Før du byter ut IPsec med Shadowsocks, skriv ned oppgåvene som manglar

Tre tenester, éin tunnel: ein webapp, ein database og ei fildeling. Nokon føreslår å byta IPsec mot Shadowsocks fordi det er enklare å driva. Krypteringsdebatten som kjem etterpå bommar på poenget, fordi tunnelen gjer fleire oppgåver samstundes og berre éi av dei handlar om chiffre. Skriv ned desse oppgåvene før du samanliknar produkt. Lista er kort, og eit kvart einskilt punkt kan gjera bytet ugyldig.

Byrja med korleis trafikk blir fanga

Protokollen har to halvdelar. Ein lokal komponent tek imot ei tilkopling, krypterer ein straum som byrjar med måladdressa og sender han til ein ekstern komponent. Den eksterne halvdelen opnar ei tilkopling til målet og sender vidare byta. UDP følgjer same forma med datagram. Dette er vidaresending for straumane han fangar, og det seier ingenting om straumane han ikkje fangar. Eit program som snakkar proxy eksplisitt er enkelt; alt anna treng ein adapter eller rutereglar for å bli fanga i det heile.

Dokumenter fangstmetoden per program før du samanliknar noko anna. Trafikk som ikkje blir fanga, går ut den vanlege vegen, og ingen merkar det før ei teneste oppfører seg annleis utanfor kontoret.

Namngi kvart mål og kvar protokoll

Den eksterne halvdelen må kunne nå kvar intern teneste. Ein fungerande kryptert sesjon til den verten legg ikkje til ei rute frå han til databasen, og han får ikkje interne namn til å løysast på klienten. List opp adresser, portar og protokollar i staden for å skriva at LAN er inkludert.

Legg til tilfella som øydelegg ryddige design: intern DNS, program som ignorerer proxyinnstillingar, og ein kvar straum som må startast frå serveren mot klienten. Kvar av dei krev ein uttrykkeleg avtale, ikkje ei anteking.

Kryptering er ikkje autorisasjon

Dei dokumenterte AEAD-metodane i Shadowsocks gir autentisert kryptering, så det er feil å avvisa heile familien som usikker. Like feil er det å la det faktumet svara på tilgangsspørsmålet. Nokon må avgjera kven som når kva teneste, korleis tilgang blir fjerna når ein person sluttar, kvar løyndomar blir oppbevarte og kva komponent som handhevar grensa. Éin felles løyndom gir kvar innehavar same rekkjevidd, og utrulling av éin person blir ein rotasjon for alle.

Hald det noverande IPsec-oppsettet opp mot same standard. Etiketten beviser ikkje at reglane er riktige, og å samanlikna ein polert versjon av det eine designet med ein vag versjon av det andre avgjer ingenting.

List opp kontrollane som finst i dag på begge sider, og vurder deretter kva hol du kan leva med.

Tel driftsarbeidet

Kvar erstatning treng ein eigar for klientpakkar, serveroppdateringar, rotasjon av påloggingsinformasjon og handtering av feil. Legg merke til kva kvart program gjer når tunnelen ikkje er tilgjengeleg: feilar, prøver på nytt via den lokale vegen eller ventar. Den åtferda kjem frå utrullinga, ikkje frå protokollnamnet.

For éin webapp kan ein smal proxy vera nok. For tilgang til heile nettet med rettar per person kostar dei ekstra delane som regel meir enn tunnelen dei erstatta.

Avgjerda er ikkje kva produkt som høyrest tryggare ut. Ho er kva design som fullfører dei lista oppgåvene med kontrollar teamet faktisk vil vedlikehalda.