Clash TUN モードと Fake-IP の深層解説

基本概念：なぜ TUN モードと Fake-IP が必要なのか

従来の HTTP プロキシや SOCKS5 プロキシは、アプリケーションがプロキシを明示的にサポートしている必要があります。しかし、多くのゲーム、コマンドラインツール、および一部の企業向けソフトウェアはプロキシ設定を無視します。ここで TUN モード の出番です。

TUN モード：OS レベルで仮想ネットワークカード（TUN デバイス）を作成し、すべての IP パケットを Clash カーネルに強制的にルーティングします。これにより、プロキシ非対応アプリのトラフィックも捕捉可能になります。
Fake-IP：DNS 解決の際、Clash が即座に「偽の IP アドレス（通常は 198.18.x.x）」を返し、実際の名前解決をプロキシサーバー側に委ねる仕組みです。これにより、ローカルでの DNS 待機時間をゼロにし、DNS 汚染を完全に回避します。

TUN モードの仕組みとスタック選択

TUN モードを設定する際、最も重要なのはネットワークスタック（Stack）の選択です。Clash (Mihomo コア) では主に system、gvisor、mixed が提供されています。

スタックの特性比較

system：OS 標準のスタックを使用。パフォーマンスは高いが、一部の環境で互換性に課題。
gvisor：ユーザー空間でのスタック実装。セキュリティと安定性が極めて高く、最も推奨される選択肢。
mixed：複数のスタックを組み合わせたハイブリッド。特殊な環境向け。

2026 年現在、大半の Windows および macOS ユーザーには gvisor スタックの使用を推奨します。これは、カーネルリソースへの直接干渉を最小限に抑えつつ、安定したパケット転送を可能にするためです。

Fake-IP 環境下での DNS 解決フロー

Fake-IP モードが有効な場合、ブラウザが google.com を開こうとすると以下のプロセスが発生します：

ブラウザが OS に DNS 照会を送る。
Clash が google.com に対して 198.18.0.1 という Fake-IP を即座に返す。
ブラウザは 198.18.0.1 に対して接続を開始する。
Clash はそのパケットを受け取り、内部の対応表（Fake-IP Table）を参照して google.com であることを特定。
Clash がプロキシサーバーに対し、「google.com に接続してくれ」と依頼する（名前解決はサーバー側で行われる）。

メリット：DNS 汚染の無効化

ローカルで実際の DNS 解決を行わないため、ISP による DNS 改ざんやブロックが物理的に不可能になります。

DNS 漏洩：原因と完全な防御策

「TUN モードを使っているのに DNS 漏洩テストで ISP の DNS が表示される」という問題は、多くのユーザーが直面する課題です。これは通常、OS の マルチホーム DNS 解決 や IPv6 優先 設定が原因です。

重要：IPv6 の取り扱い

多くのプロキシサーバーは IPv6 に完全対応していません。DNS 漏洩を防ぐ最も確実な方法は、Clash 設定で ipv6: false にし、OS 側でも IPv6 を無効化することです。

また、Windows の場合、system-dns 設定を false にし、Clash が提供する DNS サーバーのみを使用するように強制することが不可欠です。

高度な YAML 設定例：2026 年最適化版

以下は、TUN モードと Fake-IP を組み合わせた、パフォーマンスとセキュリティを両立させる高度な設定テンプレートです。

tun:
  enable: true
  stack: gvisor
  dns-hijack:
    - "any:53"
  auto-route: true
  auto-detect-interface: true

dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  listen: 0.0.0.0:53
  nameserver:
    - https://dns.google/dns-query
    - https://1.1.1.1/dns-query
  proxy-server-nameserver:
    - 8.8.8.8
  fake-ip-filter:
    - "+.lan"
    - "+.local"

fake-ip-filter は非常に重要です。ローカルネットワーク内のデバイス（プリンターや NAS）へのアクセスは Fake-IP を適用せず、直接解決させる必要があります。

よくある質問 (FAQ)

TUN モードとシステムプロキシは同時に使えますか？

はい、可能ですが推奨されません。TUN モードはすべてのトラフィックを捕捉するため、システムプロキシをオンにすると二重に処理され、オーバーヘッドが発生したり、特定のアプリで無限ループが発生したりする可能性があります。TUN モードが正常に動いているなら、システムプロキシはオフで構いません。

Fake-IP を使うと特定のゲームでラグが発生します。

一部のゲーム（特に P2P 接続を使用するもの）は、Fake-IP 帯域を不正な IP と判断したり、接続に失敗したりすることがあります。その場合は、ゲームのドメインや IP 範囲を fake-ip-filter に追加して、Fake-IP の対象外にしてください。

stack: system と gvisor のどちらが良いですか？

2026 年のハードウェア環境では、gvisor のオーバーヘッドは無視できるレベルです。安定性を重視するなら gvisor を、極限のベンチマーク数値を求めるなら system を選んでください。

さらに詳しい設定については、以下の記事も参考にしてください：《Clash で接続済みだがネットが繋がらない問題の解決法》、《Clash for Windows 完全セットアップガイド》、《OpenWrt で OpenClash を使用したホームネットワークの構築》。

まとめ

TUN モードはプロキシ非対応アプリを救済する最強の手段である。
Fake-IP は DNS 汚染を回避し、レスポンスを高速化するが、ローカルフィルタの設定が重要である。
DNS 漏洩を防ぐには、IPv6 を無効化し、gvisor スタックを利用するのが 2026 年のスタンダードである。

市販の多くの VPN ツールは、ユーザーにブラックボックス的な操作を強いますが、Clash は TUN モードや DNS 解決フローを細かく制御できる透明性を持っています。設定は一見複雑ですが、一度最適な設定を構築すれば、どのようなネットワーク環境下でもセキュアで高速なブラウジングが可能になります。

設定のデバッグに疲れたら、一度原点に戻り、シンプルなプロファイルから TUN モードを有効化してみてください。最新の Clash クライアントを導入することで、これらの複雑な設定も数クリックで完了させることができます。 Clashを無料でダウンロードして、次世代のネットワーク体験を始めましょう。

Clash TUN モードと Fake-IP の深層解説：DNS 漏洩対策と高度な設定ガイド 2026