Sebelum menggantikan IPsec dengan Shadowsocks, senaraikan kerja yang hilang

Tiga perkhidmatan, satu terowong: aplikasi web, pangkalan data dan perkongsian fail. Seseorang mencadangkan agar IPsec ditukar kepada Shadowsocks kerana lebih mudah dikendalikan. Perdebatan penyulitan yang menyusul terlepas perkara pokok, kerana terowong itu melakukan beberapa kerja serentak dan hanya satu daripadanya berkaitan sifer. Tuliskan kerja-kerja itu sebelum membandingkan produk. Senarainya pendek, dan mana-mana satu perkara boleh membatalkan pertukaran.

Mulakan dengan cara trafik ditangkap

Protokol ini mempunyai dua separuh. Komponen tempatan menerima sambungan, menyulitkan aliran yang bermula dengan alamat destinasi dan menghantarnya kepada komponen jauh. Separuh jauh membuka sambungan ke destinasi itu dan menyampaikan bait. UDP mengikut bentuk yang sama dengan datagram. Ini penghantaran bagi aliran yang ditangkapnya, dan ia tidak berkata apa-apa tentang aliran yang tidak ditangkapnya. Aplikasi yang bercakap proksi secara jelas mudah; semua yang lain memerlukan penyesuai atau peraturan penghalaan untuk ditangkap langsung.

Dokumenkan kaedah tangkapan bagi setiap aplikasi sebelum membandingkan apa-apa lagi. Trafik yang tidak ditangkap keluar melalui laluan biasa, dan tiada siapa menyedarinya sehingga sesuatu perkhidmatan berkelakuan berbeza di luar pejabat.

Namakan setiap destinasi dan protokol

Separuh jauh mesti dapat mencapai setiap perkhidmatan dalaman. Sesi tersulit yang berfungsi ke hos itu tidak menambah laluan daripadanya ke pangkalan data, dan ia tidak menjadikan nama dalaman diselesaikan pada klien. Senaraikan alamat, port dan protokol daripada menulis bahawa LAN termasuk.

Tambahkan kes yang memecahkan reka bentuk kemas: DNS dalaman, aplikasi yang mengabaikan tetapan proksi dan mana-mana aliran yang mesti dimulakan dari pelayan ke arah klien. Setiap satunya memerlukan aturan yang jelas, bukan andaian.

Penyulitan bukan kebenaran

Kaedah AEAD yang didokumenkan dalam Shadowsocks menyediakan penyulitan yang disahkan, jadi menolak seluruh keluarga sebagai tidak selamat adalah salah. Membiarkan fakta itu menjawab soalan akses juga sama salahnya. Seseorang mesti memutuskan siapa mencapai perkhidmatan mana, bagaimana akses ditarik apabila seseorang pergi, di mana rahsia disimpan dan komponen mana yang menguatkuasakan sempadan. Satu rahsia dikongsi memberi setiap pemegang jangkauan yang sama, dan pemergian seorang menjadi putaran bagi semua.

Ukur persediaan IPsec semasa dengan kayu ukur yang sama. Labelnya tidak membuktikan peraturannya betul, dan membandingkan versi kemas satu reka bentuk dengan versi kabur reka bentuk lain tidak menentukan apa-apa.

Senaraikan kawalan yang ada hari ini di kedua-dua pihak, kemudian nilai jurang mana yang anda mampu tanggung.

Kira kerja operasi

Setiap penggantian memerlukan pemilik bagi pakej klien, kemas kini pelayan, putaran kelayakan dan pengendalian kegagalan. Perhatikan apa yang dilakukan setiap aplikasi apabila terowong tidak tersedia: gagal, mencuba semula melalui laluan tempatan, atau menunggu. Tingkah laku itu datang daripada penggunaan, bukan daripada nama protokol.

Untuk satu aplikasi web, proksi sempit mungkin mencukupi. Untuk akses seluruh rangkaian dengan kebenaran setiap orang, bahagian tambahan biasanya lebih mahal daripada terowong yang digantikannya.

Keputusannya bukan produk mana yang kedengaran lebih selamat. Iaitu reka bentuk mana yang menyelesaikan kerja yang disenaraikan dengan kawalan yang pasukan benar-benar akan kekalkan.