Privacy Proxy は、シングルホップとダブルホップの 2 つのデプロイメント構成に対応しています。どちらが適切かは、プライバシー要件と運用上の好みによって決まります。
シングルホップデプロイメントでは、Cloudflare がプロキシ基盤全体を運用します。クライアントは Cloudflare の Privacy Proxy に直接接続し、認証、プロキシ、エグレスを処理します。
┌────────┐ ┌─────────────────┐ ┌─────────────┐
│ Client │ ───▶ │ Privacy Proxy │ ───▶ │ Destination │
│ │ │ (Cloudflare) │ │ Server │
└────────┘ └─────────────────┘ └─────────────┘- クライアントは、Cloudflare のプロキシエンドポイントへ HTTP/2 または HTTP/3 接続を確立します。
- クライアントは、Privacy Pass トークンまたは事前共有鍵で認証します。
- クライアントは、宛先サーバーへのトンネルを確立するために CONNECT リクエストを送信します。
- Cloudflare はトラフィックをプロキシし、クライアントの地理位置情報に基づいてエグレス IP アドレスを選びます。
シングルホップデプロイメントは、次の場合に適しています。
- プロキシ基盤全体を Cloudflare に任せたい
- プライバシーモデルとして、宛先からクライアント IP アドレスを隠す必要はあるが、プロキシ運用者からは隠す必要がない
- クライアント側の変更を最小限にした、シンプルな連携が必要である
Microsoft Edge Secure Network ↗ は、シングルホップデプロイメントを使っています。Edge ブラウザーは Cloudflare の Privacy Proxy に直接接続し、Privacy Pass で認証して、宛先サーバーへトラフィックをプロキシします。追加の基盤を設定しなくても、ネットワーク上の観測者と宛先サーバーからの保護を得られます。
ダブルホップデプロイメントでは、最初のプロキシ（Proxy A）を自分で運用し、2 番目のプロキシ（Proxy B）を Cloudflare が運用します。ユーザーの身元と宛先の両方を単一の当事者が見ることがないため、より強いプライバシー分離が得られます。
┌────────┐ ┌─────────────┐ ┌─────────────────┐ ┌─────────────┐
│ Client │ ───▶ │ Proxy A │ ───▶ │ Proxy B │ ───▶ │ Destination │
│ │ │ (You) │ │ (Cloudflare) │ │ Server │
└────────┘ └─────────────┘ └─────────────────┘ └─────────────┘- クライアントは、自分で運用する Proxy A に接続します。
- Proxy A はユーザーを認証し、サービスを使えることを確認します。
- Proxy A は Cloudflare の Proxy B へトンネルを確立し、クライアントの CONNECT リクエストを転送します。
- Proxy B は宛先に接続し、トラフィックをプロキシします。
- Proxy B は、Proxy A が提供した地理位置情報に基づいてエグレス IP を選びます。
ダブルホップ構成では、次が保証されます。
| 情報 | Proxy A（自分） | Proxy B（Cloudflare） |
|---|---|---|
| クライアント IP アドレス | はい | いいえ |
| ユーザーアカウント | はい | いいえ |
| 宛先サーバー | 暗号化済み | はい |
| リクエスト内容 | 暗号化済み | 暗号化済み |
Proxy A はユーザーが誰かは分かりますが、どこへ向かっているかは見えません（宛先は暗号化されています）。Proxy B は宛先は分かりますが、誰がリクエストしているかは分かりません。どちらの当事者も全体像は持ちません。
ダブルホップデプロイメントは、次の場合に適しています。
- 身元と宛先の両方を単一の運用者が見ない、より強いプライバシー保証が必要である
- ユーザー認証とアカウント管理を自分で制御したい
- 規制またはコンプライアンス要件で、ユーザーデータの分離が求められる
iCloud Private Relay ↗ は、ダブルホップデプロイメントを使っています。Apple がファーストホッププロキシを運用し、Apple ID でユーザーを認証して宛先を暗号化します。Cloudflare がセカンドホッププロキシを運用し、宛先を復号してサーバーへ接続します。Apple はユーザーが誰かは分かりますが、どこを閲覧しているかは分かりません。Cloudflare は宛先は分かりますが、誰が閲覧しているかは分かりません。
| 観点 | シングルホップ | ダブルホップ |
|---|---|---|
| 基盤 | Cloudflare のみ | 自分 + Cloudflare |
| プライバシーの分離 | プロキシが身元と宛先の両方を見る | 2 つの当事者に分割 |
| 運用の複雑さ | 低い | 高い |
| 認証 | Cloudflare が管理 | ファーストホップの認証を自分で管理 |
| ユースケース | ブラウザー VPN、シンプルなプライバシー | 最大限のプライバシー分離 |
デプロイメントモデルを選ぶときは、次の点を検討してください。
- ユーザー認証は誰が管理すべきか？
認証を Cloudflare に任せたい場合は、シングルホップを使います。ユーザーアカウントを自分で制御する必要がある場合は、ダブルホップを使います。
- プライバシー要件は何か？
脅威モデルとして、ユーザーの身元と閲覧活動の両方を単一の当事者が見てはいけない場合は、ダブルホップを使います。
- 運用能力はどれだけあるか？
ダブルホップでは、プロキシの運用と維持が必要です。フルマネージドの解決策を好む場合は、シングルホップを使います。
どのデプロイメントモデルが用途に合うかは、お問い合わせ ↗ ください。