Foardat jo IPsec troch Shadowsocks ferfange, listje de ûntbrekkende taken op

Trije tsjinsten, ien tunnel: in webapp, in databank en in dielde map. Immen stelt foar om IPsec foar Shadowsocks te ruiljen, om't it ienfâldiger te behearjen is. It debat oer fersifering dat folget mist it punt, om't de tunnel ferskate taken tagelyk docht en mar ien dêrfan oer syfers giet. Skriuw dy taken op foardat jo produkten fergelykje. De list is koart, en elk item kin de ruil ûnjildich meitsje.

Begjin mei hoe't ferkear opfongen wurdt

It protokol hat twa helten. In lokaal komponint nimt in ferbining oan, fersifere in stream dy't mei it bestimmingsadres begjint, en stjoert dy nei in komponint op ôfstân. De ôfstânshelte iepenet in ferbining nei dat bestimming en stjoert de bytes troch. UDP folget deselde foarm mei datagrammen. Dit is trochstjoering foar de streams dy't it opfangt, en it seit neat oer de streams dy't it net opfangt. In applikaasje dy't in proxy eksplisyt oansprekt, is maklik; al it oare hat in adapter of rûtesregels nedich om hielendal opfongen te wurden.

Dokumintearje de opfangmetoade per applikaasje foardat jo eat oars fergelykje. Net-opfongen ferkear giet oer it gewoane paad fuort, en nimmen merkt it oant in tsjinst bûten kantoar oars docht.

Namelje elk bestimming en protokol

De ôfstânshelte moat elke ynterne tsjinst berikke kinne. In wurkjende fersifere sesje nei dy host foeget gjin rûte fan dêr nei de databank ta, en makket ynterne nammen net oplosber op de klant. List adressen, poarten en protokollen ynstee fan op te skriuwen dat it LAN ynbegrepen is.

Foegje de gefallen ta dy't kreas ûntwerp brekke: ynterne DNS, applikaasjes dy't proxy-ynstellings negearje, en elke stream dy't fan de server nei de klant ta begûn wurde moat. Elk hat in eksplisite regeling nedich, net in oanname.

Fersifering is gjin autorisaasje

De dokumintearre AEAD-metoaden yn Shadowsocks biede autentisearre fersifering, dus de hiele famylje as ûnfeilich ôfwize is ferkeard. Like ferkeard is it om dat feit de tagongsfraach beäntwurdzje te litten. Immen moat beslute wa't hokker tsjinst berikt, hoe't tagong fuorthelle wurdt as in persoan fuortgiet, wêr't geheimen bewarre wurde en hokker komponint de grins hanthavent. Ien dielde geheim jout elke hâlder deselde berik, en it ôfskieden fan ien persoan wurdt in rotaasje foar elkenien.

Hâld de hjoeddeiske IPsec-ynstelling tsjin deselde maatstêf. It label bewiist net dat de regels goed binne, en in poetsbere ferzje fan it iene ûntwerp fergelykje mei in ûndúdlike ferzje fan it oare beslút neat.

List de kontrôles op dy't hjoeddedei oan beide kanten besteane, en beoardielje dan mei hokker gatten jo libje kinne.

Tel it behearwurk

Elke ferfanging hat in eigner nedich foar klantpakketten, serverfernijings, rotaasje fan oanmeldgegevens en it ôfhandeljen fan flaters. Merk op wat elke applikaasje docht as de tunnel net beskikber is: mislearje, opnij besykje oer it lokale paad, of wachtsje. Dat gedrach komt út de útrôl, net út de protokolnamme.

Foar ien webapp kin in smel proxy genôch wêze. Foar tagong ta it hiele netwurk mei rjochten per persoan kostet de ekstra stikken meastentiids mear as de tunnel dy't se ferfongen.

De beslissing is net hokker produkt feiliger klinkt. It is hokker ûntwerp de neamde taken klear makket mei kontrôles dy't it team wier ûnderhâlde sil.