Enne kui asendate IPseci Shadowsocksiga, loetlege puuduvad tööd

Kolm teenust, üks tunnel: veebirakendus, andmebaas ja failijagamine. Keegi pakub välja vahetada IPsec Shadowsocksi vastu, sest seda on lihtsam hallata. Järgnev krüpteerimisvaidlus eksib asjast, sest tunnel teeb korraga mitut tööd ja ainult üks neist puudutab šifreid. Kirjutage need tööd üles enne toodete võrdlemist. Nimekiri on lühike ja iga üksik punkt võib vahetuse tühistada.

Alustage sellest, kuidas liiklust püütakse

Protokollil on kaks poolt. Kohalik komponent võtab vastu ühenduse, krüpteerib voo, mis algab sihtkoha aadressiga, ja saadab selle kaugkomponendile. Kaugpool avab ühenduse selle sihtkohaga ja edastab baidid. UDP järgib datagrammidega sama kuju. See on edastamine nende voogude jaoks, mida see püüab, ja see ei ütle midagi voogude kohta, mida see ei püüa. Rakendus, mis räägib puhverserveriga otseselt, on lihtne; kõik muu vajab püüdmiseks adapterit või marsruutimisreegleid.

Dokumenteerige püüdmismeetod iga rakenduse kohta enne muu võrdlemist. Püüdmata liiklus väljub tavalisel teel ja keegi ei märka seda enne, kui mõni teenus käitub väljaspool kontorit teisiti.

Nimetage iga sihtkoht ja protokoll

Kaugpool peab pääsema igasse sisemisse teenusesse. Toimiv krüpteeritud sessioon selle hostini ei lisa marsruuti sellest andmebaasi ega pane sisemisi nimesid kliendis lahenduma. Loetlege aadressid, pordid ja protokollid, selle asemel et kirjutada, et LAN on kaasatud.

Lisage juhtumid, mis rikuvad korrapäraseid kavandeid: sisemine DNS, puhverserveri seadeid eiravad rakendused ja iga voog, mis tuleb algatada serverist kliendi poole. Igaüks neist vajab selgesõnalist kokkulepet, mitte oletust.

Krüpteerimine ei ole autoriseerimine

Shadowsocksi dokumenteeritud AEAD-meetodid pakuvad autenditud krüpteerimist, seega on vale kogu perekonda ebaturvaliseks pidada. Sama vale on lasta sellel faktil vastata juurdepääsu küsimusele. Keegi peab otsustama, kes millisele teenusele pääseb, kuidas juurdepääs eemaldatakse, kui inimene lahkub, kus saladusi hoitakse ja milline komponent piiri jõustab. Üks jagatud saladus annab igale valdajale sama ulatuse ja ühe inimese lahkumine muutub kõigi jaoks rotatsiooniks.

Pange praegune IPsec-seadistus sama mõõdupuu ette. Selle silt ei tõesta, et selle reeglid on õiged, ja ühe kavandi poleeritud versiooni võrdlemine teise hägusa versiooniga ei otsusta midagi.

Loetlege kontrollid, mis täna mõlemal poolel olemas on, ja hinnake siis, milliste puudujääkidega saate elada.

Loendage haldustöö

Iga asendus vajab omanikku kliendipakettidele, serveriuuendustele, volituste rotatsioonile ja tõrgete käsitlemisele. Pange tähele, mida iga rakendus teeb, kui tunnel pole saadaval: nurjub, proovib uuesti kohaliku tee kaudu või ootab. See käitumine tuleb juurutusest, mitte protokolli nimest.

Ühe veebirakenduse jaoks võib kitsas puhverserver piisata. Kogu võrgu juurdepääsuks isikupõhiste õigustega maksavad lisatükid tavaliselt rohkem kui tunnel, mille need asendasid.

Otsus ei ole see, milline toode kõlab turvalisemalt. See on, milline kavand viib loetletud tööd lõpuni kontrollidega, mida meeskond tõesti hooldab.