ブログ・ 2026年7月28日

VPNとプロキシの検出：シグナル、限界、およびポリシー (JA)

VPNとプロキシの検出に関する実用的なガイド：ネットワークの種類、IPとデバイスのシグナル、レジデンシャルプロキシ、測定、誤検知、実装、およびリスクベースのポリシーについて解説します。.

By Didit2026年7月28日更新日 2026年7月28日

VPNとプロキシの検出とは、接続がユーザーの見かけ上のネットワークから直接ではなく、仲介者を介してサービスに到達しているかどうかを推定するプロセスです。検出によって個人の真の場所が確実に明らかになるわけではなく、仲介者の存在が不正の証明になるわけでもありません。有用な結果は、ID、デバイス、アカウント、および行動の証拠と組み合わせることができるリスクシグナルです。

仮想プライベートネットワーク、フォワードプロキシ、Torイグジット、クラウドリレー、およびキャリアグレードNATはすべて、トラフィックが単一のエンドユーザーのアクセス接続とは異なる場所から発信されているように見せることができます。これらは同じ目的やリスクを持つわけではありません。正確なポリシーは、これらを区別することから始まります。

主なポイント

VPNとプロキシは重複する概念であり、同一ではありません。 VPNはゲートウェイを介してトラフィックをトンネリングし、プロキシはアプリケーションまたはプロトコル用のトラフィックを中継します。
決定的な単一のシグナルはありません。 IPレピュテーション、ネットワーク所有権、ルーティング、ブラウザとデバイスの一貫性、および行動は補完的な証拠を提供します。
レジデンシャルプロキシとモバイルプロキシは分類がより困難です。 それらのイグジットIPは通常の消費者アクセスネットワークのように見えることがあります。
検出は時間依存の分類問題です。 イグジットインフラストラクチャとIP所有権は変化するため、鮮度とフィードバックループが重要です。
検出されたすべての仲介者をブロックすると、回避可能な誤検知が発生します。 プライバシーツール、企業ネットワーク、学校、ホテル、モバイルキャリア、およびセキュリティゲートウェイには正当な使用法があります。

VPN、プロキシ、Tor、および共有ネットワーク

仮想プライベートネットワーク

VPNは、デバイスまたはネットワークからVPNゲートウェイへの暗号化されたトンネルを作成します。宛先は通常、ゲートウェイの公開IPアドレスを認識します。消費者向けVPNはプライバシーやロケーション選択のために使用されることが多く、企業向けVPNは従業員を組織のリソースに接続したり、セキュリティ境界を介してトラフィックをルーティングしたりします。

フォワードプロキシ

フォワードプロキシは、クライアントに代わって宛先にリクエストを行います。すべてのデバイストラフィックではなく、特定のアプリケーションプロトコルを処理する場合があります。プロキシは、明示的、透過的、認証済み、公開、プライベート、または自動化インフラストラクチャに組み込まれている場合があります。

レジデンシャルプロキシまたはモバイルプロキシ

レジデンシャルプロキシは消費者インターネットサービスに関連付けられたIPアドレスを介してイグジットし、モバイルプロキシはモバイルネットワークを介してイグジットします。これらのサービスは、よく知られたデータセンタープロキシよりも効果的に通常のトラフィックに紛れ込むことができます。個々の接続が中継されている場合でも、IP所有者は正当に見えることがあります。

Tor

Torは複数のリレーを介してトラフィックをルーティングし、イグジットリレー情報を公開します。サービスは完全なパスではなくイグジットノードを認識します。Torには、乱用の可能性だけでなく、正当なプライバシーと安全性の使用法があります。

リバースプロキシとコンテンツデリバリーネットワーク

リバースプロキシは、主にエンドユーザーの前ではなく、サーバーの前に立ちます。多くのウェブサイトは、コンテンツデリバリーネットワークとセキュリティゲートウェイをこのように使用しています。その背後にあるアプリケーションは、明示的に信頼するインフラストラクチャによって追加されたヘッダーからのみ、接続クライアントIPを回復する必要があります。

キャリアグレードNATと共有アクセス

モバイルキャリア、インターネットプロバイダー、オフィス、大学、ホテル、および公共Wi-Fiは、多くの正当なユーザーを1つの公開IPの背後に配置することができます。共有IPアドレスは商用プロキシを意味しません。

