Ennen kuin korvaat IPsecin Shadowsocksilla, listaa puuttuvat työt

Kolme palvelua, yksi tunneli: verkkosovellus, tietokanta ja tiedostojako. Joku ehdottaa IPsecin vaihtamista Shadowsocksiin, koska sitä on yksinkertaisempi ylläpitää. Seuraava salauskeskustelu menee ohi asiasta, koska tunneli tekee useita töitä yhtä aikaa ja vain yksi niistä koskee salakirjoituksia. Kirjoita ne työt muistiin ennen kuin vertailet tuotteita. Lista on lyhyt, ja mikä tahansa kohta voi mitätöidä vaihdon.

Aloita siitä, miten liikenne siepataan

Protokollassa on kaksi puoliskoa. Paikallinen komponentti ottaa yhteyden vastaan, salaa virran, joka alkaa kohdeosoitteella, ja lähettää sen etäkomponentille. Etäpuolisko avaa yhteyden kyseiseen kohteeseen ja välittää tavut. UDP noudattaa samaa muotoa datagrammeilla. Tämä on välitystä niille virroille, jotka se nappaa, eikä se kerro mitään virroista, joita se ei nappaa. Sovellus, joka puhuu välityspalvelinta suoraan, on helppo; kaikki muu tarvitsee sovittimen tai reitityssäännöt, jotta se ylipäätään napataan.

Dokumentoi sieppausmenetelmä sovelluskohtaisesti ennen kuin vertailet mitään muuta. Sieppaamaton liikenne lähtee tavallista reittiä, eikä kukaan huomaa sitä ennen kuin jokin palvelu käyttäytyy toisin toimiston ulkopuolella.

Nimeä jokainen kohde ja protokolla

Etäpuoliskon on päästävä jokaiseen sisäiseen palveluun. Toimiva salattu istunto kyseiseen isäntään ei lisää reittiä siitä tietokantaan eikä saa sisäisiä nimiä ratkeamaan asiakkaalla. Listaa osoitteet, portit ja protokollat sen sijaan, että kirjoittaisit lähiverkon olevan mukana.

Lisää tapaukset, jotka rikkovat siistit suunnitelmat: sisäinen DNS, välityspalvelimen asetukset sivuuttavat sovellukset ja jokainen virta, joka on aloitettava palvelimelta asiakasta kohti. Jokainen niistä vaatii nimenomaisen järjestelyn, ei oletusta.

Salaus ei ole valtuutus

Shadowsocksin dokumentoidut AEAD-menetelmät tarjoavat todennetun salauksen, joten koko perheen leimaaminen turvattomaksi on väärin. Yhtä väärin on antaa tämän tosiasian vastata pääsykysymykseen. Jonkun on päätettävä, kuka pääsee mihin palveluun, miten pääsy poistetaan, kun henkilö lähtee, missä salaisuudet säilytetään ja mikä komponentti valvoo rajaa. Yksi jaettu salaisuus antaa jokaiselle haltijalle saman ulottuvuuden, ja yhden henkilön poistuminen muuttuu kaikkien kierrätykseksi.

Aseta nykyinen IPsec-asetelma samaan mittaan. Sen nimiö ei todista sääntöjen olevan oikein, eikä yhden suunnitelman kiillotetun version vertaaminen toisen epämääräiseen versioon ratkaise mitään.

Listaa valvonnat, jotka ovat tänään olemassa molemmilla puolilla, ja arvioi sitten, minkä puutteiden kanssa voit elää.

Laske ylläpitotyö

Jokainen korvaaja tarvitsee omistajan asiakaspaketeille, palvelinpäivityksille, tunnistetietojen kierrätykselle ja vikojen käsittelylle. Huomaa, mitä kukin sovellus tekee, kun tunneli ei ole käytettävissä: epäonnistuu, yrittää uudelleen paikallista reittiä tai odottaa. Tämä käytös tulee käyttöönotosta, ei protokollan nimestä.

Yhdelle verkkosovellukselle kapea välityspalvelin voi riittää. Koko verkon käyttöön henkilökohtaisin oikeuksin lisäosat maksavat yleensä enemmän kuin korvattu tunneli.

Ratkaisu ei ole se, mikä tuote kuulostaa turvallisemmalta. Se on, mikä suunnitelma saa listatut työt valmiiksi valvonnoilla, joita tiimi todella ylläpitää.