プロキシは、構成されたアプリケーションまたは接続のためにトラフィックを転送します。VPNは、選択されたネットワークトラフィックまたはより広範なデバイストラフィックを運ぶルーティングルールを持つトンネルを作成します。プロキシとVPNの選択を行う際は、接続する必要があるものとその理由から始めます：1つのブラウザタスク、サーバープロセス、またはプライベートビジネスネットワークへのアクセスです。
どちらも、実際にそれらを使用するトラフィックに対して、宛先が見る出口アドレスを変更できます。どちらも自動的にすべてのアプリケーションがそのアドレスを使用するようにするわけではなく、アカウントのアイデンティティを削除するわけでもなく、すべての観察者に対してプライバシーを保証するわけでもありません。
要約
- 特定のサポートされたタスクが定義された仲介者または出口経路を使用する必要がある場合は、アプリケーションプロキシを選択してください。
- トンネルベースのネットワーク接続が必要な場合、例えばプライベートビジネスリソースへの承認されたアクセスが必要な場合は、適切なVPNを選択してください。
- 製品ラベルに頼るのではなく、ルーティング、DNS処理、認証、および障害時の動作を確認してください。
- 暗号化は関与するプロトコルと接続に依存します。プロキシは自動的に暗号化されるわけではなく、VPNはHTTPSを置き換えるものではありません。
- コンピューティングおよびネットワークサービスは別々の購入です。既存のデバイスは、最初にVPSをレンタルすることなく、スタンドアロンプロキシを使用できます。
主な違いは接続の範囲です
フォワードプロキシは、クライアントと宛先の間に位置します。クライアントまたはその環境は、関連するトラフィックを通過させるように構成されている必要があります。たとえば、1つのアプリケーションはプロキシを使用し、同じコンピュータ上の別のアプリケーションは直接接続することがあります。
VPNはトンネルを確立し、何が通過するかを決定するためにルーティングルールを使用します。これは、プライベートサービスに到達したり、管理されたデバイスのための合意されたネットワークパスを提供したりするのに役立ちます。すべてのVPN構成が同じ出口を通じてすべての可能な接続を送信するわけではありません。
MicrosoftのVPNルーティングガイダンスは、スプリットトンネリングとフォーストンネリングを区別します。スプリットルーティングでは、選択された宛先がVPNを使用し、他のトラフィックは異なる経路をたどります。これが、接続状態だけでは完全なカバレッジテストにならない理由です。
リバースプロキシは異なる概念です：それは、受信リクエストのためにサービスの前に位置します。MDNのプロキシとトンネリングガイドは、それらの役割を説明しています。アプリケーションのアウトバウンド接続を変更することが目的である場合、リバースプロキシ製品が自動的に関連する購入とは限りません。
同じ次元を比較する
| 次元 | フォワードプロキシ | VPN |
|---|---|---|
| 典型的な範囲 | 構成されたアプリケーションまたはサポートされたトラフィックパス | トンネルおよびルーティングポリシーによって選択されたトラフィック |
| 一般的な目的 | 仲介アクセス、制御された出口、アプリケーション特有のルーティング | プライベートネットワークアクセスまたはより広範なトンネル接続 |
| クライアント要件 | 互換性のあるプロキシプロトコルと認証 | 互換性のあるVPNクライアント、構成、および認証 |
| 暗号化 | プロキシトランスポートおよび宛先プロトコルに依存 | トンネル暗号化はそのセグメントをカバーします; 宛先暗号化も重要です |
| 出口アイデンティティ | プロキシを使用するトラフィックのプロキシ出口 | 適用されるインターネットトラフィックのVPN出口 |
| 障害時の動作 | アプリケーションが失敗するか、構成されたフォールバックに従う可能性があります | クライアントとルーティングポリシーが何が起こるかを決定します |
| 提供しないもの | コンピュータ、保証された匿名性、またはアプリケーションの許可 | リモートデスクトップ、保証された匿名性、またはすべてのリソースへの許可 |
この表は一般的な役割を説明しています。実際の製品は追加のルーティング機能を実装することができるため、使用する特定のクライアントのドキュメントと動作を評価してください。
暗号化には複数のセグメントがあります
ノートパソコンから仲介者を経由してウェブサイトに接続することを想像してください。各セグメントを保護するものと、各エンドポイントを操作するのは誰かを尋ねてください。「暗号化された」という単語は、重要な違いを隠すことがあります。
HTTPSは、正しく使用されるとウェブサイトへの接続を保護します。プロキシは、その接続を中継するかもしれませんが、通常のHTTPコンテンツをHTTPSに変換するわけではありません。プロキシへの暗号化された接続は、クライアントからプロキシへのセグメントを保護できますが、プロキシを超えた暗号化されていない宛先接続を自動的に暗号化するわけではありません。
VPNは、そのトンネルを通じてトラフィックを暗号化します。トラフィックがVPNゲートウェイを離れた後、宛先プロトコルは依然として重要です。HTTPSと通常の証明書検証を維持し、トンネルをそれらの代替と見なさないでください。
