全リストではありません。Hysteria2やWireGuardなどは、それぞれ独自のパラメータ構成と取り込み要件があり、この記事の項目一覧をそのまま当てはめることはできません。同じプロトコルでも共有形式に拡張が含まれる場合があります。項目として解析できたことは、取り込みが完了したことを示すだけで、すべてのパラメータがサーバーに適合しているとは限りません。

6. iPadとiPhoneで取り込み・更新する

ShadowrocketのHomeでは接続状態とサーバー項目を確認でき、Configでは構成ファイルを管理し、Settingsではアプリの設定を行います。サブスクリプションURLをサーバーのドメイン欄に入力しないでください。また、拡張子だけでConfigファイルだと判断することもできません。まず手元の内容が単一リンク、サブスクリプションの入口、完全な設定ファイルのどれかを確認し、適切な手順を選びます。

1. アプリを確認する

   ShadowrocketはApp Storeから入手し、デベロッパがShadow Launch Technology Limitedであることを確認してください。本アプリは買い切りのクローズドソース商用アプリです。クライアントの購入に接続サービスは含まれません。iPhoneとiPadのシステム要件はApp Storeの掲載内容を確認してください。

2. 単一リンクを取り込む

   手元にある完全な共有リンクをコピーしてHomeに戻ります。クリップボードからの取り込み案内が表示されたら、内容を確認して追加してください。案内が表示されない場合は、Home右上の「+」から該当するTypeを選び、元の設定を項目ごとに入力します。URI全体をサーバーアドレス欄に入力しないでください。

3. サブスクリプションを追加する

   Home右上の「+」→ Type → Subscribeを選び、URL欄に手元のサブスクリプションURLを貼り付けて保存します。例のURLはhttps://example.com/sub?token=xxxxです。構造を示すためだけのものです。

4. 更新を確認する

   Homeに戻り、下に引いてサブスクリプションを更新し、対象のグループに項目が表示されるか確認します。更新によって項目が追加、削除、変更される場合があります。手動設定を残したい場合は、更新前に別途記録してください。

5. 接続を確認する

   既存の項目を選び、接続時にシステムの案内に従ってVPN構成を許可したうえで、Home → Connectivity Testを実行します。Home → Global Routingの設定も確認してください。項目を取り込んだだけで、Directが自動的にProxyやConfigに変わることはありません。

サブスクリプションは主に接続項目の取得と同期に使われ、ルールによる振り分け設定まで自動的に完了するわけではありません。Global Routing → Configを使う場合は、Configで使用中の設定と適用対象のポリシーも確認してください。DOMAIN-SUFFIX、GEOIP、IP-CIDR、FINALはルールキーワードであり、接続先の共有プロトコルではありません。サブスクリプションの更新に成功しても、ルールが想定どおりに適用されたとは限りません。

7. 取り込み・更新・接続に失敗したときの確認事項

発生した段階に応じて確認してください。保存前に形式エラーが表示される場合は、まずリンクのテキストを確認します。サブスクリプションの取得に失敗する場合は、入口とネットワーク経路を確認します。項目が表示されても接続できない場合は、認証情報、通信方式、ルーティングを確認します。これら3つの段階を混同すると、正しい設定まで何度も変更してしまうことがあります。