分割トンネルが“VPNセキュリティ”と噛み合わない理由

分割トンネル（スプリットトンネリング）は、端末から発生する通信のうち一部だけをVPN経由にし、それ以外は通常の回線で送る仕組みです。これ自体は合理的ですが、「VPNセキュリティで守られるはずだ」と期待している通信が、実際にはVPN経由になっていないケースが起きがちです。

結果として、次のような“互換性のズレ”が発生します。

  • ある通信はVPNの暗号化やポリシーを通る一方で、別の通信は素通りしてしまう
  • 期待しているドメイン名解決（DNS）や経路選択が、VPN側の挙動と一致しない
  • 端末やアプリが自前のネットワーク処理（独自DNS、プロキシ、IPv6利用など）を行い、分割の意図に影響する

このため、分割トンネルは「VPNセキュリティの効果をゼロにする」ものではありませんが、“効果が及ぶ範囲”が条件付きになります。ここを前提に確認し、必要なら設定を調整するのが直し方の基本です。

よくある問題パターン（症状→原因の当て方）

1) VPN経由のはずの通信がVPNに載っていない

症状としては、特定のサイトやアプリだけが想定と異なる経路で到達しているように見えることがあります。原因は、分割トンネルの「対象に含める/除外するルール」が、実際の通信先（ドメイン、IP、ポート、プロトコル）と一致していないことです。

対処の方向性は「ルールが何を“単位”にしているか」を確認することです。ドメイン単位なのか、IP単位なのか、アプリ単位なのか、あるいはプロキシ/VPN統合の有無なのかで、当て方が変わります。

2) DNS（名前解決）だけが想定外の経路を使う

もう一つの典型はDNSのズレです。分割トンネルでは、通信本体だけでなく「名前解決の行き先」が別経路になることがあります。その結果、表示される挙動（どのIPに行ったか、結果としての到達性）が変わります。

直す観点はDNSの扱いです。たとえば“DNSをVPN側で解決する/しない”の設定、IPv6 DNSの扱い、端末側のDNS設定（OSやブラウザの上書き）との整合を見直します。

3) IPv6が絡むと意図したルーティングが崩れる

IPv6が有効な環境では、IPv4のルールに合っていてもIPv6の通信が別経路になることがあります。症状としては「一部の通信だけうまくいかない」「サイトによって挙動が違う」といった形で現れます。

対処は、IPv6を含む経路選択がどう扱われるかを確認し、分割トンネルの対象判定がIPv4/IPv6の両方で成立しているかを確認することです。

4) アプリやブラウザの“独自ネットワーク機能”が影響する

端末やアプリによっては、OSの一般設定とは別に通信経路やDNSの手段を持っています。分割トンネルの設定だけ見ていても、アプリ側の挙動で結果が変わることがあります。