Sebelum mengganti IPsec dengan Shadowsocks, daftar pekerjaan yang hilang

Tiga layanan, satu terowongan: aplikasi web, basis data, dan berbagi berkas. Seseorang mengusulkan menukar IPsec dengan Shadowsocks karena lebih mudah dijalankan. Perdebatan enkripsi yang menyusul melewatkan intinya, karena terowongan itu mengerjakan beberapa tugas sekaligus dan hanya satu yang soal sandi. Tuliskan tugas-tugas itu sebelum membandingkan produk. Daftarnya pendek, dan satu butir saja bisa membatalkan pertukaran.

Mulai dari bagaimana lalu lintas ditangkap

Protokolnya punya dua bagian. Komponen lokal menerima koneksi, mengenkripsi aliran yang dimulai dengan alamat tujuan, dan mengirimkannya ke komponen jauh. Bagian jauh membuka koneksi ke tujuan itu dan meneruskan bita. UDP mengikuti bentuk yang sama dengan datagram. Ini penerusan untuk aliran yang ditangkapnya, dan tidak mengatakan apa pun tentang aliran yang tidak ditangkap. Aplikasi yang berbicara proxy secara eksplisit itu mudah; sisanya butuh adaptor atau aturan perutean agar tertangkap sama sekali.

Dokumentasikan cara penangkapan per aplikasi sebelum membandingkan apa pun. Lalu lintas yang tidak tertangkap keluar lewat jalur biasa, dan tidak ada yang menyadarinya sampai sebuah layanan berperilaku berbeda di luar kantor.

Namai setiap tujuan dan protokol

Bagian jauh harus dapat menjangkau setiap layanan internal. Sesi terenkripsi yang berfungsi ke host itu tidak menambahkan rute darinya ke basis data, dan tidak membuat nama internal terurai di klien. Daftar alamat, port, dan protokol, bukan menulis bahwa LAN sudah termasuk.

Tambahkan kasus yang merusak rancangan rapi: DNS internal, aplikasi yang mengabaikan pengaturan proxy, dan aliran apa pun yang harus dimulai dari peladen ke klien. Masing-masing butuh pengaturan tegas, bukan asumsi.

Enkripsi bukan otorisasi

Metode AEAD yang terdokumentasi di Shadowsocks menyediakan enkripsi terautentikasi, jadi menolak seluruh keluarga sebagai tidak aman itu keliru. Membiarkan fakta itu menjawab pertanyaan akses sama kelirunya. Seseorang harus memutuskan siapa menjangkau layanan mana, bagaimana akses dicabut ketika orang keluar, di mana rahasia disimpan, dan komponen mana yang menegakkan batas. Satu rahasia bersama memberi setiap pemegang jangkauan yang sama, dan mengeluarkan satu orang menjadi rotasi bagi semua.

Ukur penyiapan IPsec saat ini dengan tolok ukur yang sama. Labelnya tidak membuktikan aturannya benar, dan membandingkan versi mengilap dari satu rancangan dengan versi kabur dari yang lain tidak memutuskan apa pun.

Daftar kendali yang ada hari ini di kedua sisi, lalu nilai celah mana yang bisa Anda hidupi.

Hitung pekerjaan operasional

Setiap penggantian butuh pemilik untuk paket klien, pembaruan peladen, rotasi kredensial, dan penanganan kegagalan. Perhatikan apa yang dilakukan setiap aplikasi saat terowongan tidak tersedia: gagal, mencoba lagi lewat jalur lokal, atau menunggu. Perilaku itu berasal dari penerapan, bukan dari nama protokol.

Untuk satu aplikasi web, proxy sempit mungkin cukup. Untuk akses seluruh jaringan dengan izin per orang, bagian tambahannya biasanya lebih mahal daripada terowongan yang digantikannya.

Keputusannya bukan produk mana yang terdengar lebih aman. Melainkan rancangan mana yang menyelesaikan pekerjaan yang didaftar dengan kendali yang benar-benar akan dirawat tim.