Prije nego IPsec zamijenite Shadowsocksom, popišite poslove koji nedostaju

Tri servisa, jedan tunel: web aplikacija, baza podataka i dijeljeni folder. Neko predloži da IPsec zamijenimo Shadowsocksom jer ga je lakše održavati. Rasprava o enkripciji koja uslijedi promašuje poentu, jer tunel obavlja nekoliko poslova odjednom i samo je jedan od njih o šiframa. Zapišite te poslove prije nego što počnete porediti proizvode. Spisak je kratak, a svaka pojedina stavka može poništiti zamjenu.

Počnite od toga kako se saobraćaj hvata

Protokol ima dvije polovine. Lokalna komponenta prihvata vezu, šifruje tok koji počinje odredištem i šalje ga udaljenoj komponenti. Udaljena polovina otvara vezu prema tom odredištu i prenosi bajtove. UDP slijedi isti obrazac s datagramima. To je prosljeđivanje za tokove koje uhvati, a ništa ne govori o tokovima koje ne uhvati. Aplikacija koja eksplicitno govori proxyju je laka; sve ostalo treba adapter ili pravila rutiranja da bi uopće bilo uhvaćeno.

Dokumentujte način hvatanja po aplikaciji prije bilo kakvog daljeg poređenja. Neuhvaćen saobraćaj izlazi uobičajenim putem i nitko to ne primijeti dok se neki servis izvan ureda ne počne ponašati drukčije.

Imenujte svako odredište i protokol

Udaljena polovina mora moći dosegnuti svaki interni servis. Ispravna šifrovana sesija prema tom hostu ne dodaje rutu od njega do baze podataka i ne omogućava da se interna imena razriješe na klijentu. Popišite adrese, portove i protokole umjesto da napišete da je LAN uključen.

Dodajte slučajeve koji kvare uredne dizajne: interni DNS, aplikacije koje ignorišu proxy postavke i svaki tok koji mora biti pokrenut sa servera prema klijentu. Svaki od njih traži izričit dogovor, a ne pretpostavku.

Enkripcija nije autorizacija

Dokumentovane AEAD metode u Shadowsocksu pružaju autentifikovanu enkripciju, pa je pogrešno cijelu porodicu odbaciti kao nesigurnu. Jednako je pogrešno pustiti tu činjenicu da odgovori na pitanje pristupa. Neko mora odlučiti ko doseže koji servis, kako se pristup ukida kad osoba ode, gdje se čuvaju tajne i koja komponenta provodi granicu. Jedna zajednička tajna daje svakom vlasniku isti doseg, a odlazak jedne osobe postaje rotacija za sve.

Postavite trenutno IPsec okruženje pred isti standard. Njegova oznaka ne dokazuje da su pravila ispravna, a poređenje uglađene verzije jednog dizajna s nejasnom verzijom drugog ne odlučuje ništa.

Popišite kontrole koje danas postoje na obje strane, pa procijenite s kojim prazninama možete živjeti.

Prebrojte operativni rad

Svaka zamjena treba vlasnika za klijentske pakete, serverske nadogradnje, rotaciju akreditiva i rukovanje otkazima. Zabilježite šta svaka aplikacija radi kad tunel nije dostupan: pada, ponovo pokušava lokalnim putem ili čeka. Takvo ponašanje dolazi iz postavke, ne iz imena protokola.

Za jednu web aplikaciju uzak proxy može biti dovoljan. Za pristup cijeloj mreži s dozvolama po osobi dodatni dijelovi obično koštaju više od tunela koji su zamijenili.

Odluka nije koji proizvod zvuči sigurnije. Nego koji dizajn dovršava navedene poslove uz kontrole koje će tim zaista održavati.