IPsec-i Shadowsocks ilə əvəz etməzdən əvvəl itirilən işləri sadalayın

Üç xidmət, bir tunel: bir veb tətbiq, bir verilənlər bazası və bir fayl paylaşımı. Kimsə IPsec-i Shadowsocks ilə dəyişməyi təklif edir, çünki onu idarə etmək daha sadədir. Ardınca gələn şifrələmə mübahisəsi əsas məqamı qaçırır, çünki tunel eyni vaxtda bir neçə iş görür və yalnız biri şifrlərə aiddir. Məhsulları müqayisə etməzdən əvvəl bu işləri yazın. Siyahı qısadır və hər hansı bir bənd dəyişməni etibarsız edə bilər.

Trafikin necə tutulduğundan başlayın

Protokolun iki yarısı var. Lokal komponent bağlantı qəbul edir, təyinat ünvanı ilə başlayan axını şifrələyir və onu uzaq komponentə göndərir. Uzaq yarı həmin təyinatla bağlantı açır və baytları ötürür. UDP dataqramlarla eyni formanı izləyir. Bu, tutduğu axınlar üçün yönləndirmədir və tutmadığı axınlar barədə heç nə demir. Proxy ilə açıq şəkildə danışan tətbiq asandır; qalan hər şeyin ümumiyyətlə tutulması üçün adapter və ya marşrut qaydaları lazımdır.

Hər hansı başqa müqayisədən əvvəl hər tətbiq üzrə tutma üsulunu sənədləşdirin. Tutulmamış trafik adi yolla çıxır və kimsə bunu yalnız bir xidmət ofisdən kənarda fərqli davrandıqda hiss edir.

Hər təyinatı və protokolu adlandırın

Uzaq yarı hər daxili xidmətə çata bilməlidir. Həmin hosta işləyən şifrəli sessiya ondan verilənlər bazasına marşrut əlavə etmir və daxili adları müştəridə həll etmir. LAN-ın daxil olduğunu yazmaq əvəzinə ünvanları, portları və protokolları sadalayın.

Səliqəli dizaynları pozan halları əlavə edin: daxili DNS, proxy parametrlərini nəzərə almayan tətbiqlər və serverdən müştəriyə doğru başladılmalı olan hər axın. Hər biri fərziyyə deyil, açıq razılaşma tələb edir.

Şifrələmə avtorizasiya deyil

Shadowsocks-da sənədləşdirilmiş AEAD üsulları autentifikasiya olunmuş şifrələmə təqdim edir, ona görə də bütün ailəni etibarsız adlandırmaq səhvdir. Bu faktın giriş sualına cavab verməsinə icazə vermək də eyni dərəcədə səhvdir. Kiminsə hansı xidmətə kimin çatdığını, bir şəxs ayrıldıqda girişin necə çıxarıldığını, sirlərin harada saxlanıldığını və sərhədi hansı komponentin tətbiq etdiyini qərarlaşdırması lazımdır. Tək ortaq sirr hər daşıyıcıya eyni əhatə dairəsini verir və bir nəfərin işdən çıxarılması hamı üçün rotasiyaya çevrilir.

Mövcud IPsec qurulumunu eyni standarta vurun. Onun adı qaydalarının düzgün olduğunu sübut etmir və bir dizaynın cilalanmış variantını digərinin qeyri-müəyyən variantı ilə müqayisə etmək heç nə həll etmir.

Bu gün hər iki tərəfdə mövcud olan nəzarətləri sadalayın, sonra hansı boşluqlarla yaşaya biləcəyinizi qiymətləndirin.

Əməliyyat işini sayın

Hər dəyişmə müştəri paketləri, server yeniləmələri, etimad məlumatlarının rotasiyası və nasazlıq idarəsi üçün məsul şəxs tələb edir. Tunel əlçatan olmadıqda hər tətbiqin nə etdiyini qeyd edin: uğursuz olur, lokal yol ilə yenidən cəhd edir, yoxsa gözləyir. Bu davranış protokolun adından deyil, yerləşdirmədən gəlir.

Bir veb tətbiq üçün dar bir proxy kifayət edə bilər. Hər şəxs üçün icazələrlə bütün şəbəkəyə girişdə isə əlavə hissələr adətən əvəz etdikləri tuneldən baha başa gəlir.

Qərar hansı məhsulun daha təhlükəsiz səslənməsi deyil. Qərar hansı dizaynın sadalanan işləri komandanın həqiqətən saxlayacağı nəzarətlərlə bitirməsidir.