Voordat jy IPsec met Shadowsocks vervang, lys eers die take wat verlore gaan

Drie dienste, een tonnel: 'n webtoepassing, 'n databasis en 'n lêerdeling. Iemand stel voor om IPsec vir Shadowsocks te ruil omdat dit eenvoudiger is om te bestuur. Die debat oor enkripsie wat daarop volg, mis die punt, want die tonnel verrig verskeie take tegelyk en net een daarvan gaan oor syfers. Skryf daardie take neer voordat jy produkte vergelyk. Die lys is kort, en enige enkele item kan die ruil ongeldig maak.

Begin by hoe verkeer gevang word

Die protokol het twee helftes. 'n Plaaslike komponent aanvaar 'n verbinding, versleutel 'n stroom wat met die bestemmingsadres begin, en stuur dit na 'n afgeleë komponent. Die afgeleë helfte maak 'n verbinding na daardie bestemming oop en stuur die grepe deur. UDP volg dieselfde patroon met datagramme. Dit is deurvoer vir die strome wat dit vang, en dit sê niks oor die strome wat dit nie vang nie. 'n Toepassing wat 'n instaanbediener eksplisiet ondersteun, is maklik; al die res het 'n adapter of roetereëls nodig om hoegenaamd gevang te word.

Dokumenteer die vangmetode per toepassing voordat jy enigiets anders vergelyk. Ongevange verkeer verlaat die netwerk via die gewone pad, en niemand merk dit totdat 'n diens buite die perseel anders optree nie.

Noem elke bestemming en protokol

Die afgeleë helfte moet elke interne diens kan bereik. 'n Werkende versleutelde sessie na daardie gasheer voeg nie 'n roete van hom na die databasis by nie, en dit laat interne name nie op die kliënt oplos nie. Lys eerder adresse, poorte en protokolle in plaas daarvan om te skryf dat die LAN ingesluit is.

Voeg die gevalle by wat netjiese ontwerpe breek: interne DNS, toepassings wat instaanbediener-instellings ignoreer, en enige stroom wat vanaf die bediener na die kliënt geïnisieer moet word. Elkeen het 'n eksplisiete reëling nodig, nie 'n aanname nie.

Enkripsie is nie magtiging nie

Die gedokumenteerde AEAD-metodes in Shadowsocks bied geauthentiseerde enkripsie, so om die hele familie as onveilig af te maak, is verkeerd. Om daardie feit die toegangsvraag te laat beantwoord, is ewe verkeerd. Iemand moet besluit wie watter diens bereik, hoe toegang verwyder word wanneer 'n persoon vertrek, waar geheime gestoor word en watter komponent die grens afdwing. 'n Enkele gedeelde geheim gee elke houer dieselfde bereik, en die uitfasering van een persoon word 'n rotasie vir almal.

Hou die huidige IPsec-opstelling aan dieselfde standaard. Sy etiket bewys nie dat sy reëls reg is nie, en om 'n gepoleerde weergawe van een ontwerp met 'n vae weergawe van die ander te vergelyk, besluit niks.

Lys die beheermaatreëls wat vandag aan beide kante bestaan en oordeel dan watter gapings jy kan verdra.

Tel die bedryfswerk

Elke vervanging het 'n eienaar nodig vir kliëntpakkette, bedieneropdaterings, rotasie van geloofsbriewe en fouthantering. Let op wat elke toepassing doen wanneer die tonnel onbeskikbaar is: faal, weer probeer oor die plaaslike pad, of wag. Daardie gedrag kom uit die ontplooiing, nie uit die protokolnaam nie.

Vir een webtoepassing kan 'n smal instaanbediener genoeg wees. Vir toegang tot die hele netwerk met regte per persoon kos die bykomende stukke gewoonlik meer as die tonnel wat hulle vervang het.

Die besluit is nie watter produk veiliger klink nie. Dit is watter ontwerp die gelyste take voltooi met beheermaatreëls wat die span werklik sal onderhou.