Перш чым замяніць IPsec на Shadowsocks, пералічыце страчаныя задачы

Тры сэрвісы, адзін тунель: вэб-праграма, база даных і агульны доступ да файлаў. Хтосьці прапануе замяніць IPsec на Shadowsocks, бо яго прасцей эксплуатаваць. Спрэчка пра шыфраванне, якая за гэтым ідзе, прапускае галоўнае, бо тунель выконвае некалькі задач адначасова, і толькі адна з іх пра шыфры. Запішыце гэтыя задачы, перш чым параўноўваць прадукты. Спіс кароткі, і любы яго пункт можа адмяніць замену.

Пачніце з таго, як трафік перахопліваецца

Пратакол мае дзве паловы. Лакальны кампанент прымае злучэнне, шыфруе паток, які пачынаецца з адраса прызначэння, і адпраўляе яго на аддалены кампанент. Аддаленая палова адкрывае злучэнне да гэтага прызначэння і перадае байты. UDP ідзе па той жа схеме з датаграмамі. Гэта перанакіраванне для патокаў, якія ён перахоплівае, і яно нічога не кажа пра патокі, якія ён не перахоплівае. Праграма, якая яўна працуе праз проксі, — гэта проста; усё астатняе патрабуе адаптара або правілаў маршрутызацыі, каб яго наогул перахапілі.

Задакументуйце спосаб перахопу для кожнай праграмы, перш чым параўноўваць што-небудзь яшчэ. Неперахоплены трафік ідзе звычайным шляхам, і ніхто гэтага не заўважае, пакуль сэрвіс не пачне паводзіць сябе інакш па-за офісам.

Назавіце кожнае прызначэнне і пратакол

Аддаленая палова павінна дасягаць кожнага ўнутранага сэрвісу. Працоўная шыфраваная сесія да гэтага хоста не дадае маршрут ад яго да базы даных і не дазваляе ўнутраным імёнам развязацца на кліенце. Пералічыце адрасы, порты і пратаколы замест запісу пра тое, што LAN уключана.

Дадайце выпадкі, якія ламаюць акуратныя схемы: унутраны DNS, праграмы, якія ігнаруюць налады проксі, і любы паток, які трэба ініцыяваць з сервера ў бок кліента. Кожнаму патрэбна яўная дамоўленасць, а не здагадка.

Шыфраванне — гэта не аўтарызацыя

Задакументаваныя метады AEAD у Shadowsocks даюць аўтэнтыфікаванае шыфраванне, таму адмаўляць усё сямейства як небяспечнае — няправільна. Дазваляць гэтаму факту адказваць на пытанне доступу — гэтак жа няправільна. Хтосьці мусіць вырашыць, хто дасягае якога сэрвісу, як забіраецца доступ, калі чалавек сыходзіць, дзе захоўваюцца сакрэты і які кампанент трымае мяжу. Адзін агульны сакрэт дае кожнаму ўладальніку аднолькавы ахоп, і выхад аднаго чалавека ператвараецца ў ратацыю для ўсіх.

Прыкладзіце да бягучай налады IPsec тыя ж патрабаванні. Яе назва не даказвае, што правілы правільныя, а параўнанне адточанага варыянта адной схемы з расплывістым варыянтам іншай нічога не вырашае.

Пералічыце кантролі, якія існуюць сёння з абодвух бакоў, і тады ацаніце, з якімі прабеламі вы можаце жыць.

Падлічыце эксплуатацыйную працу

Кожная замена патрабуе адказнага за кліенцкія пакеты, абнаўленні сервера, ратацыю ўліковых даных і апрацоўку збояў. Заўважце, што робіць кожная праграма, калі тунель недаступны: падае, паўтарае спробу праз лакальны шлях або чакае. Гэтыя паводзіны вынікаюць з разгортвання, а не з назвы пратакола.

Для адной вэб-праграмы вузкага проксі можа хапіць. Для доступу да ўсёй сеткі з дазволамі для кожнага чалавека дадатковыя часткі звычайна каштуюць даражэй за тунель, які яны замянілі.

Рашэнне не ў тым, які прадукт гучыць бяспечней. Яно ў тым, якая схема выканае пералічаныя задачы з кантролем, які каманда сапраўды будзе падтрымліваць.