より高速なSASEクライアント：プロキシモードの再構築

**タイトル: より高速なSASEクライアント: Proxy Modeの再構築** ゼロトラスト環境のセキュリティを維持するためにプロキシを使用する必要がある場合、それはしばしば代償を伴います: ユーザーにとってのパフォーマンスの低下です。クライアントプロキシを導入するとすぐに、セキュリティチームは通常、ブラウザの速度低下、ファイル転送の遅延、そしてちょうど悪いタイミングで途切れるビデオ通話に不満を持つユーザーからの大量のサポートチケットに直面します。しばらくすると、その原因をプロキシのせいにするようになり始めます ― パフォーマンスに影響を与える他の問題を見逃してしまう可能性があります。 私たちは、これが必然ではないことを知っていました。プロキシモードへのアプローチを完全に再構築すれば、セキュリティを犠牲にすることなく、ユーザーがより高速に利用できることを確信していました。だから私たちはそれを実行しました。 当社のSASEプラットフォーム「Cloudflare One」のデバイスクライアント開発の初期段階では、普遍的な互換性を優先しました。管理者がプロキシモードを有効にすると、クライアントはローカルのSOCKS5またはHTTPプロキシとして機能しました。しかし、基盤となるトンネルアーキテクチャがレイヤー3（L3）プロトコルであるWireGuard上に構築されていたため、技術的な課題に直面しました: アプリケーション層（L4）のTCPトラフィックを、どのようにL3トンネルに流し込むかという問題です。L4からL3への移行は特に困難でした。なぜなら、当社のデスクトップクライアントは複数のプラットフォーム（Windows、macOS、Linux）で動作するため、カーネルを利用してこれを実現することができなかったからです。 この課題を克服するため、Rustベースのユーザー空間TCP実装である**smoltcp**を採用しました。パケットがローカルプロキシに到達すると、クライアントは変換処理を実行する必要がありました。すなわち、smoltcpを使用してL4ストリームをWireGuardトンネル用のL3パケットに変換したのです。 この方法は機能しましたが、効率的とは言えませんでした。Smoltcpは組み込みシステム向けに最適化されており、最新のTCP機能をサポートしていません。さらに、Cloudflareのエッジ側では、L3パケットをL4ストリームに戻す変換処理も必要でした。ユーザーにとって、これはパフォーマンスの頭打ちとして現れました。画像や動画のためにブラウザが数十の同時接続を開くメディアリッチなサイトでは、高性能なTCPスタックの欠如により、高速な光ファイバー接続環境であっても高遅延と読み込みの遅さが発生し、プロキシモードは他のすべてのデバイスクライアントモードと比べて著しく遅く感じられました。 ### QUICによる直接L4プロキシングの導入 この問題を解決するため、Cloudflare Oneクライアントのプロキシモードを一から再構築し、プロキシモードにおけるWireGuardの使用を廃止しました。これにより、**QUIC**の機能を最大限に活用できるようになります。当社は既にIPパケットのプロキシングに**MASQUE**（QUICの一部）を活用しており、今回、直接L4プロキシングのために**QUICストリーム**の使用を追加しました。 **CONNECT**メソッドを伴う**HTTP/3**（**RFC 9114**）を活用することで、トラフィックを本来のレイヤー4で維持できるようになりました。ブラウザがクライアントにSOCKS5またはHTTPリクエストを送信しても、それはもはやL3パケットに分解されません。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/w9mIuKa8usLgxDxVqaHax/9861604fc84508b7fc6666bf8b82a874/image1.png) 代わりに、リクエストは直接QUICストリームにカプセル化されます。 このアーキテクチャの変更により、3つの直接的な技術的利点が得られます: 1. **smoltcpの回避**: L3変換レイヤーを削除することで、IPパケット処理とsmoltcpのTCP実装に伴う制限を排除します。 2. **ネイティブQUICの利点**: トランスポート層でネイティブに処理される、現代的な輻輳制御とフロー制御の恩恵を受けられます。 3. **調整可能性**: クライアントとCloudflareのエッジがQUICのパラメータを調整し、パフォーマンスを最適化できます。 内部テストでは結果は明らかで、ダウンロード/アップロード速度は2倍に、遅延は大幅に減少しました。 ### 最も恩恵を受けるユースケース 高速化は常に歓迎されますが、このアップデートは特に以下の3つの主要なユースケースにおける課題を解決します。 第一に、**サードパーティ製VPNとの共存**シナリオです。特定のオンプレミスリソースに従来型VPNがまだ必要であったり、冗長性やコンプライアンスの観点からデュアルSASE構成が求められたりする場合、ローカルプロキシモードはWebトラフィックにゼロトラストセキュリティを追加するための定番ソリューションです。このアップデートにより、「セキュリティの重ね掛け」がユーザーエクスペリエンスの犠牲を意味しなくなります。 第二に、**高帯域幅アプリケーションの分割**です。プロキシモードは、特定のブラウザトラフィックだけを**Cloudflare Gateway**経由に誘導し、OSのその他の通信はローカルネットワークに残すためによく使用されます。ユーザーはパフォーマンスを犠牲にすることなく、高解像度コンテンツのストリーミングや大規模データセットの処理を行えるようになります。 最後に、**CLI**ツールやスクリプトで**SOCKS5**セカンダリリスナーに依存する開発者やパワーユーザーは、即座に改善を実感するでしょう。プロキシ経由のリモートAPI呼び出しやデータ転送も、Cloudflareグローバルネットワークの他の部分と同じ低遅延接続の恩恵を受けるようになります。 ### 始め方 プロキシモードの改善は、Windows、macOS、Linuxデバイス向けの最小クライアントバージョン2025.8.779.0で利用可能です。これらのパフォーマンス向上を活用するには、最新版のCloudflare Oneクライアントを実行していることを確認してください。 1. Cloudflare Oneダッシュボードにログインします。 2. Teams & Resources > Devices > Device profiles > General profilesに移動します。 3. 編集するプロファイルを選択するか、新規プロファイルを作成し、Service modeが「Local proxy mode」に、Device tunnel protocolが「MASQUE」に設定されていることを確認します。 クライアントマシンでアクティブなプロトコルは、ターミナルで以下のコマンドを実行して確認できます: ``` warp-cli settings | grep protocol ``` デバイスのプロキシモードを有効にする詳細な手順については、当社のドキュメントをご覧ください。 まだSASEの導入を始めていない場合は、最大50ユーザーまで無料で利用できるCloudflare Oneアカウントに今すぐサインアップできます。アカウントを作成し、Cloudflare Oneクライアントをダウンロードして、オンボーディングガイドに従うだけで、チーム全体でより高速かつ安定した接続を体験できます。

より高速なSASEクライアント：プロキシモードの再構築

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト