V2RayのDNS設定ガイド｜DNS振り分け・DoHサーバー・DNS汚染対策

1. まずDNSリクエストの処理元を確認

DNS設定が反映されない原因は、DNSサーバーのアドレス間違いとは限りません。問い合わせが想定したリゾルバーに届いていないケースもあります。Windowsのシステムリゾルバー、ブラウザーのセキュアDNS、V2Rayの内蔵DNS、プロキシサーバーが稼働するマシンのリゾルバーは、それぞれ別の処理段階です。いずれか一つを変更しても、ほかの処理まで変わるわけではありません。

上記は一般的な処理の流れであり、すべての接続で内蔵DNSが使われるわけではありません。たとえば、ブラウザーがHTTPプロキシにドメイン名を送る場合、プロキシのアウトバウンド側で名前解決されることがあります。一方、アプリがローカルで名前解決してからIPアドレスをプロキシに渡すと、カーネルに届くのはIPアドレスだけかもしれません。「システムプロキシ → システムプロキシを自動設定」を有効にしても、WindowsのすべてのDNSリクエストが転送されるわけではありません。

• システムプロキシ：主にシステムのプロキシ設定に従うアプリに影響します。DNSをすべて転送する設定ではありません。
• TUNモード：トラフィックを取り込む範囲を広げますが、DNSが対象になるかは、使用中のカーネルやTUN設定、ルーティングによって異なります。
• 内蔵DNS：カーネルがドメインを名前解決する場面で結果を返します。dnsを設定しても、システム向けのポート53のDNSサーバーとして自動的に動作するわけではありません。
• ブラウザーのセキュアDNS：ブラウザーが独自にDoHサーバーへ接続する場合があります。名前解決をブラウザーとクライアントのどちらで一元管理するか、先に確認しましょう。

2. servers・domains・expectIPsの役割

serversは使用する上流リゾルバーを定義します。サーバーオブジェクト内のdomainsは指定ドメインの優先問い合わせ先を設定し、expectIPsはそのサーバーが返すアドレスの想定範囲を指定します。それぞれ「どこに問い合わせるか」「どのドメインを優先して問い合わせるか」「どの結果を許容するか」を制御します。いずれもトラフィックのルーティングルールではありません。

domainsは排他的なアクセス制御ではありません。一致したサーバーへの問い合わせが失敗したり、結果がexpectIPsを満たさなかったりすると、その後のフォールバック処理に進む場合があります。中国本土向けリゾルバーを指定ドメインだけに使うには、skipFallback: trueを設定し、ドメインを限定しないリモートリゾルバーをデフォルト候補として残してください。

3. DNS振り分け例：中国本土のドメインはローカル優先、その他はDoH

中国本土のドメイン向けの優先リゾルバーに223.5.5.5、デフォルトのDoH上流にhttps://1.1.1.1/dns-queryを使います。ここでいう「ローカルDNS」は、PCから指定したリゾルバーへ直接接続することを指し、ルーターや通信事業者から自動設定されたDNSを使う意味ではありません。アドレスは設定例です。利用できるか、結果が適切かは実際のネットワークで確認してください。

{
  "dns": {
    "queryStrategy": "UseIPv4",
    "servers": [
      {
        "address": "223.5.5.5",
        "port": 53,
        "domains": [
          "geosite:cn"
        ],
        "expectIPs": [
          "geoip:cn"
        ],
        "skipFallback": true
      },
      {
        "address": "https://1.1.1.1/dns-query"
      }
    ]
  }
}

geosite:cnに一致する場合は中国本土向けリゾルバーを優先し、一致しない場合はドメイン制限のないDoH候補を使います。中国本土向けリゾルバーの結果がアドレスの想定範囲を満たさない場合、後続の候補に切り替わることもあります。ドメイン制限のないlocalhostを安易に追加すると、システムリゾルバーがフォールバック経路に戻り、設定したい境界が崩れるので注意してください。

expectIPs: ["geoip:cn"]は比較的厳しい設定です。中国本土のWebサイトでも海外CDNを利用している場合があり、正当な結果が拒否されて問い合わせに時間がかかることがあります。その場合は、対象ドメインと返されたIPアドレスを確認し、ドメインの分類やサーバーの想定範囲を調整してください。「海外IPだから汚染」と即断しないようにしましょう。

4. DoHをプロキシ経由にするにはルーティングルールも必要

DoHはリゾルバーまでの通信を暗号化しますが、リクエストが自動的にプロキシを経由するとは限りません。V2Rayでは通常のhttps://形式のDoHリクエストはルーティングの対象にできますが、https+local://形式のローカルモードは同じ方法でルーティングされません。リモートDoHにノードのアウトバウンドを使う場合、この2つの形式を混同しないでください。

以下は既存の設定に追加するための断片です。outboundsに、タグがdirectの直接接続アウトバウンドと、タグがproxyの利用可能なプロキシアウトバウンドがすでにあることが前提です。実際のタグが異なる場合は、設定に合わせて変更してください。この2つの上流アドレス向けルールは、先に一致する可能性がある広範囲なルールより前に配置します。

