Før du erstatter IPsec med Shadowsocks, skriv de opgaver ned, der mangler

Tre tjenester, én tunnel: en webapp, en database og en fildeling. Nogen foreslår at bytte IPsec ud med Shadowsocks, fordi det er enklere at drive. Krypteringsdebatten, der følger, rammer ikke pointen, fordi tunnelen løser flere opgaver på én gang, og kun én af dem handler om cifre. Skriv de opgaver ned, før du sammenligner produkter. Listen er kort, og ethvert enkelt punkt kan gøre byttet ugyldigt.

Begynd med hvordan trafik fanges

Protokollen har to halvdele. En lokal komponent tager imod en forbindelse, krypterer en strøm, der begynder med destinationsadressen, og sender den til en fjern komponent. Den fjerne halvdel åbner en forbindelse til den destination og videresender byteene. UDP følger samme form med datagrammer. Det er videresendelse for de strømme, den fanger, og det siger intet om de strømme, den ikke fanger. Et program, der taler proxy eksplicit, er nemt; alt andet kræver en adapter eller routingregler for overhovedet at blive fanget.

Dokumentér fangstmetoden per program, før du sammenligner noget andet. Trafik, der ikke fanges, forlader netværket ad den sædvanlige vej, og ingen opdager det, før en tjeneste opfører sig anderledes uden for kontoret.

Navngiv hver destination og protokol

Den fjerne halvdel skal kunne nå hver intern tjeneste. En fungerende krypteret session til den vært tilføjer ikke en rute fra den til databasen, og den får ikke interne navne til at slå op på klienten. List adresser, porte og protokoller i stedet for at skrive, at LAN er inkluderet.

Tilføj de tilfælde, der ødelægger pæne designs: intern DNS, programmer der ignorerer proxyindstillinger, og enhver strøm, der skal startes fra serveren mod klienten. Hver af dem kræver en udtrykkelig aftale, ikke en antagelse.

Kryptering er ikke autorisation

De dokumenterede AEAD-metoder i Shadowsocks giver autentificeret kryptering, så det er forkert at afvise hele familien som usikker. Lige så forkert er det at lade den kendsgerning besvare adgangsspørgsmålet. Nogen skal beslutte, hvem der når hvilken tjeneste, hvordan adgang fjernes, når en person stopper, hvor hemmeligheder opbevares, og hvilken komponent der håndhæver grænsen. Én fælles hemmelighed giver enhver indehaver samme rækkevidde, og offboarding af én person bliver en rotation for alle.

Hold den nuværende IPsec-opsætning op mod samme standard. Dens etiket beviser ikke, at dens regler er rigtige, og at sammenligne en poleret version af det ene design med en vag version af det andet afgør intet.

List de kontroller, der findes i dag på begge sider, og vurdér så, hvilke huller du kan leve med.

Tæl driftsarbejdet

Enhver erstatning kræver en ejer til klientpakker, serveropdateringer, rotation af legitimationsoplysninger og håndtering af fejl. Bemærk, hvad hvert program gør, når tunnelen ikke er tilgængelig: fejler, prøver igen ad den lokale vej eller venter. Den adfærd kommer fra udrulningen, ikke fra protokollens navn.

Til én webapp kan en smal proxy være nok. Til adgang til hele netværket med rettigheder per person koster de ekstra dele som regel mere end den tunnel, de erstattede.

Beslutningen er ikke, hvilket produkt der lyder sikrest. Det er, hvilket design der færdiggør de listede opgaver med kontroller, som teamet faktisk vil vedligeholde.