სანამ IPsec-ს Shadowsocks-ით ჩაანაცვლებთ, ჩამოწერეთ დაკარგული სამუშაოები

სამი სერვისი, ერთი გვირაბი: ვებ აპლიკაცია, მონაცემთა ბაზა და ფაილების გაზიარება. ვიღაც გვთავაზობს IPsec-ის Shadowsocks-ით შეცვლას, რადგან უფრო ადვილია მისი მართვა. ამის შემდეგ წამოწყებული დაშიფვრის დებატი არსს კარგავს, რადგან გვირაბი ერთდროულად რამდენიმე საქმეს აკეთებს და მხოლოდ ერთი მათგანია შიფრებზე. ჩამოწერეთ ეს საქმეები პროდუქტების შედარებამდე. სია მოკლეა და ნებისმიერმა ერთმა პუნქტმაც შეიძლება ჩანაცვლება გააუქმოს.

დაიწყეთ იმით, როგორ იჭერს ტრაფიკს

პროტოკოლს ორი ნახევარი აქვს. ლოკალური კომპონენტი იღებს კავშირს, შიფრავს ნაკადს, რომელიც დანიშნულების მისამართით იწყება, და აგზავნის მას დისტანციურ კომპონენტთან. დისტანციური ნახევარი ხსნის კავშირს ამ დანიშნულებასთან და გადასცემს ბაიტებს. UDP იმავე ფორმას მიჰყვება დატაგრამებით. ეს გადაგზავნაა იმ ნაკადებისთვის, რომლებსაც ის იჭერს, და არაფერს ამბობს იმ ნაკადებზე, რომლებსაც არ იჭერს. აპლიკაცია, რომელიც ღიად ესაუბრება პროქსის, მარტივია; დანარჩენ ყველაფერს ადაპტერი ან მარშრუტიზაციის წესები სჭირდება, რომ საერთოდ დაიჭიროს.

ჩაწერეთ დაჭერის მეთოდი თითოეული აპლიკაციისთვის, სანამ რაიმე სხვას შეადარებთ. დაუჭერელი ტრაფიკი ჩვეულებრივი გზით გადის და არავინ ამჩნევს, სანამ რომელიმე სერვისი ოფისის გარეთ სხვაგვარად არ მოიქცევა.

დაასახელეთ ყოველი დანიშნულება და პროტოკოლი

დისტანციურ ნახევარს თითოეულ შიდა სერვისამდე უნდა მიაღწიოს. მუშა დაშიფრული სესია ამ ჰოსტთან არ ამატებს მარშრუტს მისგან მონაცემთა ბაზამდე და არ იწვევს შიდა სახელების გადაწყვეტას კლიენტზე. ჩამოთვალეთ მისამართები, პორტები და პროტოკოლები იმის ნაცვლად, რომ დაწეროთ, თითქოს LAN შედის.

დაამატეთ შემთხვევები, რომლებიც წესიერ დიზაინს ამტვრევს: შიდა DNS, აპლიკაციები, რომლებიც პროქსის პარამეტრებს უგულებელყოფენ, და ნებისმიერი ნაკადი, რომელიც სერვერიდან კლიენტისკენ უნდა დაიწყოს. თითოეულს ცხადი შეთანხმება სჭირდება, არა ვარაუდი.

დაშიფვრა ავტორიზაცია არ არის

Shadowsocks-ში დოკუმენტირებული AEAD მეთოდები ავთენტიფიცირებულ დაშიფვრას იძლევა, ამიტომ მთელი ოჯახის არასაიმედოდ უარყოფა შეცდომაა. ისევე შეცდომაა ამ ფაქტს ხელმისაწვდომობის კითხვაზე პასუხის გაცემის უფლება. ვიღაცამ უნდა გადაწყვიტოს, ვინ რომელ სერვისამდე აღწევს, როგორ იხსნება წვდომა, როცა ადამიანი მიდის, სად ინახება საიდუმლოებები და რომელი კომპონენტი ახორციელებს საზღვარს. ერთი საერთო საიდუმლო ყველა მფლობელს ერთსა და იმავე წვდომას აძლევს და ერთი ადამიანის გაყვანა ყველასთვის როტაციად იქცევა.

მიუსადაგეთ მოქმედი IPsec კონფიგურაცია იმავე საზომს. მისი ეტიკეტი არ ამტკიცებს, რომ წესები სწორია, და ერთი დიზაინის გაპრიალებული ვერსიის შედარება მეორის ბუნდოვან ვერსიასთან ვერაფერს წყვეტს.

ჩამოთვალეთ კონტროლი, რომელიც დღეს ორივე მხარეს არსებობს, და შემდეგ შეაფასეთ, რომელ ხარვეზებთან შეგიძლიათ ცხოვრება.

დაითვალეთ ოპერაციული სამუშაო

ყოველ ჩანაცვლებას სჭირდება პასუხისმგებელი კლიენტის პაკეტებზე, სერვერის განახლებებზე, სერთიფიკატების როტაციასა და ჩავარდნების დამუშავებაზე. დააკვირდით, რას აკეთებს თითოეული აპლიკაცია, როცა გვირაბი მიუწვდომელია: ვარდება, ხელახლა ცდის ლოკალური გზით თუ ელოდება. ეს ქცევა განლაგებიდან მოდის და არა პროტოკოლის სახელიდან.

ერთი ვებ აპლიკაციისთვის ვიწრო პროქსი შეიძლება საკმარისი იყოს. მთელი ქსელის წვდომისთვის, პიროვნულ ნებართვებთან ერთად, დამატებითი ნაწილები ჩვეულებრივ უფრო ძვირია, ვიდრე ჩანაცვლებული გვირაბი.

გადაწყვეტილება არ არის ის, თუ რომელი პროდუქტი უფრო უსაფრთხოდ ჟღერს. ის არის, თუ რომელი დიზაინი ამთავრებს ჩამოთვლილ საქმეებს იმ კონტროლით, რომელსაც გუნდი ნამდვილად შეინარჩუნებს.