Pirms aizstāt IPsec ar Shadowsocks, uzskaitiet trūkstošos darbus

Trīs pakalpojumi, viens tunelis: tīmekļa lietotne, datubāze un koplietots fails. Kāds ierosina nomainīt IPsec uz Shadowsocks, jo to ir vieglāk uzturēt. Sekojošā šifrēšanas debate iet garām būtībai, jo tunelis vienlaikus veic vairākus darbus un tikai viens no tiem ir par šifriem. Pierakstiet šos darbus pirms produktu salīdzināšanas. Saraksts ir īss, un jebkurš punkts var atcelt maiņu.

Sāciet ar to, kā plūsma tiek pārtverta

Protokolam ir divas puses. Vietējā daļa pieņem savienojumu, šifrē plūsmu, kas sākas ar galamērķa adresi, un nosūta to attālinātai daļai. Attālinātā puse atver savienojumu ar šo galamērķi un pārsūta baitus. UDP ievēro to pašu formu ar datagrammām. Tā ir pāradresācija tām plūsmām, ko tas pārtver, un tas neko neizsaka par plūsmām, ko tas nepārtver. Lietotne, kas skaidri runā ar starpniekserveri, ir vienkārša; visam pārējam vajag adapteri vai maršrutēšanas noteikumus, lai to vispār pārtvertu.

Dokumentējiet pārtveršanas metodi katrai lietotnei pirms jebkā cita salīdzināšanas. Nepārtvertā plūsma aiziet pa parasto ceļu, un neviens to nepamana, kamēr kāds pakalpojums ārpus biroja nesāk uzvesties citādi.

Nosauciet katru galamērķi un protokolu

Attālinātajai pusei jāsasniedz katrs iekšējais pakalpojums. Strādājoša šifrēta sesija uz šo resursdatoru nepievieno maršrutu no tā uz datubāzi un neļauj iekšējiem nosaukumiem atrisināties klientā. Uzskaitiet adreses, portus un protokolus, nevis rakstiet, ka LAN ir iekļauts.

Pievienojiet gadījumus, kas sagrauj kārtīgus projektus: iekšējo DNS, lietotnes, kas ignorē starpniekservera iestatījumus, un jebkuru plūsmu, kas jāsāk no servera uz klientu. Katram vajag skaidru vienošanos, nevis pieņēmumu.

Šifrēšana nav autorizācija

Dokumentētās AEAD metodes Shadowsocks nodrošina autentificētu šifrēšanu, tāpēc atteikt visu saimi kā nedrošu ir nepareizi. Tikpat nepareizi ir ļaut šim faktam atbildēt uz piekļuves jautājumu. Kādam jāizlemj, kas sasniedz kuru pakalpojumu, kā piekļuve tiek atņemta, kad cilvēks aiziet, kur glabājas noslēpumi un kura daļa nodrošina robežu. Viens kopīgs noslēpums dod ikvienam turētājam vienādu tvērumu, un viena cilvēka aiziešana kļūst par rotāciju visiem.

Pielīdziniet pašreizējo IPsec konfigurāciju tam pašam mēram. Tās etiķete nepierāda, ka noteikumi ir pareizi, un viena projekta nopulētas versijas salīdzināšana ar otra neskaidro versiju neko neizšķir.

Uzskaitiet kontroles, kas šodien pastāv abās pusēs, un tad spriediet, ar kādām nepilnībām varat sadzīvot.

Saskaitiet ekspluatācijas darbu

Katrai nomaiņai vajag atbildīgo par klienta paketēm, servera atjauninājumiem, akreditācijas datu rotāciju un kļūmju apstrādi. Ievērojiet, ko katra lietotne dara, kad tunelis nav pieejams: nokrīt, mēģina vēlreiz pa vietējo ceļu vai gaida. Šāda uzvedība nāk no izvietošanas, nevis no protokola nosaukuma.

Vienai tīmekļa lietotnei šaurs starpniekserveris var būt pietiekams. Piekļuvei visam tīklam ar atļaujām katram cilvēkam papildu daļas parasti maksā vairāk nekā aizstātais tunelis.

Lēmums nav par to, kurš produkts izklausās drošāk. Tas ir par to, kurš projekts pabeidz uzskaitītos darbus ar kontrolēm, ko komanda patiešām uzturēs.