Prieš pakeisdami IPsec į Shadowsocks, surašykite trūkstamus darbus

Trys paslaugos, vienas tunelis: žiniatinklio programa, duomenų bazė ir bendrinamas failas. Kažkas siūlo pakeisti IPsec į Shadowsocks, nes jį lengviau prižiūrėti. Po to kylanti šifravimo diskusija nepataiko į esmę, nes tunelis vienu metu atlieka kelis darbus ir tik vienas jų apie šifrus. Surašykite tuos darbus prieš lygindami produktus. Sąrašas trumpas, ir bet kuris punktas gali panaikinti keitimą.

Pradėkite nuo to, kaip srautas pagaunamas

Protokolas turi dvi puses. Vietinė dalis priima ryšį, užšifruoja srautą, kuris prasideda paskirties adresu, ir siunčia jį nuotolinei daliai. Nuotolinė pusė atidaro ryšį su ta paskirtimi ir perduoda baitus. UDP laikosi tos pačios formos su datagramomis. Tai persiuntimas tiems srautams, kuriuos jis pagauna, ir nieko nesako apie srautus, kurių nepagauna. Programa, kuri aiškiai kalba su tarpiniu serveriu, yra lengva; visa kita reikalauja adapterio arba maršrutizavimo taisyklių, kad apskritai būtų pagauta.

Dokumentuokite pagavimo būdą kiekvienai programai prieš lygindami ką nors kita. Nepagautas srautas išeina įprastu keliu, ir niekas to nepastebi, kol kuri nors paslauga ima elgtis kitaip už biuro.

Įvardykite kiekvieną paskirtį ir protokolą

Nuotolinė pusė turi pasiekti kiekvieną vidinę paslaugą. Veikianti užšifruota sesija į tą mazgą neprideda maršruto iš jo į duomenų bazę ir neleidžia vidiniams vardams išsispręsti kliente. Surašykite adresus, prievadus ir protokolus, o ne rašykite, kad LAN įtrauktas.

Pridėkite atvejus, kurie sugriauna tvarkingus projektus: vidinį DNS, programas, kurios nepaiso tarpinio serverio nustatymų, ir bet kurį srautą, kuris turi būti pradėtas iš serverio link kliento. Kiekvienam reikia aiškaus susitarimo, o ne prielaidos.

Šifravimas nėra autorizacija

Dokumentuoti AEAD metodai Shadowsocks suteikia autentifikuotą šifravimą, todėl atmesti visą šeimą kaip nesaugią yra neteisinga. Lygiai taip pat neteisinga leisti tam faktui atsakyti į prieigos klausimą. Kažkas turi nuspręsti, kas pasiekia kurią paslaugą, kaip prieiga atimama, kai žmogus išeina, kur saugomos paslaptys ir kuri dalis užtikrina ribą. Viena bendra paslaptis suteikia kiekvienam turėtojui tą pačią aprėptį, ir vieno žmogaus išėjimas tampa rotacija visiems.

Taikykite dabartinei IPsec konfigūracijai tą patį matą. Jos etiketė neįrodo, kad taisyklės teisingos, o vieno projekto nugludintos versijos lyginimas su kito neaiškia versija nieko nenusprendžia.

Surašykite kontroles, kurios šiandien egzistuoja abiejose pusėse, tada įvertinkite, su kokiomis spragomis galite gyventi.

Suskaičiuokite eksploatavimo darbą

Kiekvienam pakeitimui reikia atsakingo už kliento paketus, serverio atnaujinimus, kredencialų rotaciją ir gedimų tvarkymą. Atkreipkite dėmesį, ką kiekviena programa daro, kai tunelis nepasiekiamas: nepavyksta, bando dar kartą vietiniu keliu arba laukia. Toks elgesys kyla iš diegimo, o ne iš protokolo pavadinimo.

Vienai žiniatinklio programai siauras tarpinis serveris gali pakakti. Viso tinklo prieigai su asmeninėmis teisėmis papildomos dalys paprastai kainuoja daugiau nei pakeistas tunelis.

Sprendimas ne tas, kuris produktas skamba saugiau. O tas, kuris projektas užbaigia išvardytus darbus su kontrolėmis, kurias komanda tikrai prižiūrės.