Ier Dir IPsec duerch Shadowsocks ersetzt, schreift d'fehlend Aufgaben op

Dräi Servicer, een Tunnel: eng Webapp, eng Datebank an eng Dateifreigab. Et gëtt virgeschloen, IPsec géint Shadowsocks z'ersetzen, well dat méi einfach ze bedreiwen ass. D'Verschlësselungsdiskussioun déi duerno kënnt, verfeelt den Punkt, well den Tunnel méi Aufgabe gläichzäiteg mécht an der nëmmen eng vun de Chifferen handelt. Schreift déi Aufgabe virum Verglach vun de Produite op. D'Lëscht ass kuerz, an all eenzelt Punkt kann den Tausch hifälleg maachen.

Fänkt domat un, wéi den Trafic erfaasst gëtt

De Protokoll huet zwou Halschent. Eng lokal Komponent hëlt eng Verbindung un, verschlësselt en Stroum, deen mat der Ziladress ufänkt, a schéckt en un eng distanzéiert Komponent. D'distanzéiert Hallschent mécht eng Verbindung op dat Zil op an iwwerdréit d'Byten. UDP verfollegt déi selwecht Form mat Datagrammen. Dat ass Weiderleedung fir d'Stroum, déi en erfaasst, an et seet näischt iwwer d'Stroum, déi en net erfaasst. Eng Applikatioun, déi e Proxy explizit uschwätzt, ass einfach; alles anescht brauch en Adapter oder Routingregelen, fir iwwerhaapt erfaasst ze ginn.

Dokumentéiert d'Erfaassungsmethod pro Applikatioun, ier Dir eppes anescht vergläicht. Net erfaassten Trafic verléisst de Wee wéi gewinnt, an et mierkt keen et, bis e Service baussent dem Büro anescht behält.

Nennt all Zil an all Protokoll

D'distanzéiert Hallschent muss all internen Service erreechen. Eng funktionéierend verschlësselt Sessioun op dee Host füügt keng Route vun him op d'Datebank bäi, an et mécht och keng intern Nimm um Client op. Lëscht Adressen, Porten a Protokoller op, amplaz ze schreiwen, datt de LAN dobäi ass.

Füügt d'Fäll bäi, déi uerdentlech Designen zerbriechen: intern DNS, Applikatiounen, déi Proxy-Astellungen ignoréieren, an all Stroum, dee vum Server a Richtung Client muss ugefaange ginn. All eenzelt brauch eng explizit Regelung, net eng Unhuel.

Verschlësselung ass keng Autorisatioun

Déi dokumentéiert AEAD-Methoden an Shadowsocks bidden authentifizéiert Verschlësselung, dofir ass et falsch, déi ganz Famill als onsécher ofzeschreigen. Genee sou falsch ass et, dës Tatsaach d'Access-Fro beäntwerten ze loossen. Een muss entscheeden, wien op wéi e Service kënnt, wéi den Access ewechgeholl gëtt, wann eng Persoun geet, wou Geheimnisser versuergt ginn a wéi eng Komponent d'Grenz duerchsetzt. Een eenzegt gedeelt Geheimniss gëtt all Besëtzer déiselwecht Spann, an den Austrëtt vun enger Persoun gëtt eng Rotatioun fir alleequen.

Hält déi aktuell IPsec-Konfiguratioun un déiselwecht Mooss. Seng Etikett beweise net, datt seng Regele richteg sinn, an eng poléiert Versioun vun engem Design mat enger vag Versioun vum aneren ze vergläichen entscheet näischt.

Lëscht d'Kontrollen op, déi et haut op béide Säiten ginn, an beurteelt dann, mat wéi engen Eechen Dir kënnt liewen.

Zielt d'Betribsaarbecht

All Ersatz brauch en Eegentümer fir Clientpaketen, Serverupdaten, d'Rotatioun vun Umeldungsdaten an d'Behandele vu Feeler. Notéiert, wat all Applikatioun mécht, wann den Tunnel net disponibel ass: et feelt, et probéiert nach eng Kéier iwwer de lokale Wee oder et waart. Dat Verhalen kënnt aus der Ausrollung, net aus dem Numm vum Protokoll.

Fir eng Webapp kann en enke Proxy genuch sinn. Fir den Access op dat ganzt Netzwierk mat Rechter pro Persoun kaschten déi zousätzlech Deeler meeschtens méi wéi den Tunnel, deen se ersat hunn.

D'Entscheedung ass net, wéi ee Produit méi sécher kléngt. Si ass, wéi ee Design déi opgelëscht Aufgabe mat Kontrollen ofschléisst, déi d'Team wierklech wäert ënnerhalen.