ネットワークパス	サービスが通常認識するもの	一般的な正当な使用法	検出の課題
消費者向けVPN	VPNゲートウェイIP	プライバシー、旅行、信頼できないWi-Fi	プロバイダーはインフラをローテーションする
企業向けVPN	組織またはセキュリティゲートウェイ	従業員のアクセスと検査	管理されたホスティングに似ている場合がある
データセンタープロキシ	ホスティングプロバイダーIP	テスト、統合、自動化	分類は容易だが、意図は様々
レジデンシャルプロキシ	消費者向けISP IP	プライバシーまたはリモートアクセス	イグジットは家庭の接続に似ている
モバイルプロキシまたはCGNAT	モバイルキャリアIP	通常のモバイルアクセスまたはリレー	多くのユーザーが正当にアドレスを共有
Torイグジット	公開されたイグジットIP	匿名性と検閲耐性	イグジットは検出可能だが、ユーザーの意図は不明
リバースプロキシ	オリジンのエッジサービスIP	配信とアプリケーションセキュリティ	転送されるヘッダーの信頼境界

検出が確率的である理由

IPアドレスは、ある時点でのネットワークエンドポイントを識別します。それは人、デバイス、家庭、または物理的な場所を確実に識別するものではありません。アドレスは再割り当てされ、モバイルデバイスは移動し、組織はトラフィックを集中ルーティングし、クラウドプロバイダーは多くのお客様に範囲をリースし、レジデンシャルリレーネットワークは通常のアクセス接続を使用できます。

したがって、検出システムはいくつかのより狭い事実を推定します。

誰がネットワークをアナウンスまたは所有しているか？
そのアドレスはホスティング、アクセス、モバイル、教育、またはエンタープライズ用途に関連付けられているか？
そのアドレスは最近、VPN、プロキシ、またはTorイグジットとして出現したか？
デバイスとブラウザのシグナルはネットワークの観測と一致するか？
その接続は、1人のユーザー、共有ゲートウェイ、または自動ローテーションのように振る舞うか？
アカウントのアクティビティは、その過去の履歴と主張された場所を考慮して意味があるか？

インフラストラクチャが変化するにつれて、答えも変化します。先月正しかったリストが今日間違っている可能性があり、新しく割り当てられたイグジットアドレスにはまだ履歴がない場合があります。

VPNとプロキシの検出に使用されるシグナルファミリー

IPおよびネットワークインテリジェンス

ネットワークの所有権とルーティングデータは、自律システム番号、アナウンスされたプレフィックス、ホスティングプロバイダー、消費者向けISP、モバイルキャリア、および既知の匿名化サービスを識別できます。キュレーションされた観測は、以前VPNゲートウェイ、オープンプロキシ、またはTorイグジットとして見られたアドレスをマークできます。

これらのシグナルは有用ですが、決定的ではありません。ホスティングASNは正当なビジネスユーザーにサービスを提供できますが、レジデンシャルASNはリレーを含むことができます。組織と接続タイプのラベルも、買収やアドレス転送後に変更されます。

地理位置情報と一貫性

国、地域、タイムゾーン、言語、および予想される移動速度は、一貫性を比較できます。突然の国の変更はレビューに値するかもしれませんが、IP地理位置情報は近似的であり、時には間違っています。国境地域、衛星接続、エンタープライズルーティング、およびモバイルローミングは、正当な不一致を引き起こす可能性があります。

場所の不一致は、システムが隠された「実際のIP」を回復したという主張ではなく、証拠として表現されるべきです。

ポートとプロトコルの観測

一部の公開アクセス可能なプロキシサービスは、認識可能なポートまたはプロトコルの動作を公開します。この証拠は、直接テスト可能なエンドポイントに対して最も強く、リレーが通常の暗号化されたウェブトラフィックを受け入れる場合に最も弱くなります。アクティブなプロービングは、法的、倫理的、遅延、および運用上の考慮事項も導入するため、普遍的な手法として扱われるべきではありません。