ネットワーク構成を機能させるためにブラウザの証明書警告を無視しないでください。組織には意図的に管理された検査の取り決めがあるかもしれませんが、それは理解され、承認されるべきであり、プロキシの試行中に偶然に導入されるべきではありません。
ビジネス選択のために、プロバイダーに輸送、認証方法、ログポリシー、および運用責任を特定するように依頼してください。「セキュアプロキシ」や「プライベートVPN」は、それらの質問に答えるにはあまりにも一般的です。
IPの変更はアイデンティティのリセットではありません
ウェブサイトは、どのネットワーク出口が接続を運ぶかに関係なく、サインインしたアカウントを認識できます。クッキー、アカウント履歴、デバイス情報、およびアプリケーションリクエスト自体も、サービスの応答に影響を与える可能性があります。
したがって、出口アドレスを変更することは、匿名性を約束したり、検証を排除したり、使用を許可されていないサービスへのアクセスを与えたりするものではありません。すべての他の信号を消去することを期待するのではなく、正当な技術的要件のためにネットワーク構成を選択してください。
同様に、住宅、ISP、またはデータセンターとして広告されるアドレスは、ネットワークのソーシングまたは分類の次元を説明します。それはプロキシプロトコルを指定せず、クライアントがその認証をサポートしているかどうか、またすべての外部データベースがどのように分類するかを示しません。
承認されたシステムが安定したソースを期待する場合、固定アドレスは便利です。ローテーションサービスは、正当な理由で複数のネットワークサンプルを必要とするタスクをサポートできます。どちらも普遍的に優れているわけではなく、ワークフローが連続性を期待する場合、ローテーションは逆効果になることがあります。
小規模チームのための4つの実用的な選択肢
1つのアプリケーションが定義された出口パスを必要とする
許可された監視またはデータタスクが特定の仲介者を使用する必要がある場合、アプリケーションプロキシが適しているかもしれません。他のアプリケーションは変更されないままであることを確認してください。アプリケーションがエンドポイントのプロトコルと認証方法をサポートしていることを確認してください。
タスクを狭く保ってください。意図されたアプリケーションと、直接のままであるべき別のアプリケーションの両方をテストします。これにより、単一の変更されたIP結果がコンピュータ全体を説明するという仮定を避け、範囲を確立するのに役立ちます。
静的ISPプロキシは、タスクが固定ISPプロキシアドレスと互換性のあるクライアントを必要とする場合の1つの選択肢です。これらはネットワークサービスであり、アプリケーションを実行するためのWindowsまたはLinuxマシンは含まれていません。
従業員がプライベートビジネスサービスを必要とする
適切に構成されたビジネスVPNは、内部ウェブサイト、ファイルサービス、または管理ネットワークへの接続を提供できます。アクセスは、各従業員が必要とするリソースに制限されるべきです。
別の国にある消費者VPNの出口は、自動的にあなたのプライベートビジネス環境に接続されるわけではありません。同様に、プライベートネットワークに到達することは、ユーザーを管理者にするわけではありません。ネットワークの到達性とアプリケーションの権限を分けておいてください。
一部のアプリケーションにとって、アイデンティティを認識するアクセスサービスの方が広範なネットワークアクセスよりも適しているかもしれません。一般的なプロキシまたはVPNが十分であると決定する前に、実際のサービスとユーザーワークフローを評価してください。
既存のサーバーが異なるアウトバウンドルートを必要とする
すでに適切なサーバー、ストレージ、およびアプリケーションを持っているかもしれません。その場合、追加のアウトバウンドネットワークサービスは、全体のワークロードを移動するよりも小さな変更になる可能性があります。
境界を注意深く確認してください。アウトバウンドプロキシは、必ずしもサーバーの受信接続のパブリックアドレスを変更するわけではありません。また、保存されたデータを移動したり、オペレーティングシステムを変更したりすることもありません。
VoyraCloudのCloud VPSドキュメントは、IPv4スコープとルーティング例外を持つLinuxアウトバウンドプロキシの構成を説明しています。その機能を拡張して、すべてのプロトコル、IPv6、またはインバウンドの応答がプロキシを使用すると主張しないでください。Windowsには異なる構成の境界があります。
タスクがいくつかの許可されたネットワークサンプルを必要とする
制御された地域レビューや他の承認されたサンプリングタスクの場合、ローテーションネットワークサービスが関連するかもしれません。タスクがリクエストごとに異なるアドレスを必要とするのか、短いセッションのための連続性が必要なのか、または実行全体を通じて固定ソースが必要なのかを決定してください。
ローテーション住宅プロキシとデータセンタープロキシは、異なるソーシングおよび購入ニーズに応えます。どちらも、よりプライベートに聞こえるからといって選択されるべきではありません。エンドポイント、許可された使用、クライアントサポート、および予算をタスクに合わせてください。
認証の互換性が購入を決定することがある
有効なホスト、ポート、ユーザー名、およびパスワードは、クライアントが必要な認証方法を使用できない場合は不十分です。大規模な配分を購入したり、サービスの周りでワークフローを書き直したりする前に、互換性を確認してください。
