Shadowsocksクライアント：2026年の選び方・設定方法・使い方

Shadowsocksクライアントとは、端末からShadowsocksサーバーに接続し、通信を暗号化されたトンネルに通すアプリのことです。誰かからss://リンクやQRコード、サーバー情報を受け取ったら、まずクライアントが必要になります。しかも、どのアプリを選ぶかは見た目以上に重要です。古いガイドが勧めているクライアントの半分は何年も更新されておらず、中には最近のサーバーとまったく通信できないものもあるからです。

ほとんどの人にとって、答えはシンプルです。どのプラットフォームでも一番手軽な無料の選択肢はOutlineで、Androidで細かく設定したいならshadowsocks-android、Linuxやサーバー、ルーターならshadowsocks-rustのsslocalが定番です。この記事では、2026年の時点でまだ開発が続いているクライアントを確認し、ss://リンクの中身を分解したうえで、プラットフォームごとに設定していきます。最後に、通信が本当にサーバー経由で出ているかも確かめます。緑色の「接続済み」アイコンだけでは、そこまでは証明できないからです。

Shadowsocksクライアントが実際にしていること#

Shadowsocksは暗号化プロキシのプロトコルです。2012年に、一部の地域で利用できないサイトにアクセスする手段として登場し、今では制限のあるネットワークで最も広く使われているプロトコルのひとつになっています。構成は必ず2つに分かれます。制限のないネットワーク上にあるサーバーと、手元の端末で動くクライアントです。

クライアントの仕事は3つあります。

1. ローカルプロキシを開きます。クライアントは自分のマシン上で待ち受け、通常は127.0.0.1:1080のSOCKS5プロキシとして動きます。HTTPプロキシや、システム全体に効くVPNインターフェースを併せて開くクライアントもあります。
2. 暗号化して転送します。アプリがこのローカルプロキシに送る接続は、すべて共有キーで暗号化されてからShadowsocksサーバーへ送られます。
3. どの通信をトンネルに通すかを決めます。モードによって、すべての通信が対象になることもあれば、ルールに一致する通信だけ、あるいは自分で指定したアプリだけが対象になることもあります。

反対側では、サーバーが通信を復号し、Webサイトへの実際の接続を開きます。そのためWebサイトからは、あなたのIPアドレスではなくサーバーのIPアドレスが見えます。一方、プロバイダーから見えるのは1台のサーバーに向かう暗号化されたストリームだけで、プロキシらしいハンドシェイクも見当たりません。

Browser / app
   │  plain SOCKS5 or HTTP (only on your device)
   ▼
Shadowsocks client  127.0.0.1:1080
   │  encrypted Shadowsocks stream
   ▼
Shadowsocks server  (your VPS or provider)
   │  normal HTTPS
   ▼
Website

Shadowsocksについてはよくある思い込みが2つありますが、どちらも間違いです。

• SOCKS5プロキシではありません。クライアントはアプリとはSOCKS5でやり取りしますが、サーバーとの間では別の暗号化プロトコルを使います。そのため、Shadowsocksクライアントを普通のSOCKS5サーバーにつなぐことはできませんし、その逆もできません。
• 初期状態では完全なVPNではありません。基本モードでトンネルを通るのはローカルプロキシを使うアプリだけで、プロキシ設定を無視するアプリはそのまま直接外へ出ていきます。端末全体をカバーしたいなら、クライアントをVPN（TUN）モードに切り替えます。

