Пред да го замените IPsec со Shadowsocks, запишете ги задачите што се губат

Три услуги, еден тунел: веб-апликација, база на податоци и споделена папка. Некој предлага да се замени IPsec со Shadowsocks, бидејќи е полесно да се одржува. Дебатата за шифрирање што следи ја промашува поентата, бидејќи тунелот извршува неколку задачи истовремено и само една од нив е за шифри. Запишете ги тие задачи пред да споредувате производи. Списокот е краток, и секоја ставка може да ја поништи замената.

Почнете од тоа како се фаќа сообраќајот

Протоколот има две половини. Локална компонента прифаќа врска, шифрира тек што започнува со адресата на одредиштето и го праќа до оддалечена компонента. Оддалечената половина отвора врска до тоа одредиште и ги пренесува бајтите. UDP го следи истиот облик со датаграми. Ова е пренесување за тековите што ги фаќа, и не кажува ништо за тековите што не ги фаќа. Апликација што отворено зборува со прокси е лесна; сѐ друго бара адаптер или правила за рутирање за воопшто да биде фатено.

Документирајте го начинот на фаќање за секоја апликација пред да споредувате што било друго. Нефатениот сообраќај излегува по вообичаениот пат, и никој не го забележува додека некоја услуга не почне да се однесува поинаку надвор од канцеларијата.

Именувајте го секое одредиште и протокол

Оддалечената половина мора да достигне до секоја внатрешна услуга. Работна шифрирана сесија до тој домаќин не додава рута од него до базата на податоци и не прави внатрешните имиња да се решат на клиентот. Наведете адреси, порти и протоколи наместо да напишете дека LAN е вклучен.

Додадете ги случаите што ги кршат уредните дизајни: внатрешен DNS, апликации што ги игнорираат поставките за прокси и секој тек што мора да започне од серверот кон клиентот. Секој од нив бара изречен договор, а не претпоставка.

Шифрирањето не е авторизација

Документираните AEAD методи во Shadowsocks даваат автентифицирано шифрирање, така што отфрлање на целото семејство како небезбедно е погрешно. Исто толку погрешно е да се дозволи тој факт да одговори на прашањето за пристап. Некој мора да одлучи кој достигнува до која услуга, како пристапот се одзема кога човек заминува, каде се чуваат тајните и која компонента ја спроведува границата. Една заедничка тајна му дава на секој сопственик ист дофат, и заминувањето на еден човек станува ротација за сите.

Измерете ја сегашната IPsec поставеност со истата мерка. Нејзината етикета не докажува дека правилата се точни, а споредбата на изгладена верзија на еден дизајн со нејасна верзија на другиот не одлучува ништо.

Наведете ги контролите што постојат денес на двете страни, потоа проценете со кои празнини можете да живеете.

Пребројте ја работата за работење

Секоја замена бара одговорен за клиентските пакети, надградбите на серверот, ротацијата на акредитиви и справувањето со дефекти. Забележете што прави секоја апликација кога тунелот не е достапен: пропаѓа, повторно обидува по локалниот пат или чека. Тоа однесување доаѓа од распоредувањето, не од името на протоколот.

За една веб-апликација тесен прокси можеби е доволен. За пристап до целата мрежа со дозволи по личност, дополнителните делови обично чинат повеќе од заменетиот тунел.

Одлуката не е кој производ звучи побезбедно. Туку кој дизајн ги завршува наведените задачи со контроли што тимот навистина ќе ги одржува.