部署模型

Privacy Proxy 支持两种部署架构：单跳（single-hop）和双跳（double-hop）。合适的选择取决于您的隐私要求和运营偏好。

在单跳部署中，Cloudflare 运营整个代理基础设施。客户端直接连接到 Cloudflare 的 Privacy Proxy，后者处理身份验证、代理和出口流量。

┌────────┐      ┌─────────────────┐      ┌─────────────┐
│ Client │ ───▶ │  Privacy Proxy  │ ───▶ │ Destination │
│        │      │  (Cloudflare)   │      │   Server    │
└────────┘      └─────────────────┘      └─────────────┘

1. 客户端与 Cloudflare 代理端点建立 HTTP/2 或 HTTP/3 连接。
2. 客户端使用 Privacy Pass 令牌或预共享密钥进行身份验证。
3. 客户端发送 CONNECT 请求以建立通往目标服务器的隧道。
4. Cloudflare 代理流量，并根据客户端地理位置选择出口 IP 地址。

单跳部署非常适合以下情况：

• 您希望由 Cloudflare 来管理完整的代理基础设施。
• 您的隐私模型要求向目标隐藏客户端 IP 地址，但不要求向代理运营商隐藏。
• 您需要一种简单的集成，且客户端更改最少。

Microsoft Edge Secure Network ↗ 使用单跳部署。Edge 浏览器直接连接到 Cloudflare 的 Privacy Proxy，后者通过 Privacy Pass 处理身份验证，并将流量代理到目标服务器。用户无需配置额外基础设施即可获得针对网络观察者和目标服务器的保护。

在双跳部署中，您运营第一跳代理（代理 A），而 Cloudflare 运营第二跳代理（代理 B）。这创造了更强的隐私隔离，因为没有任何一方能够同时看到用户身份和目标。

┌────────┐      ┌─────────────┐      ┌─────────────────┐      ┌─────────────┐
│ Client │ ───▶ │   Proxy A   │ ───▶ │    Proxy B      │ ───▶ │ Destination │
│        │      │    (You)    │      │  (Cloudflare)   │      │   Server    │
└────────┘      └─────────────┘      └─────────────────┘      └─────────────┘

1. 客户端连接到由您运营的代理 A。
2. 代理 A 对用户进行身份验证并验证他们是否可以使用该服务。
3. 代理 A 建立通往 Cloudflare 代理 B 的隧道，并转发客户端的 CONNECT 请求。
4. 代理 B 连接到目标并代理流量。
5. 代理 B 根据代理 A 提供的地理位置选择出口 IP。

双跳架构确保了：

代理 A 知道用户是谁，但看不到他们要去哪里（目标已被加密）。代理 B 知道目标，但不知道是谁发起的请求。任何一方都没有完整的信息。

双跳部署非常适合以下情况：

• 您需要更强的隐私保证，即没有任何一个运营商能够同时看到身份和目标。
• 您希望保持对用户身份验证和账户管理的控制。
• 监管或合规要求强制隔离用户数据。

iCloud Private Relay ↗ 使用双跳部署。Apple 运营第一跳代理，该代理使用 Apple ID 对用户进行身份验证并加密目标。Cloudflare 运营第二跳代理，该代理对目标进行解密并连接到服务器。Apple 知道用户是谁，但不知道他们浏览了哪里。Cloudflare 知道目标，但不知道是谁在浏览。

在选择部署模型时，请考虑以下问题：

1. 谁来管理用户身份验证？

如果您希望 Cloudflare 处理身份验证，请使用单跳。如果您需要控制用户账户，请使用双跳。

2. 您的隐私要求是什么？

如果您的威胁模型要求没有任何一方能同时看到用户身份和浏览活动，请使用双跳。

3. 您的运营能力如何？

双跳需要您运营和维护一个代理。如果您更喜欢完全托管的解决方案，请使用单跳。

联系我们 ↗讨论哪种部署模型适合您的使用场景。