Преди да замените IPsec със Shadowsocks, избройте изгубените задачи

Три услуги, един тунел: уеб приложение, база данни и споделена папка. Някой предлага да смени IPsec със Shadowsocks, защото е по-лесно за поддръжка. Дебатът за криптирането, който следва, пропуска същността, защото тунелът върши няколко задачи наведнъж и само една от тях е за шифри. Запишете тези задачи, преди да сравнявате продукти. Списъкът е кратък и всеки отделен пункт може да обезсмисли смяната.

Започнете с това как се улавя трафикът

Протоколът има две половини. Локален компонент приема връзка, криптира поток, който започва с адреса на местоназначението, и го изпраща към отдалечен компонент. Отдалечената половина отваря връзка към това местоназначение и препраща байтовете. UDP следва същата схема с датаграми. Това е препредаване за потоците, които улавя, и не казва нищо за потоците, които не улавя. Приложение, което говори прокси явно, е лесно; всичко останало се нуждае от адаптер или правила за маршрутизиране, за да бъде уловено изобщо.

Документирайте метода на улавяне за всяко приложение, преди да сравнявате каквото и да било друго. Неуловеният трафик излиза по обичайния път и никой не забелязва, докато дадена услуга не започне да се държи различно извън офиса.

Назовавайте всяко местоназначение и протокол

Отдалечената половина трябва да достига до всяка вътрешна услуга. Работеща криптирана сесия до този хост не добавя маршрут от него до базата данни и не кара вътрешните имена да се развързват на клиента. Избройте адреси, портове и протоколи, вместо да запишете, че LAN е включена.

Добавете случаите, които чупят подредените схеми: вътрешен DNS, приложения, които игнорират прокси настройките, и всеки поток, който трябва да се инициира от сървъра към клиента. Всяко от тях се нуждае от явна уредба, не от предположение.

Криптирането не е оторизация

Документираните методи AEAD в Shadowsocks осигуряват удостоверено криптиране, така че да отхвърляте цялото семейство като несигурно е грешно. Също толкова грешно е този факт да отговаря на въпроса за достъпа. Някой трябва да реши кой до коя услуга достига, как достъпът се отнема при напускане на човек, къде се съхраняват тайните и кой компонент налага границата. Една споделена тайна дава на всеки притежател еднакъв обхват и отписването на един човек се превръща в ротация за всички.

Поставете текущата настройка на IPsec при същия стандарт. Етикетът ѝ не доказва, че правилата са верни, а сравняването на излъскана версия на една схема с мъглява версия на друга не решава нищо.

Избройте контролите, които съществуват днес от двете страни, и после преценете с кои пропуски можете да живеете.

Пребройте експлоатационната работа

Всяка замяна се нуждае от отговорник за клиентските пакети, сървърните обновявания, ротацията на удостоверенията и обработката на откази. Отбележете какво прави всяко приложение, когато тунелът е недостъпен: отказва, опитва отново по локалния път или чака. Това поведение идва от внедряването, не от името на протокола.

За едно уеб приложение тесен прокси може да е достатъчен. За достъп до цялата мрежа с права за всеки човек допълнителните части обикновено струват повече от тунела, който са заменили.

Решението не е кой продукт звучи по-безопасно. А коя схема изпълнява изброените задачи с контроли, които екипът наистина ще поддържа.