ディープパケットインスペクション（DPI）とは何か
ディープパケットインスペクション（DPI）は、ネットワークを流れるパケットを単に転送するだけでなく、パケットの中身まで読み取ろうとする解析の総称です。目的はさまざまで、たとえば通信種別の推定、フィルタリング、ポリシー適用、侵入の兆候検知などが挙げられます。通常のルーティング機能が主に「宛先」や「到達性」の判断を中心に行うのに対し、DPIはそれ以外の情報にも踏み込もうとする点が特徴です。
VPNサービスが「見せない」しくみ：暗号化とトンネリング
VPNは、利用者端末とVPNの接続先（VPNサーバー）の間に、暗号化されたトンネルを作ることで通信内容を保護しようとします。基本イメージとしては、アプリが作るデータは暗号化されてトンネル内を運ばれ、トンネルの外側では「暗号化された塊」として扱われやすくなります。そのため、途中にDPI機能があっても、暗号化されている限りパケットの中身をそのまま読めない場面が増えます。
重要なのは、DPIが「何でも完全に読めない」ことを常に保証するわけではない点です。VPNは主に“内容”の参照を難しくしますが、通信の外形（例：通信量やタイミング、一般的な通信の形式、接続先の情報など）まで無条件に消えるとは限りません。DPI側が外形情報と既知のパターンを組み合わせて推定することも、理屈の上ではあり得ます。
DPIとVPNの関係：保護できる範囲と残りやすいもの
DPIとVPNの相互作用は、「DPIが参照できる位置」と「暗号化が維持される範囲」で変わります。典型的には次のように考えると整理しやすいです。
- VPNトンネルの“外”でDPIが解析する場合：トンネル外では暗号化されたデータが見えやすく、内容の直接読取りは難しくなります。
- VPNトンネルの“内”や復号後の経路でDPIが解析する場合：復号されるポイントがあると、条件によっては内容に到達し得ます。ここは構成依存です。
- 暗号化しても残りうる情報：外形情報や、通信の観測から推定される部分はゼロにならないことがあります。
さらに、VPNは「データを保護する」手段ですが、ネットワーク全体の扱い（中継装置、ゲートウェイ、企業ネットワークの方針、OSやブラウザの挙動）によって結果が変わります。つまり、DPI対策として“VPNを使う”ことは大きな要素ですが、最終的な見え方は環境の影響も受けます。
どこまで防げるかを左右する制限（例外と注意点）
このテーマで判断が必要になる制限は、主に次の観点に分かれます。
- 復号の有無と位置 VPNの暗号化がどこまで維持され、どこで復号が発生するかで、DPIが参照できる範囲が変わります。復号後の情報が再び解析対象になり得る構成では、保護効果が限定される可能性があります。