2026年のおすすめShadowsocksクライアント#

とっくに開発が止まったクライアントを今でも勧めているリストが多いので、2026年10月に各クライアントのリリース履歴を確認しました。現状は次の表のとおりです。

公式クライアントとShadowsocks専用クライアント#

クライアント	プラットフォーム	Shadowsocks 2022の暗号方式	プラグイン	2026年の状況
Outline Client	Windows、macOS、Linux、Android、iOS、ChromeOS	非対応（従来の暗号方式のみ）	非対応	活発に開発中。2026年1月から非営利団体のOutline Foundationが運営
shadowsocks-android	Android	対応	対応（別アプリとして導入）	GitHubでメンテナンス継続中（v5.3.4）。Google Play版は2021年から更新なし
ShadowsocksX-NG	macOS	非対応	対応	最終リリースは2024年10月のv1.10.3。Apple Siliconでネイティブ動作
shadowsocks-rust (sslocal)	Linux、macOS、Windows、ルーター	対応	対応	リファレンス実装で、定期的にリリースされている（v1.25.0）
Shadowsocks for Windows	Windows	非対応	対応	まだ動くが、最終リリース（4.4.1.0）は2022年2月
shadowsocks-libev（現在の名前はshadowsocks-c）	Linux、ルーター	リリース版ではまだ未対応	対応	新しい名前で開発が再開し、2026年2月にv3.3.6が公開
shadowsocks-qt5	Linux、Windows	非対応	非対応	開発終了。代わりにsslocalかマルチプロトコルアプリを使う
Python shadowsocks (pip)	すべて	非対応	非対応	何年も前に開発が終わっているので使わないこと
ShadowsocksR (SSR)	さまざま	非対応	非対応	独自プロトコルを使う開発終了済みのフォークで、最近のサーバーは受け付けない

Shadowsocksにも対応したマルチプロトコルクライアント#

いずれVLESSやTrojan、Hysteriaが必要になりそうなら、それらをShadowsocksと一緒に1つのアプリで扱えます。

• デスクトップ：mihomoコアをベースにしたClash Verge Revと、v2rayNが使えます。
• Android：NekoBox、Hiddify、公式のsing-boxアプリがあります。NekoBoxは更新が遅く、Google Playのページは第三者が運営しているので、GitHubからインストールしてください。
• iOS：sing-boxのドキュメントからリンクされている無料アプリのsing-box MTと、Potatsoがあります。Potatsoは古いオープンソースのリポジトリこそ放置されていますが、App Storeでは今も更新が続いています。Shadowrocket、Stash、Surgeといった有料アプリなら、さらにルールベースのルーティングも使えます。

sing-boxとmihomoは、どちらもShadowsocks 2022の暗号方式に対応しています。よく使われるプラグインも内蔵しているので、別のプログラムとしてインストールする必要はありません。

目的別のおすすめ#

• どの端末でも一番手軽：Outlineです。キーを貼り付けてConnectを押すだけで使えます。
• Androidで細かく設定したい：shadowsocks-androidを選びましょう。
• Mac：ShadowsocksX-NGが基本で、ルーティングルールや新しい暗号方式が欲しいならClash Verge Revが向いています。
• Linux、サーバー、ルーター：shadowsocks-rustのsslocalが定番です。
• iPhone：無料ならOutline、サイトごとにルーティングを分けたいならルールベースのアプリです。Outlineにはこの機能がありません。

サーバー側から受け取る情報#

手入力でもインポートでも、Shadowsocksクライアントが必要とする値は同じ4つです。

項目	例	補足
サーバー	203.0.113.10	IPアドレスまたはドメイン名
ポート	8388	サーバーが待ち受けているポートなら何でもよく、443がよく使われる
パスワード / キー	Secret0	サーバーと完全に一致している必要がある
暗号方式（method）	chacha20-ietf-poly1305	サーバーと完全に一致している必要がある

暗号方式やパスワードが間違っていても、わかりやすいエラーは出ません。クライアントは接続したように見えるのに、何も読み込まれないのです。そのため、これが設定トラブルの原因としては群を抜いて多くなっています。

ss://リンクの読み方#

プロバイダーやサーバーの管理パネルは、たいていこの4つの値をSIP002形式のリンク1本にまとめて渡してくれます。QRコードが一緒に表示されることもよくあります。

ss://Y2hhY2hhMjAtaWV0Zi1wb2x5MTMwNTpTZWNyZXQw@203.0.113.10:8388#Frankfurt

部分	意味
ss://	すべてのShadowsocksクライアントが認識するスキーム
Y2hhY2hh…	暗号方式とパスワード（chacha20-ietf-poly1305:Secret0）を、URLセーフなBase64でエンコードしたもの
@203.0.113.10:8388	サーバーのアドレスとポート
#Frankfurt	アプリに表示されるラベルで、接続には影響しない

受け取った内容を確かめたいときは、echo Y2hhY2hh… | base64 -dで真ん中の部分をデコードできます。Shadowsocks 2022の暗号方式向けのリンクは見た目が違います。仕様でBase64の使用が禁じられているため、暗号方式とキーが平文のまま書かれ、特殊文字だけがパーセントエンコードされます。サーバーがプラグインを使っている場合は、ポートの後ろに/?plugin=パラメーターが付きます。

