Cyn disodli IPsec gyda Shadowsocks, rhestrwch y tasgau sy'n cael eu colli

Tair gwasanaeth, un twnel: ap gwe, cronfa ddata a rhaniad ffeiliau. Mae rhywun yn awgrymu cyfnewid IPsec am Shadowsocks oherwydd ei fod yn haws i'w redeg. Mae'r ddadl am amgryptio sy'n dilyn yn colli'r pwynt, oherwydd mae'r twnel yn gwneud sawl tasg ar unwaith a dim ond un ohonynt sy'n ymwneud â seiffrau. Ysgrifennwch y tasgau hynny cyn cymharu â chynnyrch. Mae'r rhestr yn fyr, a gall unrhyw eitem ei hun ddirymu'r cyfnewid.

Dechreuwch gyda sut mae traffig yn cael ei ddal

Mae gan y protocol ddwy hanner. Mae cydran leol yn derbyn cysylltiad, yn amgryptio ffrwd sy'n dechrau gyda chyfeiriad y gyrchfan, ac yn ei hanfon i gydran bell. Mae'r hanner pell yn agor cysylltiad i'r gyrchfan honno ac yn trosglwyddo'r beitiau. Mae UDP yn dilyn yr un siâp gyda datagramau. Mae hyn yn anfon ymlaen ar gyfer y ffrydiau mae'n eu dal, ac nid yw'n dweud dim am y ffrydiau nad yw'n eu dal. Mae ap sy'n siarad procsi yn benodol yn hawdd; mae angen addasydd neu reolau llwybro ar bopeth arall i gael ei ddal o gwbl.

Dogfennwch y dull dal ar gyfer pob ap cyn cymharu unrhyw beth arall. Mae traffig na chafodd ei ddal yn gadael ar y llwybr arferol, ac nid oes neb yn sylwi ar ôl hynny nes bod gwasanaeth yn ymddwyn yn wahanol y tu allan i'r swyddfa.

Enwch bob cyrchfan a phrotocol

Rhaid i'r hanner pell allu cyrraedd pob gwasanaeth mewnol. Nid yw sesiwn amgryptiedig sy'n gweithio i'r gwesteiwr hwnnw yn ychwanegu llwybr ohono i'r gronfa ddata, ac nid yw'n gwneud i enwau mewnol ddatrys ar y cleient. Rhestrwch gyfeiriadau, porthladdoedd a phrotocolau yn lle ysgrifennu bod y LAN wedi'i chynnwys.

Ychwanegwch yr achosion sy'n torri dyluniadau taclus: DNS mewnol, apiau sy'n anwybyddu gosodiadau procsi, ac unrhyw ffrwd y mae'n rhaid ei chychwyn o'r gweinydd tuag at y cleient. Mae angen trefniant penodol ar bob un, nid tybiaeth.

Nid yw amgryptio yn awdurdodiad

Mae'r dulliau AEAD a ddogfennwyd yn Shadowsocks yn darparu amgryptio dilysedig, felly mae diarddel yr holl deulu fel un anniogel yn anghywir. Mae gadael i'r ffaith honno ateb y cwestiwn mynediad yr un mor anghywir. Rhaid i rywun benderfynu pwy sy'n cyrraedd pa wasanaeth, sut mae mynediad yn cael ei dynnu pan fydd person yn gadael, ble mae'r cyfrineiriau'n cael eu storio a pha gydran sy'n gorfodi'r ffin. Mae un gyfrinach a rennir yn rhoi'r un cyrhaeddiad i bob deiliad, ac mae tynnu un person allan yn dod yn gylchdro i bawb.

Daliwch y gosodiad IPsec presennol at yr un safon. Nid yw ei label yn profi bod ei reolau'n gywir, ac nid yw cymharu fersiwn caboledig o un dyluniad â fersiwn annelwig o'r llall yn penderfynu dim.

Rhestrwch y rheolaethau sy'n bodoli heddiw ar y ddwy ochr, ac wedyn barnwch pa fylchau y gallwch fyw â nhw.

Cyfrwch y gwaith gweithredol

Mae angen perchennog ar bob cyfnewid ar gyfer pecynnau cleient, diweddariadau gweinydd, cylchdroi gofynion a thrin methiannau. Sylwch beth mae pob ap yn ei wneud pan nad yw'r twnel ar gael: methu, ceisio eto dros y llwybr lleol, neu aros. Daw'r ymddygiad hwnnw o'r defnydd, nid o enw'r protocol.

Ar gyfer un ap gwe, gall procsi cul fod yn ddigon. Ar gyfer mynediad i'r holl rwydwaith gyda chaniatadau fesul person, mae'r darnau ychwanegol fel arfer yn costio mwy na'r twnel a ddisodlwyd.

Nid y penderfyniad yw pa gynnyrch sy'n swnio'n fwy diogel. Y penderfyniad yw pa ddyluniad sy'n gorffen y tasgau a restrwyd gyda rheolaethau y bydd y tîm yn eu cynnal mewn gwirionedd.