Preden IPsec zamenjate s Shadowsocksom, zapišite manjkajoča opravila

Tri storitve, en tunel: spletna aplikacija, zbirka podatkov in skupna mapa. Nekdo predlaga zamenjavo IPsec s Shadowsocksom, ker ga je lažje upravljati. Razprava o šifriranju, ki sledi, zgreši bistvo, ker tunel opravlja več nalog hkrati in se le ena od njih nanaša na šifre. Zapišite te naloge, preden primerjate izdelke. Seznam je kratek, in vsaka posamezna postavka lahko zamenjavo razveljavi.

Začnite s tem, kako se promet zajema

Protokol ima dve polovici. Lokalna komponenta sprejme povezavo, šifrira tok, ki se začne z naslovom cilja, in ga pošlje oddaljeni komponenti. Oddaljena polovica odpre povezavo do tega cilja in posreduje bajte. UDP sledi enaki obliki z datagrami. To je posredovanje za tokove, ki jih ujame, in ne pove ničesar o tokovih, ki jih ne ujame. Aplikacija, ki se pogovarja s posrednikom neposredno, je preprosta; vse drugo potrebuje vmesnik ali pravila usmerjanja, da se sploh ujame.

Dokumentirajte način zajemanja za vsako aplikacijo, preden primerjate karkoli drugega. Neujeti promet odide po običajni poti, in nihče tega ne opazi, dokler se neka storitev zunaj pisarne ne začne obnašati drugače.

Poimenujte vsak cilj in vsak protokol

Oddaljena polovica mora doseči vsako notranjo storitev. Delujoča šifrirana seja do tega gostitelja ne doda poti od njega do zbirke podatkov in ne poskrbi, da bi se notranja imena razrešila na odjemalcu. Naštejte naslove, vrata in protokole, namesto da napišete, da je LAN vključen.

Dodajte primere, ki pokvarijo urejene zasnove: notranji DNS, aplikacije, ki ne upoštevajo nastavitev posrednika, in vsak tok, ki ga je treba začeti s strežnika proti odjemalcu. Vsak od njih potrebuje izrecno ureditev, ne predpostavke.

Šifriranje ni avtorizacija

Dokumentirane metode AEAD v Shadowsocksu zagotavljajo overjeno šifriranje, zato je zavrnitev celotne družine kot nezanesljive napačna. Prav tako napačno je pustiti, da to dejstvo odgovori na vprašanje dostopa. Nekdo mora odločiti, kdo doseže katero storitev, kako se dostop odvzame, ko oseba odide, kje se hranijo skrivnosti in katera komponenta uveljavlja mejo. Ena skupna skrivnost da vsakemu imetniku enak doseg, in odhod ene osebe postane rotacija za vse.

Postavite trenutno nastavitev IPsec pred isto merilo. Njena oznaka ne dokazuje, da so pravila pravilna, in primerjava zglajene različice ene zasnove z nejasno različico druge ne odloči ničesar.

Naštejte kontrole, ki danes obstajajo na obeh straneh, in nato presodite, s katerimi vrzelmi lahko živite.

Preštejte obratovalno delo

Vsaka zamenjava potrebuje odgovornega za pakete odjemalca, posodobitve strežnika, rotacijo poverilnic in obravnavo napak. Zabeležite, kaj vsaka aplikacija naredi, ko tunel ni na voljo: odpove, poskusi znova po lokalni poti ali čaka. Tako vedenje izhaja iz uvajanja, ne iz imena protokola.

Za eno spletno aplikacijo lahko ozek posrednik zadostuje. Za dostop do celotnega omrežja s pravicami na osebo dodatni deli običajno stanejo več kot zamenjani tunel.

Odločitev ni, kateri izdelek zveni varneje. Je, katera zasnova dokonča navedene naloge s kontrolami, ki jih bo ekipa res vzdrževala.