Πριν αντικαταστήσετε το IPsec με το Shadowsocks, καταγράψτε τις εργασίες που χάνονται

Τρεις υπηρεσίες, ένα τούνελ: μια διαδικτυακή εφαρμογή, μια βάση δεδομένων και ένας κοινόχρηστος φάκελος. Κάποιος προτείνει να αλλάξουμε το IPsec με το Shadowsocks επειδή είναι απλούστερο στη λειτουργία. Η συζήτηση για την κρυπτογράφηση που ακολουθεί χάνει το θέμα, γιατί το τούνελ κάνει πολλές δουλειές ταυτόχρονα και μόνο μία από αυτές αφορά τους κρυπταλγόριθμους. Καταγράψτε αυτές τις δουλειές πριν συγκρίνετε προϊόντα. Η λίστα είναι σύντομη και οποιοδήποτε στοιχείο της μπορεί να ακυρώσει την αλλαγή.

Ξεκινήστε από το πώς πιάνεται η κίνηση

Το πρωτόκολλο έχει δύο μισά. Ένα τοπικό στοιχείο δέχεται μια σύνδεση, κρυπτογραφεί μια ροή που ξεκινά με τη διεύθυνση προορισμού και τη στέλνει σε ένα απομακρυσμένο στοιχείο. Το απομακρυσμένο μισό ανοίγει σύνδεση προς αυτόν τον προορισμό και προωθεί τα byte. Το UDP ακολουθεί την ίδια μορφή με datagrams. Αυτό είναι προώθηση για τις ροές που πιάνει και δεν λέει τίποτα για τις ροές που δεν πιάνει. Μια εφαρμογή που μιλά ρητά με διακομιστή μεσολάβησης είναι εύκολη· όλα τα άλλα χρειάζονται προσαρμογέα ή κανόνες δρομολόγησης για να πιαστούν καθόλου.

Τεκμηριώστε τη μέθοδο σύλληψης ανά εφαρμογή πριν συγκρίνετε οτιδήποτε άλλο. Η κίνηση που δεν πιάνεται φεύγει από τη συνηθισμένη διαδρομή και κανείς δεν το προσέχει μέχρι μια υπηρεσία να συμπεριφερθεί διαφορετικά εκτός γραφείου.

Ονομάστε κάθε προορισμό και πρωτόκολλο

Το απομακρυσμένο μισό πρέπει να φτάνει σε κάθε εσωτερική υπηρεσία. Μια λειτουργική κρυπτογραφημένη συνεδρία προς αυτόν τον κεντρικό υπολογιστή δεν προσθέτει διαδρομή από εκείνον προς τη βάση δεδομένων και δεν κάνει τα εσωτερικά ονόματα να επιλύονται στον πελάτη. Καταγράψτε διευθύνσεις, θύρες και πρωτόκολλα αντί να γράψετε ότι το LAN περιλαμβάνεται.

Προσθέστε τις περιπτώσεις που χαλάνε τα τακτοποιημένα σχέδια: εσωτερικό DNS, εφαρμογές που αγνοούν τις ρυθμίσεις μεσολάβησης και κάθε ροή που πρέπει να ξεκινά από τον διακομιστή προς τον πελάτη. Κάθε μία χρειάζεται ρητή ρύθμιση, όχι υπόθεση.

Η κρυπτογράφηση δεν είναι εξουσιοδότηση

Οι τεκμηριωμένες μέθοδοι AEAD στο Shadowsocks παρέχουν πιστοποιημένη κρυπτογράφηση, οπότε το να απορρίψει κανείς όλη την οικογένεια ως ανασφαλή είναι λάθος. Εξίσου λάθος είναι να αφήσει αυτό το γεγονός να απαντήσει στο ερώτημα της πρόσβασης. Κάποιος πρέπει να αποφασίσει ποιος φτάνει σε ποια υπηρεσία, πώς αφαιρείται η πρόσβαση όταν φεύγει ένα άτομο, πού φυλάσσονται τα μυστικά και ποιο στοιχείο επιβάλλει το όριο. Ένα κοινό μυστικό δίνει σε κάθε κάτοχο την ίδια εμβέλεια και η αποχώρηση ενός ατόμου γίνεται περιστροφή για όλους.

Κρατήστε την τρέχουσα ρύθμιση IPsec στο ίδιο μέτρο. Η ετικέτα της δεν αποδεικνύει ότι οι κανόνες της είναι σωστοί, και η σύγκριση μιας γυαλισμένης εκδοχής του ενός σχεδίου με μια αόριστη εκδοχή του άλλου δεν αποφασίζει τίποτα.

Καταγράψτε τους ελέγχους που υπάρχουν σήμερα και στις δύο πλευρές και μετά κρίνετε με ποια κενά μπορείτε να ζήσετε.

Μετρήστε τη λειτουργική εργασία

Κάθε αντικατάσταση χρειάζεται υπεύθυνο για τα πακέτα πελάτη, τις ενημερώσεις διακομιστή, την περιστροφή διαπιστευτηρίων και τη διαχείριση αστοχιών. Σημειώστε τι κάνει κάθε εφαρμογή όταν το τούνελ δεν είναι διαθέσιμο: αποτυγχάνει, ξαναδοκιμάζει από την τοπική διαδρομή ή περιμένει. Αυτή η συμπεριφορά προέρχεται από την ανάπτυξη, όχι από το όνομα του πρωτοκόλλου.

Για μία διαδικτυακή εφαρμογή ένας στενός μεσολαβητής μπορεί να αρκεί. Για πρόσβαση σε ολόκληρο το δίκτυο με δικαιώματα ανά άτομο, τα πρόσθετα κομμάτια κοστίζουν συνήθως περισσότερο από το τούνελ που αντικατέστησαν.

Η απόφαση δεν είναι ποιο προϊόν ακούγεται ασφαλέστερο. Είναι ποιο σχέδιο ολοκληρώνει τις καταγεγραμμένες εργασίες με ελέγχους που η ομάδα θα συντηρεί πραγματικά.