URLでサーバー情報を配布する形式には、ほかに次の2つもあります。

• SIP008のサブスクリプションURL：サーバー一覧をJSONで返すHTTPSリンクです。クライアントが定期的に取得し直すので（shadowsocks-rustは初期設定で1時間ごと）、プロバイダーは新しいリンクを送らなくてもサーバーを切り替えられます。
• Outlineのssconf://キー：Outlineの動的アクセスキーです。アプリがssconf://をhttps://に置き換え、そのアドレスから最新のサーバー情報を取得します。

リンクを持っている人なら誰でもあなたのサーバーを使えてしまうので、これらはすべてパスワードと同じように扱ってください。

どの暗号方式を使うべきか#

暗号方式	系統	使ってよいか
2022-blake3-aes-128-gcm, 2022-blake3-aes-256-gcm, 2022-blake3-chacha20-poly1305	Shadowsocks 2022	はい（クライアントとサーバーの両方が対応している場合）。リプレイ攻撃への対策が組み込まれています。
chacha20-ietf-poly1305	従来のAEAD	はい。仕様に準拠したクライアントには対応が義務付けられている方式で、スマートフォンやルーターでは最も高速です。
aes-256-gcm, aes-128-gcm	従来のAEAD	はい。AESのハードウェア支援があるPCでは最速です。
aes-256-cfb, aes-128-ctr, rc4-md5, salsa20、その他のストリーム暗号	レガシー	いいえ。完全性チェックがなく、プロジェクト自身が「完全に破られている」としています。

ストリーム暗号の危険は、理論上の話ではありません。2020年に発表された攻撃では、通信を記録しておいた第三者が、同じパスワードのままストリーム暗号を使い続けているサーバーにその通信を復号させられることが示されました。

Shadowsocks 2022ではキーの扱いも変わります。任意のパスワードを受け付けないからです。キーはBase64でエンコードしたランダムなバイト列でなければならず、長さは2022-blake3-aes-128-gcmなら16バイト、残りの2つなら32バイトです。そのため、キーはopenssl rand -base64 16かopenssl rand -base64 32で生成します。さらにプロトコルはタイムスタンプも確認し、30秒以上ずれたメッセージはリプレイとして扱います。つまり実際には、端末の時計が30秒ずれただけで、すべての接続が失敗するということです。

Shadowsocksクライアントの設定方法#

まずはss://リンクをコピーしておきましょう。以下のクライアントはどれもこのリンクをインポートできるので、暗号方式やキーを手入力する手間が省けます。

Windows#

一番簡単なのはOutlineです。

1. OutlineのWebサイトからWindows版のOutline Clientをダウンロードし、インストールします。
2. Add server（サーバーを追加）をクリックし、Paste access key hereの欄にss://リンクまたはアクセスキーを貼り付けて確定します。
3. Connectをクリックし、初回に表示されるネットワークの許可を承認します。それ以降は、すべての通信がトンネルを通ります。

昔ながらの方法はShadowsocks for Windowsです。

1. プロジェクトのGitHubのReleasesページから最新のZIPをダウンロードし、今後も残しておくフォルダーに展開します。
2. Windowsに.NET Framework 4.8とVisual C++ 2015 Redistributable（x86）が入っていなければインストールし、Shadowsocks.exeを実行します。
3. タスクトレイの紙飛行機アイコンを右クリックし、Serversを開いて Import URL from Clipboard… を選びます。Edit Servers… からサーバーを手動で追加することもできます。
4. System Proxyで、リストにあるサイトだけをトンネルに通すならPAC、すべてを通すならGlobalを選びます。

macOS#

1. GitHubのReleasesページからShadowsocksX-NG.dmgをダウンロードし、アプリを「アプリケーション」フォルダーにドラッグします。初回にmacOSが開くのを拒否した場合は、「システム設定」→「プライバシーとセキュリティ」で許可してください。
2. メニューバーのアイコンから Import Server URLs… または Scan QR Code From Screen を選びます。Server Preferences… で値を直接入力することもできます。
3. Shadowsocksをオンにしてモードを選びます。選択肢はAuto Mode By PAC、Global Mode、Manual Modeの3つで、Manual Modeでは自分で設定したアプリだけがトンネルを使います。