接続と転送パターン

遅延、ルーティング距離、接続再利用、トラフィックのタイミング、および転送のフィンガープリントは、観測されたアプリケーションコンテキストがネットワークパスに適合しないことを示す場合があります。これらの機能は、ブラウザ、オペレーティングシステム、ミドルボックス、モバイルネットワーク、およびセキュリティ製品によって変化する可能性があるため、慎重なベースラインが必要です。

ブラウザとデバイスの一貫性

アプリケーションは、許可されたブラウザとデバイスの観測をネットワークの主張と比較できます。タイムゾーン、ロケール、プラットフォーム、レンダリング特性、整合性シグナル、および以前のデバイス履歴は、不一致または迅速なID切り替えを明らかにする可能性があります。

ブラウザとデバイスの収集は、プライバシー法、同意要件、およびプラットフォーム制限を尊重する必要があります。技術的に利用可能であるからといって、無制限の収集が適切であるとは限りません。

行動、速度、およびアカウントグラフ

接続リスクは、行動と組み合わせるとより多くの情報を提供します。

短期間に1つのエンドポイントから多数のアカウント；
関連性のないネットワークまたは国をまたいでローテーションする1つのアカウント；
繰り返されるサインアップ、支払い、プロモーション、または回復の試行；
デバイスとIDをまたがる同期されたアクション；
機密性の高いアクション中に新しいネットワークが出現すること；
繰り返される失敗の後に突然の成功した試行。

これらのパターンは、共有された職場、キャンパス、家庭、またはモバイルネットワークからも生じる可能性があります。アカウントの年齢、デバイスの継続性、検証済みのID、およびアクションの価値を使用して解釈してください。

サービス境界からの直接的な証拠

ロードバランサー、リバースプロキシ、またはCDNの背後にあるアプリケーションは、まずどのコンポーネントが接続クライアントアドレスを正確に報告できるかを確立する必要があります。任意のクライアント提供の転送ヘッダーを受け入れると、呼び出し元がアドレスを偽造できるようになります。

信頼できるプロキシのリストを設定し、プラットフォームの文書化されたヘッダーを使用し、信頼できないホップを拒否または無視してください。不正なアドレス抽出は、すべてのダウンストリーム検出結果を無効にする可能性があります。

最も困難なケース

レジデンシャルプロキシネットワーク

レジデンシャルイグジットは動的に割り当てられ、通常の消費者プロバイダーに関連付けられる場合があります。レピュテーションリストは遅れる可能性があり、ネットワーク所有権だけではリレーを区別できない場合があります。ローテーションパターン、デバイスの不一致、アカウントのリンク、およびイベント後の結果がより重要になります。

モバイルネットワーク

キャリアグレードNATは、多くの無関係なサブスクライバーを少数のアドレスプールに配置できます。デバイスが移動または再接続するにつれて、アドレスの急速な変化は正常である可能性があります。IPレベルの速度ルールには、キャリアを意識したベースラインが必要です。

企業およびセキュリティゲートウェイ

トラフィックが会社のゲートウェイまたはセキュアなウェブサービスを介してイグジットするため、従業員が別の都市または国にいるように見えることがあります。管理されたデバイス、安定した組織履歴、および宣言されたエンタープライズ使用は、IPがリレーまたはホスティングネットワークとして分類されている場合でもリスクを低減できます。

新規および低ボリュームのイグジット

新しいゲートウェイはまだレピュテーションデータに現れない場合があります。逆に、アドレスは役割が変更された後も否定的なラベルを保持する可能性があります。鮮度、観測時間、信頼度、および理由コードは分類とともに移動すべきです。

IPv6

IPv6はアドレス空間を拡張し、ネットワークがアドレスを割り当てる方法を変更します。単一のIPv4アドレスを中心に設計されたシステムは、ユーザーを過大または過小に数える可能性があります。意図されたリスクの質問に応じて、正規化されたアドレスとプレフィックスを保存および比較してください。

検出サービスを評価する方法

1. 結果と単位を定義する

システムがIP、接続、デバイスセッション、またはアカウントアクションを分類するかどうかを決定します。すべての非直接パスを1つのラベルに結合するのではなく、仲介クラスを個別に定義します。

