ShadowrocketのTrojan設定方法｜Address・Port・Password・SNI・Allow Insecureを解説

Trojan接続におけるTLSの仕組み

TrojanはTLSで暗号化された接続を確立します。クライアントは指定されたサーバーのアドレスとポートに接続し、サーバーとのTLSハンドシェイクを完了した後、Trojanプロトコルで認証情報を送信します。そのため、アドレスへの接続、証明書の検証、サーバーによるパスワードの認証は、それぞれ別の確認項目です。Shadowrocketの接続スイッチがオンになっているだけでは、すべての処理が成功したとは限りません。

利用するサービス事業者と接続情報がすでにある場合は、提供された各項目をそのまま入力してください。Trojanというプロトコル名だけでは、すべてのサーバーで同じドメイン、ポート、SNIが使われるとは限りません。特に、表示用の名前やサブスクリプションURLを、実際のサーバーAddressと混同しないようにしてください。

たとえば、サーバーがserver.example.com、ポートが443と指定されている場合、クライアントからこのアドレスの443番ポートに接続できる必要があります。ここに記載したドメインは形式の例で、接続可能なサービスを示すものではありません。実際のポートが443以外なら、自己判断で443に変更しないでください。ポートの誤りは通常、認証前に接続を妨げます。一方、パスワードの誤りはTLSハンドシェイク後に判明する場合があります。

Add Serverの各項目を設定する

Homeでサーバーを追加するときは、TypeをTrojanに設定し、手元の接続情報に沿って各項目を入力します。画面の状態によって表示される項目が異なる場合があります。追加の通信パラメーターが記載されている場合は、現在のTrojan設定に該当するものか確認し、別のプロトコルのパラメーターをそのまま使わないでください。

Addressにドメイン名とIPアドレスのどちらを指定するかは、特にTLSの段階で重要です。証明書は通常、ドメイン名に対して発行されます。IPアドレスで接続するよう指定され、別途SNIも案内されている場合は、AddressにIPアドレス、SNIに指定されたドメイン名を入力してください。見た目が似ているという理由でドメイン名を置き換えず、サーバーが実際に受け付ける名前を接続情報で確認してください。

HomeからTrojanを追加して接続を確認する

接続情報に各項目が明記されている場合は、手動で入力できます。利用中のサブスクリプションURLがある場合は、その方式で読み込むこともできますが、追加されたサーバーの情報は元の接続情報と照合してください。サブスクリプションURLをTrojanのAddressに入力しないでください。以下では手動で設定した後、接続が実際に機能しているか確認します。

1. サーバーを追加する

   Homeを開き、右上の「+」をタップしてAdd Serverに進み、TypeでTrojanを選択します。最初にプロトコルの種類を確認してからほかの項目を入力し、同じ名前のサーバーを別の種類で誤って登録しないようにします。

2. アドレスとポートを入力する

   接続情報に記載されたホスト名またはIPアドレスをAddressに、対応する数字をPortに入力します。たとえば、接続情報がserver.example.com:443の場合、コロンの前後をそれぞれ別の項目に入力します。

3. 認証情報を確認する

   そのサーバー専用の値をPasswordに入力します。SNIが明記されている場合は、記載どおりに入力してください。Allow Insecureはオフのままにし、保存後にHomeへ戻って追加したサーバーを選択します。

4. 接続結果を確認する

   Homeで接続をオンにし、Connectivity Testを実行します。失敗した場合は、まずAddress、Port、Passwordを確認し、次にSNIと証明書情報を確認してください。接続スイッチの状態だけでサーバーが使えると判断しないでください。

5. ルーティング設定を確認する

   HomeでGlobal Routingを確認します。サーバー単体の接続を切り分ける際は、一時的にProxyを選んでプロキシ接続を確認できます。設定したルールに従って通常利用する場合は、Configに戻してください。Directでは、選択中のプロキシサーバーにリクエストは送信されません。

保存前に、各項目を元の接続情報と並べて照合してください。特に全角記号、コピー時に入った空白、ドメイン末尾の余分なスラッシュを確認します。同じサーバーをすでにサブスクリプションから読み込んでいる場合、問題の切り分けのために何度も複製を作る必要はありません。サブスクリプションの項目と手動設定のAddress、Port、TLS関連項目を比べると、違いを見つけやすくなります。

SNIとAllow Insecure：証明書検証の確認方法

SNIはTLSハンドシェイク時に送信されるサーバー名で、サーバーはこれをもとに適切な証明書を選択できます。クライアント側では、受信した証明書が信頼でき、指定した名前と一致するかも検証されます。そのため、正しいIPアドレスに接続できても、証明書の検証に成功するとは限りません。SNIの誤り、証明書の期限切れ、サーバー側の証明書設定の不備などが、TLS関連の接続エラーにつながることがあります。

Allow Insecureは証明書検証の厳格さに関する設定で、接続の問題を何でも解決するスイッチではありません。オンにした場合にだけ接続できるなら、証明書とサーバー名が一致しているか、さらに確認が必要です。それだけで元の設定が正しいとは判断できません。まず利用中のサービス事業者にSNIと証明書の設定を確認し、対応方法を判断してください。エラーを回避する目的で、確認していない設定を長期間使わないようにしましょう。

SNIとPasswordの役割も区別しましょう。前者はTLS接続と証明書名の確認に使われ、後者はTrojanの認証に使われます。SNIを変更してもパスワードの誤りは解消せず、パスワードを再入力しても期限切れの証明書は修復できません。失敗した処理に対応する項目を確認すれば、複数の項目を同時に変更するより原因を特定しやすくなります。

接続できない場合の症状別チェック

切り分けでは、一度に変更する項目を1つにして、変更前後のConnectivity Testの結果を記録してください。まずデバイス自体がネットワークに接続できることを確認し、その後、対象サーバーの接続情報が現在も有効か確認します。サーバーを利用中のサブスクリプションで管理している場合、更新後に接続情報が変わることがあります。更新後の項目を確認し、古い手動設定と新しい情報を混在させないでください。

一部のWebサイトだけにアクセスできず、Connectivity Testが正常な場合、原因はTrojanの接続情報とは限りません。Global RoutingがConfigの場合、設定内のDOMAIN-SUFFIX、GEOIP、IP-CIDR、FINALなどのルールによって、リクエストごとにPROXY、DIRECT、REJECTへ振り分けられることがあります。該当するルールとポリシーを確認してください。Proxyへの切り替えはルーティングの問題とサーバー接続の問題を切り分けるために使い、ルールを継続的に確認する代わりにはしないでください。

ShadowrocketはApp Storeで提供される買い切り型アプリで、開発者はShadow Launch Technology Limitedです。アプリの購入と接続サービスは別のものです。iPhoneやiPadなどの対応システム要件は、App Storeのページをご確認ください。Home、Config、Settingsの基本操作を続けて学ぶ場合は、まずサイト内の入門ガイドを参照し、その後この記事に戻ってTrojanの各項目を確認してください。