Linux（ルーター、サーバー、Dockerも）#

Linuxではshadowsocks-rustのsslocalを使います。パッケージマネージャーからインストールするか、snap install shadowsocks-rustやbrew install shadowsocks-rustを使うか、リリース版のバイナリをダウンロードしてください。

一番手早く始めるなら、リンクをそのまま渡します。

sslocal -b 127.0.0.1:1080 --server-url "ss://Y2hhY2hh...@203.0.113.10:8388"

常用するなら、値を設定ファイルに書いておきましょう。

{
  "server": "203.0.113.10",
  "server_port": 8388,
  "password": "Secret0",
  "method": "chacha20-ietf-poly1305",
  "local_address": "127.0.0.1",
  "local_port": 1080
}

sslocal -c config.json                    # SOCKS5 proxy on 127.0.0.1:1080
sslocal -c config.json --protocol http    # HTTP proxy instead

snapパッケージには、systemdで有効にできるsslocal-daemonサービスも含まれています。公式のDockerイメージghcr.io/shadowsocks/sslocal-rustも用意されています。

Android#

1. GitHubのReleasesページからshadowsocks-androidをインストールします。Google Play版もまだ動きますが、2021年から更新されていません。
2. 画面上部のプロファイル追加アイコンをタップし、Scan QR code、Import from Clipboard、Manual Settingsのいずれかを選びます。
3. プロファイルを選んで丸い接続ボタンをタップし、VPN接続のリクエストを許可します。
4. プロファイルの設定でRouteを指定します（たとえばBypass LANを選ぶと、ローカルアドレスはトンネルを通りません）。一部のアプリだけにトンネルを使わせたい場合は、Apps VPN modeをオンにしてアプリを選んでください。

iPhoneとiPad#

1. App StoreからOutlineをインストールします。
2. ss://リンクをコピーします。アプリを開くとOutlineが追加するかどうか聞いてくるので、そのまま追加できます。Add serverをタップして貼り付けても構いません。
3. Connectをタップし、VPN構成の追加を許可します。

ShadowrocketやPotatsoのようなルールベースのアプリも、使い方は同じです。リンクを貼り付けるかQRコードを読み取ってサーバーを追加し、オンにするだけです。違いは、こうしたアプリは選んだサイトだけをトンネルに通せるのに対し、Outlineは常にすべての通信をトンネルに通すという点です。

ルーティングモード：実際に何がトンネルを通るのか#

モードは、どの通信にShadowsocksを使うかを決める設定です。「動いている」はずのクライアントが何もしていないように見えるとき、2番目に多い原因がこのモードの選び間違いです。

モード	トンネルを通る通信	向いている用途
手動（Manual）	127.0.0.1:1080を指定したアプリだけ	スクリプト、ブラウザーのプロファイル1つ、テスト
グローバル（システムプロキシ）	システムのプロキシ設定に従うすべてのアプリ	ブラウザー全体をトンネルに通してのWeb閲覧
PAC / 自動 / ルール	リストにあるドメインだけで、それ以外は直接接続	国内サイトは速いまま、海外サイトだけトンネルを使う
VPN / TUN	UDPやプロキシ設定を無視するアプリも含めた、端末のすべての通信	ゲーム、メッセンジャー、スマートフォン、プロキシを「認識しない」あらゆるアプリ

Outlineとモバイルアプリは常にVPNモードで動きます。昔ながらのデスクトップクライアントは初期設定がシステムプロキシで、Clash Verge Revやv2rayNのようなマルチプロトコルアプリではTUNモードをオンにできます。