2. 真実を確立する

制御されたVPNおよびプロキシエンドポイント、確認されたプロバイダー範囲、公開されたTorイグジット、内部ネットワーク知識、および裁定された本番ケースを使用します。別のベンダーを評価するときに、あるベンダーのラベルを疑問の余地のない真実として扱うことは避けてください。

3. トラフィックセグメントごとに測定する

以下によって、精度、再現率、誤検知率、カバレッジ、および不明率を報告します。

仲介タイプ；
消費者、ホスティング、エンタープライズ、およびモバイルネットワーク；
国および地域；
IPv4およびIPv6；
ブラウザ、アプリケーション、およびデバイスクラス；
新規および再訪アカウント；
低リスクおよび機密性の高いアクション。

1つのグローバルな精度数値は、簡単なデータセンターのケースに支配され、レジデンシャルまたはモバイルイグジットでのパフォーマンスを隠す可能性があります。

4. 鮮度と安定性をテストする

新しいインフラストラクチャを識別するまでの時間、古いラベルを削除するまでの時間、更新頻度、ルックアップの可用性、およびデータが利用できない場合の動作を測定します。各決定とともに分類タイムスタンプとバージョンを保存します。

5. 分類だけでなく、ポリシーもテストする

提案されたルールを介して履歴トラフィックを再生します。正当なユーザーの課題、レビュー負荷、放棄、不正検出、およびカスタマーサポートへの影響を推定します。一括ブロックと段階的な対応を比較します。

6. 遅延とデータ最小化を検証する

現実的な同時実行性でのルックアップ遅延を測定し、収集する必要がある機能を決定します。明確なアクセスおよび保持制御を使用して、目的に必要な証拠のみを保持します。

リスクベースのポリシー

検出されたVPNまたはプロキシは、アカウントとイベントに応じて異なるアクションにつながる可能性があります。

許可： 低リスクのアクション、確立されたアカウント、既知のデバイス、または認識された企業ネットワーク。
監視： シグナルを記録し、速度またはその後の不整合を監視します。
ステップアップ： 機密性の高いアクションに対して、より強力な認証、ID証拠、またはライブネスを要求します。
制限： 信頼が確立されるまで、トランザクションの価値、プロモーションの使用、または自動化率を低減します。
レビュー： 高価値または矛盾するケースを、明確な理由コードを持つ訓練されたアナリストにルーティングします。
拒否： 文書化されたリスクしきい値を超える証拠の組み合わせのために予約します。

ポリシーは、プライバシー設定と、アカウント乗っ取り、多重アカウントの乱用、支払い詐欺、制裁回避、または場所制限アクセスなどの証拠を区別する必要があります。規制された環境では、法的およびコンプライアンスチームがどの場所およびID管理が適用されるかを定義する必要があります。

実践的な実装モデル

リクエスト時に、信頼できるインフラストラクチャ境界を介して接続アドレスをキャプチャし、インテリジェンス結果を取得します。バイナリフラグだけでなく、構造化されたフィールドを保存します。

観測されたIPとバージョン；
ネットワーク所有者と自律システム；
接続カテゴリ；
疑われる仲介タイプ；
国または地域の推定と信頼度；
証拠のタイムスタンプとプロバイダーバージョン；
リスクスコアと理由コード；
利用不可または不明を含むルックアップステータス。

そのレコードをセッション、アカウント、デバイス、アクション、および過去の履歴に結合します。その後、ポリシーエンジンは以下を考慮できます。

ネットワーク証拠
+ デバイスの継続性
+ アカウント履歴
+ ID保証
+ アクションの価値
+ 速度とリンクされた行動
= 許可、監視、ステップアップ、レビュー、制限、または拒否

生証拠は決定とは別に保管してください。これにより、基盤となる観測が変更されたと偽ることなくポリシーを更新することが可能になります。

よくある間違い

検出を不正の証拠として扱うこと

VPNとプロキシには正当な使用法があります。検出結果はネットワークパスを記述するものであり、意図を記述するものではありません。

元のIPを明らかにすると主張すること

宛先は通常、仲介者を観測します。他のシグナルは不整合を露呈する可能性がありますが、隠されたソースアドレスを確実に回復するものではありません。

ホスティングネットワークを無差別にブロックすること

クラウドネットワークは自動化と乱用をホストしますが、企業ゲートウェイ、開発者、アクセシビリティサービス、およびセキュリティ製品もホストします。所有権とアクションおよびアカウントコンテキストを組み合わせます。

