Bevor Sie IPsec durch Shadowsocks ersetzen, listen Sie die fehlenden Aufgaben auf

Drei Dienste, ein Tunnel: eine Webanwendung, eine Datenbank und eine Dateifreigabe. Jemand schlägt vor, IPsec gegen Shadowsocks zu tauschen, weil es einfacher zu betreiben ist. Die folgende Verschlüsselungsdebatte verfehlt den Punkt, denn der Tunnel erledigt mehrere Aufgaben gleichzeitig, und nur eine davon betrifft Chiffren. Schreiben Sie diese Aufgaben auf, bevor Sie Produkte vergleichen. Die Liste ist kurz, und jeder einzelne Punkt kann den Tausch hinfällig machen.

Beginnen Sie damit, wie Verkehr erfasst wird

Das Protokoll hat zwei Hälften. Eine lokale Komponente nimmt eine Verbindung an, verschlüsselt einen Strom, der mit der Zieladresse beginnt, und schickt ihn an eine entfernte Komponente. Die entfernte Hälfte öffnet eine Verbindung zu diesem Ziel und reicht die Bytes weiter. UDP folgt derselben Form mit Datagrammen. Das ist Weiterleitung für die Ströme, die es erfasst, und es sagt nichts über die Ströme aus, die es nicht erfasst. Eine Anwendung, die ausdrücklich einen Proxy anspricht, ist einfach; alles andere braucht einen Adapter oder Routingregeln, um überhaupt erfasst zu werden.

Dokumentieren Sie die Erfassungsmethode pro Anwendung, bevor Sie irgendetwas anderes vergleichen. Nichterfasster Verkehr verlässt das Netz über den gewohnten Weg, und niemand merkt es, bis sich ein Dienst außerhalb des Büros anders verhält.

Benennen Sie jedes Ziel und jedes Protokoll

Die entfernte Hälfte muss jeden internen Dienst erreichen können. Eine funktionierende verschlüsselte Sitzung zu diesem Host fügt keine Route von ihm zur Datenbank hinzu und lässt interne Namen auf dem Client nicht auflösen. Listen Sie Adressen, Ports und Protokolle auf, statt zu notieren, dass das LAN enthalten ist.

Ergänzen Sie die Fälle, die ordentliche Entwürfe zerstören: internes DNS, Anwendungen, die Proxyeinstellungen ignorieren, und jeder Strom, der vom Server zum Client hin initiiert werden muss. Jeder davon braucht eine ausdrückliche Regelung, keine Annahme.

Verschlüsselung ist keine Autorisierung

Die dokumentierten AEAD-Verfahren in Shadowsocks bieten authentifizierte Verschlüsselung, die ganze Familie als unsicher abzutun ist also falsch. Ebenso falsch ist es, diese Tatsache die Zugangsfrage beantworten zu lassen. Jemand muss entscheiden, wer welchen Dienst erreicht, wie Zugang entzogen wird, wenn eine Person geht, wo Geheimnisse liegen und welche Komponente die Grenze durchsetzt. Ein einziges gemeinsames Geheimnis gibt jedem Inhaber die gleiche Reichweite, und der Abschied einer Person wird zur Rotation für alle.

Halten Sie die bestehende IPsec-Einrichtung an denselben Maßstab. Ihr Etikett beweist nicht, dass ihre Regeln richtig sind, und ein poliertes Design mit einer vagen Version des anderen zu vergleichen, entscheidet nichts.

Listen Sie die Kontrollen auf, die heute auf beiden Seiten bestehen, und beurteilen Sie dann, mit welchen Lücken Sie leben können.

Zählen Sie die Betriebsarbeit

Jeder Ersatz braucht einen Verantwortlichen für Clientpakete, Serveraktualisierungen, den Wechsel von Anmeldedaten und die Behandlung von Ausfällen. Notieren Sie, was jede Anwendung tut, wenn der Tunnel nicht verfügbar ist: scheitern, über den lokalen Weg erneut versuchen oder warten. Dieses Verhalten kommt aus dem Betrieb, nicht aus dem Protokollnamen.

Für eine Webanwendung kann ein schmaler Proxy genügen. Für Zugang zum gesamten Netz mit Rechten pro Person kosten die Zusatzteile meist mehr als der Tunnel, den sie ersetzt haben.

Die Entscheidung ist nicht, welches Produkt sicherer klingt. Sie ist, welches Design die aufgelisteten Aufgaben mit Kontrollen abschließt, die das Team tatsächlich pflegen wird.