Než IPsec nahradíte Shadowsocksem, sepšite chybějící úlohy

Tři služby, jeden tunel: webová aplikace, databáze a sdílená složka. Někdo navrhne vyměnit IPsec za Shadowsocks, protože se snáze provozuje. Debatě o šifrování, která následuje, uniká podstata, protože tunel dělá několik úloh najednou a jen jedna z nich je o šifrách. Sepište tyto úlohy, než začnete porovnávat produkty. Seznam je krátký a kterákoli položka může výměnu zrušit.

Začněte tím, jak se provoz zachytává

Protokol má dvě poloviny. Lokální komponenta přijme spojení, zašifruje tok, který začíná cílovou adresou, a pošle ho vzdálené komponentě. Vzdálená polovina otevře spojení k tomuto cíli a přeposílá bajty. UDP se chová stejně s datagramy. To je přesměrování pro toky, které zachytí, a nic to neříká o tocích, které nezachytí. Aplikace, která mluví s proxy přímo, je snadná; všechno ostatní potřebuje adaptér nebo pravidla směrování, aby se vůbec zachytilo.

Zdokumentujte způsob zachytávání u každé aplikace, než začnete porovnávat cokoli dalšího. Nezachycený provoz odchází obvyklou cestou a nikdo si toho nevšimne, dokud se nějaká služba mimo kancelář nezačne chovat jinak.

Pojmenujte každý cíl a protokol

Vzdálená polovina musí dosáhnout na každou interní službu. Fungující šifrovaná relace k tomuto hostiteli nepřidá trasu z něj do databáze ani nezajistí, že se interní jména vyřeší na klientovi. Vyjmenujte adresy, porty a protokoly, místo abyste napsali, že LAN je zahrnuta.

Přidejte případy, které rozbíjejí úhledné návrhy: interní DNS, aplikace ignorující nastavení proxy a každý tok, který musí být zahájen ze serveru směrem ke klientovi. Každý z nich potřebuje výslovnou dohodu, ne předpoklad.

Šifrování není autorizace

Dokumentované metody AEAD v Shadowsocksu poskytují ověřené šifrování, takže odepsat celou rodinu jako nezabezpečenou je chyba. Stejně chybné je nechat tento fakt odpovídat na otázku přístupu. Někdo musí rozhodnout, kdo dosáhne na kterou službu, jak se přístup odebere, když člověk odejde, kde jsou uloženy tajné údaje a která komponenta vynucuje hranici. Jediné sdílené tajemství dává každému držiteli stejný dosah a odchod jednoho člověka se mění v rotaci pro všechny.

Postavte současné nastavení IPsecu před stejný metr. Jeho označení nedokazuje, že jeho pravidla jsou správná, a srovnání vyleštěné verze jednoho návrhu s mlhavou verzí druhého nic nerozhodne.

Vyjmenujte kontroly, které dnes existují na obou stranách, a pak posuďte, s jakými mezerami dokážete žít.

Spočítejte provozní práci

Každá náhrada potřebuje vlastníka klientských balíčků, aktualizací serveru, rotace přihlašovacích údajů a řešení výpadků. Všimněte si, co každá aplikace dělá, když tunel není dostupný: selže, zkusí to znovu po lokální cestě, nebo čeká. Takové chování vychází z nasazení, ne z názvu protokolu.

Pro jednu webovou aplikaci může úzká proxy stačit. Pro přístup do celé sítě s oprávněními pro jednotlivé osoby obvykle doplňkové díly stojí víc než tunel, který nahradily.

Rozhodnutí není o tom, který produkt zní bezpečněji. Je o tom, který návrh dokončí uvedené úlohy s kontrolami, které tým skutečně bude udržovat.