共有IPアドレスを無視すること

家庭、オフィス、学校、ホテル、およびキャリアは、正当な多数のユーザーパターンを生成します。IPベースのアカウント制限は、デバイスおよびIDの証拠がない場合、正当な人々を排除する可能性があります。

タイムスタンプのない古いリストを使用すること

イグジットインフラストラクチャはローテーションし、アドレスは所有者を変更します。観測時間、更新ポリシー、または信頼度なしのラベルは擁護が困難です。

パブリックインターネットからの転送ヘッダーを信頼すること

クライアントによって制御されるヘッダーは、リクエストが任意のアドレスから発信されたように見せかけることができます。アプリケーションの信頼できるプロキシチェーン内のインフラストラクチャのみが、信頼できるクライアントIPデータを設定すべきです。

不明なものをクリーンなバイナリ内に隠すこと

データなし、低信頼度の分類、および確信のある「検出されず」の結果は異なる状態です。これらを個別に保持してください。

検証ワークフロー内でDiditをネットワークリスクに利用する

Diditは、1チェックあたり0.03ドルのIP分析とデバイスインテリジェンスを提供しています。チームは、ワークフローオーケストレーターを介して、ネットワークとデバイスの証拠を本人確認、生体認証チェック、およびアカウントコンテキストと組み合わせることができます。

フルKYCバンドルは0.33ドルで、本人確認、パッシブライブネス、顔照合、およびIP分析を組み合わせています。現在のモジュール価格は料金ページで確認できます。ネットワークリスクの結果はポリシーへの単一の入力であり、ユーザーが不正であることや特定の場所に物理的に位置していることの証明として表現されるべきではありません。

よくある質問

VPNとプロキシの違いは何ですか？

VPNは通常、デバイスまたはネットワークのトラフィックをゲートウェイにトンネリングしますが、フォワードプロキシはアプリケーションまたはプロトコル層でクライアントのリクエストを中継します。どちらも宛先から見えるアドレスを変更できます。

ウェブサイトは常にVPNを検出できますか？

いいえ。既知のゲートウェイやデータセンターのイグジットは容易に分類できますが、新規、プライベート、レジデンシャル、またはモバイルのイグジットは通常のアクセスと似ている場合があります。検出には誤検知、未検知、および不明なケースがあります。

VPNの使用は不正の兆候ですか？

いいえ。人々はプライバシー、仕事、旅行、セキュリティのためにVPNを使用します。VPNの使用は、アクション、アカウント履歴、デバイス、ID証拠、およびポリシーに応じて、関連性を高めたり低めたりする可能性があります。

レジデンシャルプロキシの検出が難しいのはなぜですか？

そのイグジットアドレスは、ホスティングネットワークではなく、消費者インターネットプロバイダーに属する場合があります。検出には、新鮮な観測に加えて、行動、デバイス、およびアカウント連携の証拠が必要となることがよくあります。

WebRTCはユーザーの実際のIPを明らかにできますか？

アプリケーションは、ブラウザインターフェースが隠された公開アドレスを公開するという約束に基づいてポリシーを構築すべきではありません。ブラウザの動作、権限、ネットワークアーキテクチャ、およびプライバシー保護は異なります。許可された観測を1つの整合性シグナルとして扱い、データ保護要件に従ってください。

サービスはTorをブロックすべきですか？

それは検出ルールではなく、ポリシーの決定です。Torには正当な匿名性の使用法があります。保護されるアクション、法的義務、乱用履歴、代替検証、および誤検知の結果が対応を決定すべきです。

プロキシ検出はどのように測定すべきですか？

制御され確認された真実を使用し、仲介者とネットワークの種類別に精度、再現率、誤検知率、カバレッジ、および不明率を報告します。データの鮮度、遅延、および結果として得られるポリシーの運用上の効果を含めます。

主な参考文献

優れたVPNとプロキシの検出は、不確実性を可視化します。観測されたネットワークパスを分類し、証拠と鮮度を保持し、不完全なシグナルを評決に変換するのではなく、アカウントとアクションに応じてポリシーが対応できるようにします。