特定のアプリでローカルプロキシを使う#

• Firefox：設定を開いて「proxy」で検索し、Proxy settingsセクションのConfigure proxyをクリックします。Manual proxy configurationを選び、SOCKS Hostに127.0.0.1、ポートに1080を入力してSOCKS v5を選択したら、Proxy DNS when using SOCKS v5にチェックが入っていることを確認してください。最近のバージョンでは初期状態でチェックが入っていますが、これがオフだとDNSリクエストがトンネルを迂回してしまいます。
• ChromeとEdge：どちらもシステムプロキシに従います。ブラウザー1つだけをトンネルに通したいなら、--proxy-server="socks5://127.0.0.1:1080"を付けて起動してください。SOCKS5の場合、Chromeは常にプロキシ側でドメイン名を名前解決するので、DNSが漏れることはありません。
• ブラウザー拡張機能：プロキシ切り替え用の拡張機能を使えば、選んだサイトだけを127.0.0.1:1080に送り、ルールもワンクリックで切り替えられます。元祖のProxy SwitchyOmegaは現在のChromeでは動かなくなっており、メンテナンスが続いているフォークはZeroOmegaです。Chrome Web Storeには偽物の「SwitchyOmega V3」も並んでいるので、インストール前に公開元を確認してください。Firefoxでは、拡張機能のリモートDNSオプションがオンになっているか確認しましょう。
• コマンドライン：curl --socks5-hostname 127.0.0.1:1080 …を使うか、ALL_PROXY=socks5h://127.0.0.1:1080を設定します。HTTPプロキシしか理解しないツールも多いので、その場合はsslocalを--protocol http付きで実行します。
• Git：git config --global http.proxy socks5h://127.0.0.1:1080を実行します。

socks5hのhは見落とせません。ローカルのDNSではなく、プロキシ経由でドメイン名を名前解決するようツールに指示するものだからです。

本当に動いているか確認する#

緑色のアイコンが示しているのは、クライアントが起動したということだけです。通信がどこから出ているかを確かめるには、次のコマンドを1つ実行します。

curl --socks5-hostname 127.0.0.1:1080 https://ifconfig.me

表示されるのは、あなた自身のIPアドレスではなく、ShadowsocksサーバーのIPアドレスのはずです。VPNモードなら、プロキシのオプションを付けずにcurl https://ifconfig.meだけを実行してください。そのあと、ブラウザーでDNSリークテストを開きます。表示されるDNSサーバーが自宅のプロバイダーのものではなく、サーバー側のネットワークか公開リゾルバーのものであれば問題ありません。

プラグインと、2026年のShadowsocksの検出されやすさ#

プラグイン#

Shadowsocksは、SIP003規格で定められたプラグインに通信を渡し、別のトランスポートで包むことができます。プラグインは両端で動くので、クライアント側にもサーバーと同じプラグインが必要で、設定もサーバーに合わせなければなりません（v2ray-pluginなら、ホスト、パス、TLSの有無を揃えます）。同時に動かせるプラグインは1つだけで、プラグインが運べるのはTCPの通信だけです。

プラグイン	何をするか	補足
v2ray-plugin	通信をWebSocketで包む。TLSも選択可能	CDNや、443番ポートで動く通常のWebサーバーの背後に置ける
kcptun	パケットロスの多い回線向けに調整されたUDPベースのプロトコルで通信を送る	不安定なモバイル回線や長距離の接続に効くが、帯域を多く使う
simple-obfs	通信を普通のHTTPやTLSに見せかける	非推奨。代わりにv2ray-pluginを使う
Cloak	探査（プローブ）に対して、サーバーを普通のHTTPSサイトに見せる	専用のクライアントとサーバーの設定が必要

Outlineや多くのiOSアプリはプラグインを動かせません。サーバーがプラグインを使っているなら、上の表でプラグインの列が「対応」になっているクライアントか、そのプラグインを内蔵したマルチプロトコルアプリを選んでください。

Shadowsocksは検出されるのか#

はい、十分な設備を持つネットワークフィルターなら検出できます。Shadowsocksには、外から見えるハンドシェイクがありません。最初のパケットからすでに暗号化されたデータが入っているので、ストリーム全体がランダムなバイト列に見えます。ところが、この設計こそが弱点でもあります。2021年11月、制限のある地域のフィルタリングシステムが、最初のパケットが「ランダムすぎる」接続を落とすようになりました。

その仕組みは、米国の複数の大学の研究チームがUSENIX Security 2023の論文で解説しています。このシステムは最初のデータパケットに、表示可能な文字の割合といった単純なルールを当てはめ、しかも接続の約4分の1しか調べていません。それでも著者らは、通常のインターネット通信の約0.6%が巻き添えで引っかかる可能性があると見積もっています。これを受けてshadowsocks-rustは2022年初めに設定可能なペイロードのプレフィックスを追加し、Outlineも同じ年の後半に、クライアントへ同様の「prefix」オプションを加えました。

