Նախքան IPsec-ը Shadowsocks-ով փոխարինելը, թվարկեք կորցվող աշխատանքները

Երեք ծառայություն, մեկ թունել՝ վեբ հավելված, տվյալների բազա և ֆայլերի համօգտագործում։ Ինչ-որ մեկը առաջարկում է IPsec-ը փոխարինել Shadowsocks-ով, քանի որ այն ավելի հեշտ է շահագործել։ Դրան հաջորդող գաղտնագրման բանավեճը բաց է թողնում հիմնականը, որովհետև թունելը միաժամանակ մի քանի աշխատանք է կատարում, և դրանցից միայն մեկն է գաղտնագրերի մասին։ Գրի առեք այդ աշխատանքները, նախքան արտադրանքները համեմատելը։ Ցանկը կարճ է, և ցանկացած կետ կարող է չեղարկել փոխարինումը։

Սկսեք նրանից, թե ինչպես է որսվում երթևեկությունը

Արձանագրությունն ունի երկու կես։ Տեղական բաղադրիչը ընդունում է կապ, գաղտնագրում է հոսք, որը սկսվում է նպատակակետի հասցեով, և ուղարկում է այն հեռավոր բաղադրիչին։ Հեռավոր կեսը բացում է կապ այդ նպատակակետի հետ և փոխանցում բայթերը։ UDP-ը հետևում է նույն ձևին տվյալագրամներով։ Սա փոխանցում է այն հոսքերի համար, որոնք այն որսում է, և ոչինչ չի ասում այն հոսքերի մասին, որոնք չի որսում։ Հավելվածը, որը բացահայտ խոսում է փոխարինիչի հետ, հեշտ է, մնացած ամեն ինչին պետք է ադապտեր կամ երթուղավորման կանոններ, որպեսզի այն ընդհանրապես որսվի։

Փաստագրեք որսալու եղանակը յուրաքանչյուր հավելվածի համար, նախքան որևէ այլ բան համեմատելը։ Չորսված երթևեկությունը դուրս է գալիս սովորական ուղով, և ոչ ոք չի նկատում դա, մինչև ծառայությունը գրասենյակից դուրս այլ կերպ չվարվի։

Անվանեք յուրաքանչյուր նպատակակետ և արձանագրություն

Հեռավոր կեսը պետք է հասնի յուրաքանչյուր ներքին ծառայության։ Այդ հոսթին աշխատող գաղտնագրված նստաշրջանը չի ավելացնում երթուղի դրանից դեպի տվյալների բազա, և չի ստիպում ներքին անուններին լուծվել հաճախորդի վրա։ Թվարկեք հասցեները, պորտերը և արձանագրությունները՝ փոխարենը գրելու, որ LAN-ը ներառված է։

Ավելացրեք այն դեպքերը, որոնք կոտրում են կոկիկ նախագծերը՝ ներքին DNS, փոխարինիչի կարգավորումներն անտեսող հավելվածներ, և ցանկացած հոսք, որը պետք է սկսվի սերվերից դեպի հաճախորդ։ Յուրաքանչյուրին պետք է բացահայտ պայմանավորվածություն, ոչ թե ենթադրություն։

Գաղտնագրումը լիազորում չէ

Shadowsocks-ում փաստագրված AEAD մեթոդները տալիս են նույնականացված գաղտնագրում, ուստի ամբողջ ընտանիքը անապահով համարելը սխալ է։ Նույնքան սխալ է թույլ տալ, որ այդ փաստը պատասխանի հասանելիության հարցին։ Ինչ-որ մեկը պետք է որոշի, թե ով որ ծառայությանն է հասնում, ինչպես է հանվում հասանելիությունը, երբ մարդը հեռանում է, որտեղ են պահվում գաղտնիքները, և որ բաղադրիչն է կիրառում սահմանը։ Մեկ ընդհանուր գաղտնիք տալիս է յուրաքանչյուր պահողի նույն հասանելիությունը, և մեկ մարդու դուրս բերելը դառնում է ռոտացիա բոլորի համար։

Ընթացիկ IPsec կարգավորումը դրեք նույն չափանիշի առաջ։ Դրա պիտակը չի ապացուցում, որ կանոնները ճիշտ են, և մի նախագծի հղկված տարբերակը մյուսի աղոտ տարբերակի հետ համեմատելը ոչինչ չի որոշում։

Թվարկեք այն վերահսկիչները, որոնք այսօր կան երկու կողմերում, ապա գնահատեք, թե որ բացերով կարող եք ապրել։

Հաշվեք շահագործման աշխատանքը

Յուրաքանչյուր փոխարինում պահանջում է պատասխանատու հաճախորդի փաթեթների, սերվերի թարմացումների, հավատարմագրերի ռոտացիայի և խափանումների մշակման համար։ Նշեք, թե ինչ է անում յուրաքանչյուր հավելված, երբ թունելը հասանելի չէ՝ ձախողվում է, նորից փորձում տեղական ուղով, թե սպասում։ Այդ վարքը գալիս է տեղակայումից, ոչ թե արձանագրության անունից։

Մեկ վեբ հավելվածի համար նեղ փոխարինիչը կարող է բավարար լինել։ Ամբողջ ցանցի հասանելիության համար՝ յուրաքանչյուր անձի թույլտվություններով, լրացուցիչ մասերը սովորաբար ավելի թանկ են, քան փոխարինված թունելը։

Որոշումը այն չէ, թե որ արտադրանքն է ավելի անվտանգ հնչում։ Այն է, թե որ նախագիծն է ավարտում թվարկված աշխատանքները այնպիսի վերահսկիչներով, որոնք թիմն իսկապես կպահպանի։