{
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "ip": [
          "223.5.5.5/32"
        ],
        "port": "53",
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "ip": [
          "1.1.1.1/32"
        ],
        "port": "443",
        "outboundTag": "proxy"
      }
    ]
  }
}

• 2種類のstrategyを混同しない：dns.queryStrategyは名前解決に使うアドレスファミリーを制御し、routing.domainStrategyはルーティング判定時のドメイン名の扱いを制御します。役割は異なります。
• AsIsはIPルールの判定用にドメインを自動で名前解決しません：通常のWeb接続でドメイン名だけが渡される場合、geoip:cnだけですべてのサイトを自動振り分けできるわけではありません。Webサイトのドメイン振り分けルールは別途設定してください。
• ルールの対象はアドレスとポートで限定：すべての443番ポート通信を同じアウトバウンドに送る例ではありません。指定したリゾルバーへの接続だけを処理します。
• IP形式のDoHアドレスを使用：上流ホスト名を名前解決する手順を減らせます。ただし、サービス側にはそのアドレスに対応した有効なTLS証明書が必要です。DoHドメインを任意のIPアドレスに置き換えることはできません。

デフォルトでは、どのルールにも一致しない接続はデフォルトのアウトバウンドを通ります。通常はアウトバウンドの並び順が影響します。DoHのアウトバウンド確認を省略して、結果が返っただけで「プロキシ経由で名前解決できた」と判断しないでください。また、ノードサーバーにドメイン名を使う場合は、その名前を解決するための独立したブートストラップ経路が必要です。ノードに接続するためにノードのアドレス解決が必要になる循環依存を避けてください。

5. v2rayNで設定を適用する前に、元に戻せる状態を残す

v2rayNは設定を管理するクライアントであり、DNSプロトコルそのものではありません。クライアント画面で保存した設定は、最終的にカーネルの実行設定へ変換されます。一時生成ファイルを直接編集すると、ノードの切り替えやカーネルの再起動で上書きされることがあります。また、V2RayのJSONを別のカーネル用設定欄に入力すると、起動に失敗する場合があります。

1. 現在の状態を記録する。現在のDNS設定、使用中のノード、ルーティングモードを保存します。設定を変更する前に、元の状態でよく使うWebサイトを開けることを確認してください。
2. 設定画面を確認する。「設定 → DNS設定」で、使用中のカーネルに対応する設定欄を選びます。そのバージョンにDNS JSON全体の編集欄がある場合は、要求されているDNSオブジェクトの階層だけを入力してください。設定ファイル全体を貼り付けないでください。
3. 完全な設定は別途管理する。ルーティングやアウトバウンドを自分で管理する場合は、「サーバー → カスタム設定サーバーを追加」から、カーネル設定全体を読み込みます。この記事の2つの断片にはインバウンドやプロキシアウトバウンドなどが含まれていないため、完全な設定としてそのまま実行することはできません。
4. カーネルを再起動してログを確認する。ネットワークテストの前に、JSONの構文、ルールデータ、アウトバウンドタグのエラーを確認してください。保存できても、正常に動作するとは限りません。
5. 機能を一つずつ追加する。まずデフォルトのDoHを確認し、次に中国本土のドメイン向けの優先名前解決を追加します。最後にTUNやブラウザー独自のDNS設定を確認してください。一度に変更する範囲を一つに絞ると、問題の切り分けが容易です。

ローカル混合リスニングポートはDNSポートではありません。アプリのHTTPまたはSOCKSプロキシをこのポートに向ける操作と、DNSサーバーとしてこのポートを指定する操作は、まったく別のものです。「設定 → パラメーター設定」で「ローカル混合リスニングポート」の実際の値を確認し、例にある53、443、10808を相互に置き換えないでください。

6. DNS振り分けと汚染対策を検証する：問い合わせ・アウトバウンド・結果を個別に確認

検証で目指すのは「常に正しい」IPアドレスを探すことではありません。問い合わせが想定した上流に送られ、接続が想定したアウトバウンドを通り、返されたアドレスがWebサイトの実際の配信環境に合っているかを確認します。CDNの応答はリゾルバーの場所、ノードの出口、時間によって変わります。2つのリゾルバーが異なる結果を返しただけでは、DNS汚染の証拠になりません。

nslookup www.baidu.com 223.5.5.5
ipconfig /flushdns
curl.exe --proxy http://127.0.0.1:10808 --head https://www.microsoft.com/

上記のコマンドはそれぞれ独立した確認です。1つ目は指定したリゾルバーへの問い合わせ、2つ目はWindowsのDNSキャッシュの消去、3つ目はローカルHTTPプロキシ経由の接続を確認します。3つ目を実行する前に、ポートを画面に表示されている実際の値に変更してください。内蔵DNSを自動検証するスクリプトではありません。特に、nslookupの結果だけで「DoHの振り分けが有効になった」と判断しないでください。

システムのキャッシュを消去しても、ブラウザーやカーネルのキャッシュがすべて消えるわけではありません。再テストする際は、カーネルを再起動してテスト対象のアプリも再起動してください。ログレベルを一時的に上げた場合は、確認後に通常のレベルへ戻します。デバッグログにはアクセス先のドメインが含まれることがあるため、ログ全体を公開アップロードしないでください。

7. DNS振り分けでよくある質問