実際には、次のように考えるとよいでしょう。

• 普通のネットワークでは、たとえばホテルやカフェのWi-Fi、会社のファイアウォール、出張先の回線などなら、最新のAEADまたは2022の暗号方式を使った素のShadowsocksで十分に使えます。
• 制限のある地域では、いつまでも接続できるプロトコルはありません。今はReality付きのVLESSやTrojanのように、本物のTLS通信を模倣するプロトコルのほうが長持ちすることが多く、マルチプロトコルクライアントなら何も再インストールせずに切り替えられます。
• プライバシーの面では、Shadowsocksには2022版も含めて前方秘匿性（forward secrecy）がないことを覚えておいてください。通信を記録していた誰かが後からキーを手に入れれば、その通信を復号できてしまいます。キーは定期的に変更し、リンクをむやみに共有しないようにしましょう。

トラブルシューティング#

症状	考えられる原因	対処法
接続済みなのにどのサイトも開かない	暗号方式かパスワードがサーバーと一致していない	値を手入力せずにss://リンクをインポートし直すか、デコードして比較する
接続がタイムアウトする	サーバーが停止している、ポートが違う、または自分のネットワークでそのポートが閉じている	サーバーが動いているか確認し、443など別のポートを試す
ブラウザーは使えるが、ほかのアプリが使えない	それらのアプリがシステムプロキシを無視している	VPN/TUNモードに切り替えるか、アプリ自体のプロキシ設定を行う
サイトに本来の国が表示されたまま	DNSや通信がトンネルを迂回している	socks5hを使う、Firefoxで「Proxy DNS」にチェックを入れる、またはVPNモードに切り替える
2022の暗号方式ですべての接続が失敗する	キーが16バイトまたは32バイトの正しいBase64になっていない、または端末の時計が30秒以上ずれている	openssl rand -base64 32（aes-128なら16）でキーを作り直し、時計を同期する
「Unsupported method」エラーが出る	クライアントがその暗号方式を知らない	クライアントを更新するか、両側でchacha20-ietf-poly1305を使う
プラグインを使うサーバーにつながらない	クライアントにプラグインがない、または設定がサーバーと違う	ホスト、パス、TLSの設定を揃えて同じプラグインを入れるか、プラグイン対応のクライアントを使う
数分は使えるが、その後止まる	ネットワーク上のフィルタリングや帯域制限	プラグイン、別のポート、TLSベースのプロトコルを試す
速度が遅い	サーバーが遠い、VPSが過負荷、またはモバイル回線のパケットロスが多い	近いサーバーを選び、不安定な回線ではkcptunを試す

Shadowsocks vs SOCKS5プロキシ vs VPN#

この3つが解決する問題はそれぞれ違うのに、選び間違える人が少なくありません。

	Shadowsocks	SOCKS5プロキシ	VPN（WireGuard、OpenVPN）
サーバーまでの暗号化	あり	なし。通信内容もログイン情報も回線上で丸見え	あり
外からの見え方	ランダムなバイト列で、ハンドシェイクなし	プロキシだとわかるハンドシェイク	VPNだとわかるハンドシェイク
対象範囲	ローカルプロキシを使うアプリ、TUNモードなら端末全体	自分で設定したアプリ	端末全体
よくある構成	数人で共有するプライベートサーバー1台	プロバイダーが提供する多数のIP	サーバー1台、またはプロバイダーのネットワーク
向いている用途	フィルタリングされたネットワークや制限のある地域	スクレイピング、自動化、複数アカウントの運用、地域別のテスト	信頼できないネットワークでの日常的なプライバシー保護

Shadowsocksは見つかりにくい暗号化トンネルを1本提供してくれますが、出口のアドレスも1つだけです。データ収集や自動化に必要なのはその逆で、暗号化のオーバーヘッドなしに多数の出口IPを使えることです。こうした用途にはSOCKS5プロキシのほうが向いています。公衆Wi-Fiで端末全体を守りたいだけなら、Shadowsocksサーバーを自分で運用するより、FineVPNのようなVPNを使うほうが簡単です。