IPsec-ті Shadowsocks-пен ауыстырмас бұрын жоғалатын жұмыстарды тізіп шығыңыз

Үш қызмет, бір туннель: веб-қолданба, дерекқор және файл алмасу. Біреу IPsec-ті Shadowsocks-қа ауыстыруды ұсынады, өйткені оны басқару оңайырақ. Кейінгі шифрлау дауы негізгі мәселені жіберіп алады, өйткені туннель бір уақытта бірнеше жұмыс атқарады және олардың тек біреуі ғана шифрлар туралы. Өнімдерді салыстырмас бұрын сол жұмыстарды жазып алыңыз. Тізім қысқа, және кез келген бір тармақ ауыстыруды жоққа шығаруы мүмкін.

Трафиктің қалай ұсталатынынан бастаңыз

Хаттаманың екі жартысы бар. Жергілікті компонент қосылымды қабылдайды, межелік мекенжайдан басталатын ағынды шифрлайды және оны қашықтағы компонентке жібереді. Қашықтағы жарты сол межелікке қосылым ашады және байттарды жеткізеді. UDP дерекграммалармен сол пішінді ұстанады. Бұл өзі ұстайтын ағындар үшін қайта жіберу, ал ұстамайтын ағындар туралы ештеңе айтпайды. Проксимен ашық сөйлесетін қолданба оңай; қалғанының бәрі ұсталуы үшін адаптер немесе маршруттау ережелері қажет.

Кез келген нәрсені салыстырмас бұрын әр қолданба бойынша ұстау әдісін құжаттаңыз. Ұсталмаған трафик әдеттегі жолмен шығады, және бір қызмет кеңседен тыс жерде басқаша әрекет етпейінше ешкім байқамайды.

Әр межелікті және хаттаманы атаңыз

Қашықтағы жарты әр ішкі қызметке жете алуы керек. Сол хостқа жұмыс істейтін шифрланған сессия одан дерекқорға маршрут қоспайды және ішкі атаулардың клиентте шешілуін қамтамасыз етпейді. LAN кіреді деп жазуға дейін мекенжайларды, порттарды және хаттамаларды тізіп шығыңыз.

Ұқыпты жобаларды бұзатын жағдайларды қосыңыз: ішкі DNS, прокси параметрлерін елемейтін қолданбалар және серверден клиентке қарай басталуы керек кез келген ағын. Әрқайсысы болжам емес, айқын келісімді талап етеді.

Шифрлау — авторизация емес

Shadowsocks-тағы құжатталған AEAD әдістері аутентификацияланған шифрлауды ұсынады, сондықтан бүкіл отбасын сенімсіз деп теріске шығару қате. Сол фактіге қолжетімділік сұрағына жауап беруге жол беру де сондай қате. Біреу кімнің қай қызметке жететінін, адам кеткенде қолжетімділік қалай алынатынын, құпиялардың қайда сақталатынын және шекараны қай компонент қамтамасыз ететінін шешуі керек. Бір ортақ құпия әр иеленушіге бірдей ауқым береді, ал бір адамды шығару бәрі үшін ротацияға айналады.

Қазіргі IPsec баптауын сол өлшеммен өлшеңіз. Оның атауы ережелердің дұрыстығын дәлелдемейді, ал бір жобаның жылтыратылған нұсқасын екіншісінің бұлыңғыр нұсқасымен салыстыру ештеңе шешпейді.

Бүгін екі жақта бар бақылау шараларын тізіп шығыңыз, содан кейін қандай олқылықтармен өмір сүре алатыныңызды бағалаңыз.

Пайдалану жұмысын санаңыз

Әр ауыстыру клиент бумалары, сервер жаңартулары, тіркелгі деректерінің ротациясы және ақауларды өңдеу үшін жауапты адамды қажет етеді. Туннель қолжетімсіз болғанда әр қолданбаның не істейтінін байқаңыз: сәтсіздікке ұшырайды, жергілікті жолмен қайта әрекет етеді немесе күтеді. Бұл мінез-құлық хаттама атауынан емес, орналастырудан келеді.

Бір веб-қолданба үшін тар прокси жеткілікті болуы мүмкін. Бүкіл желіге жеке рұқсаттармен кіру үшін қосымша бөліктер әдетте орын ауыстырған туннельден қымбатырақ түседі.

Шешім қай өнім қауіпсіздеу естіледі дегенде емес. Шешім қай жоба тізілген жұмыстарды топ шынымен ұстайтын бақылау шараларымен аяқтайтынында.