ブラウザ、コマンドラインクライアント、およびオペレーティングシステムの設定は、必ずしも同じプロキシ機能をサポートしているわけではありません。SOCKSエンドポイントは、ホストとポートを使用しているからといってHTTPプロキシと交換可能ではありません。
たとえば、Chromiumのプロキシドキュメントは、そのネイティブSOCKSv5実装が認証をサポートしていないことを述べています。したがって、ユーザー名/パスワードのSOCKS5サービスは、そのアドレスをネイティブChrome設定に入力することで動作するとは限りません。使用する場合は、追加のソフトウェアが独自の互換性とセキュリティ評価を必要とします。
同じ原則がVPNにも適用されます。オペレーティングシステムのサポート、認証、ルーティングポリシー、およびサービスがプライベートアクセス用か公共インターネット出口用かを確認してください。製品名はそれらの詳細を確立しません。
意図されたパスと障害パスをテストする
非機密データと承認された宛先を使用して小規模なパイロットを実施してください。構成を記録して、以前の状態に復元できるようにします。VPN、オペレーティングシステムプロキシ、ブラウザ拡張機能、およびアプリケーション設定を同時に変更することは避けてください。重複した変更は、結果を解釈しにくくします。
- 通常のベースラインを確認します。タスクが元の接続を通じて機能することを確認します。
- 1つのネットワーク変更を適用します。プロバイダーによって指定されたプロトコルと認証を使用します。
- 関連するアプリケーションを確認します。そのアプリケーションのトラフィックの出口パスを観察し、実際のタスクを完了します。
- 境界を確認します。別のアプリケーション、プライベート宛先、および関連するアドレスファミリーを個別にテストします。
- 中断をテストします。タスクが停止するか、再試行するか、フォールバックルートを通じて接続するかを判断します。
- 復元して確認します。構成を削除することで環境が期待される状態に戻ることを確認します。
IPルックアップは、観察されたアドレスとメタデータを特定するのに役立ちます。それは、すべてのリクエスト、DNSクエリ、またはアプリケーションが同じルートを使用したことを証明するものではなく、エンドツーエンドの信頼性を確立するものでもありません。
総運用コストを比較する
プロキシプランは、転送されたデータ、割り当てられたアドレス、または他のサービス単位によって料金を請求する場合があります。VPNは、ユーザー、デバイス、またはサービスティアによって料金を請求する場合があります。現実的なワークロードを比較し、低い見出し価格が同じタスクをカバーするとは限らないと仮定しないでください。
セットアップとトラブルシューティングを含めてください。アプリケーションが認証できない安価なエンドポイントは、有用な節約にはなりません。また、同時実行要件、サポートの期待、更新条件、およびワークロードを実行するために必要な別のサーバーも含めてください。
コンピューティングとネットワークアクセスの両方が必要な場合、Cloud VPSはランタイムを別の決定として提供します。現在のデバイスがすでにアプリケーションをうまく実行している場合、スタンドアロンプロキシを使用するためだけにサーバーを購入することは、結果を改善することなく作業を追加する可能性があります。
FAQ
プロキシは常にVPNよりも安全性が低いですか？
ラベルから普遍的なランキングは導き出されません。プロトコル、暗号化の境界、オペレーター、認証、構成、および意図されたタスクを比較してください。正しくスコープされた配置が、どちらのカテゴリについても広範な主張よりも重要です。
VPNはすべてのアプリケーションをカバーしますか？
カバレッジはルーティングとクライアントの構成に依存します。スプリットトンネリングは、選択されたトラフィックのみを意図的にトンネルを通じて送信します。接続されたアイコンが完全なカバレッジを証明するとは限らないので、関連するアプリケーションと宛先を確認してください。
プロキシとVPNを一緒に使用できますか？
時々、クライアントとポリシーが組み合わせをサポートする場合に可能です。順序とルーティングは、どのオペレーターがどの接続を見て、トラフィックがどこで出口するかに影響を与える可能性があります。明確な要件のためにのみ組み合わせを追加し、明示的にテストしてください。
住宅プロキシは、ウェブサイトが私を受け入れることを保証しますか？
いいえ。ウェブサイトは独自のアカウント、アクセス、およびリスクルールを適用します。ネットワークタイプは唯一の入力であり、承認や拒否に対する保証を提供するものではありません。
アウトバウンドプロキシは、私のサーバーの受信IPを変更しますか？
必ずしもそうではありません。アウトバウンド転送とサーバーに到達するために使用されるアドレスは別々です。特定の製品のルーティング動作を確認してから、インバウンドサービスがプロキシアドレスに表示されることを期待してください。
プロキシとVPNのどちらを選ぶべきですか？
アプリケーション、宛先、必要な範囲、および信頼要件を挙げてください。次に、互換性のある接続方法を選択し、通常の動作と失敗した動作の両方をテストします。それにより、最も広範なプライバシー主張を広告するサービスを選択するよりも、より信頼性の高い選択が得られます。