Prije nego IPsec zamijenite Shadowsocksom, popišite poslove koji nedostaju

Tri usluge, jedan tunel: web aplikacija, baza podataka i dijeljena mapa. Netko predlaže zamjenu IPsec-a Shadowsocksom jer ga je lakše održavati. Rasprava o enkripciji koja slijedi promašuje poantu, jer tunel obavlja nekoliko poslova odjednom i samo je jedan od njih o šiframa. Zapišite te poslove prije nego počnete uspoređivati proizvode. Popis je kratak, a svaka pojedina stavka može poništiti zamjenu.

Počnite od toga kako se promet hvata

Protokol ima dvije polovice. Lokalna komponenta prihvaća vezu, šifrira tok koji počinje odredištem i šalje ga udaljenoj komponenti. Udaljena polovica otvara vezu prema tom odredištu i prenosi bajtove. UDP slijedi isti obrazac s datagramima. To je prosljeđivanje za tokove koje uhvati, a ništa ne govori o tokovima koje ne uhvati. Aplikacija koja eksplicitno govori proxyju je laka; sve ostalo treba adapter ili pravila usmjeravanja da bi uopće bilo uhvaćeno.

Dokumentirajte način hvatanja po aplikaciji prije bilo kakve daljnje usporedbe. Neuhvaćen promet izlazi uobičajenim putem i nitko to ne primijeti dok se neka usluga izvan ureda ne počne ponašati drukčije.

Imenujte svako odredište i protokol

Udaljena polovica mora moći dosegnuti svaku internu uslugu. Ispravna šifrirana sesija prema tom hostu ne dodaje rutu od njega do baze podataka i ne omogućuje da se interna imena razriješe na klijentu. Popišite adrese, portove i protokole umjesto da napišete da je LAN uključen.

Dodajte slučajeve koji kvare uredne dizajne: interni DNS, aplikacije koje ignoriraju proxy postavke i svaki tok koji mora biti pokrenut s poslužitelja prema klijentu. Svaki od njih traži izričit dogovor, a ne pretpostavku.

Enkripcija nije autorizacija

Dokumentirane AEAD metode u Shadowsocksu pružaju autentificiranu enkripciju, pa je pogrešno cijelu porodicu odbaciti kao nesigurnu. Jednako je pogrešno pustiti tu činjenicu da odgovori na pitanje pristupa. Netko mora odlučiti tko doseže koju uslugu, kako se pristup ukida kad osoba ode, gdje se čuvaju tajne i koja komponenta provodi granicu. Jedna zajednička tajna daje svakom vlasniku isti doseg, a odlazak jedne osobe postaje rotacija za sve.

Postavite trenutno IPsec okruženje pred isti standard. Njegova oznaka ne dokazuje da su pravila ispravna, a usporedba uglađene verzije jednog dizajna s nejasnom verzijom drugog ne odlučuje ništa.

Popišite kontrole koje danas postoje na obje strane, pa procijenite s kojim prazninama možete živjeti.

Prebrojite operativni rad

Svaka zamjena treba vlasnika za klijentske pakete, nadogradnje poslužitelja, rotaciju vjerodajnica i rukovanje otkazima. Zabilježite što svaka aplikacija radi kad tunel nije dostupan: pada, ponovno pokušava lokalnim putem ili čeka. Takvo ponašanje dolazi iz postave, ne iz imena protokola.

Za jednu web aplikaciju uzak proxy može biti dovoljan. Za pristup cijeloj mreži s dozvolama po osobi dodatni dijelovi obično stoje više od tunela koji su zamijenili.

Odluka nije koji proizvod zvuči sigurnije. Nego koji dizajn dovršava navedene poslove uz kontrole koje će tim zaista održavati.