Përpara se të zëvendësoni IPsec me Shadowsocks, shënoni punët që mungojnë

Tre shërbime, një tunel: një aplikacion web, një bazë të dhënash dhe një ndarje skedarësh. Dikush propozon të ndërrohet IPsec me Shadowsocks, sepse është më i thjeshtë për t'u operuar. Debatimi për kriptimin që vjen më pas humb thelbin, sepse tuneli kryen disa punë njëherësh dhe vetëm njëra prej tyre ka të bëjë me shifrat. Shënoni ato punë përpara se të krahasoni produkte. Lista është e shkurtër, dhe çdo zë i vetëm mund ta anulojë ndryshimin.

Filloni me mënyrën se si kapet trafiku

Protokolli ka dy gjysma. Një komponent lokal pranon një lidhje, kripton një rrjedhë që fillon me adresën e destinacionit dhe e dërgon te një komponent i largët. Gjysma e largët hap një lidhje drejt atij destinacioni dhe përcjell bajtët. UDP ndjek të njëjtën formë me datagrame. Kjo është përcjellje për rrjedhat që kap, dhe nuk thotë asgjë për rrjedhat që nuk i kap. Një aplikacion që flet haptazi me një proxy është i lehtë; gjithçka tjetër kërkon një përshtatës ose rregulla rrugëtimi që të kapet fare.

Dokumentoni metodën e kapjes për çdo aplikacion përpara se të krahasoni çdo gjë tjetër. Trafiku i pakapur del nga rruga e zakonshme, dhe askush nuk e vë re derisa një shërbim të sillet ndryshe jashtë zyrës.

Emërtoni çdo destinacion dhe çdo protokoll

Gjysma e largët duhet të arrijë çdo shërbim të brendshëm. Një sesion i kriptuar që funksionon drejt atij hosti nuk shton një rrugë prej tij drejt bazës së të dhënave, dhe nuk bën që emrat e brendshëm të zgjidhen në klient. Listoni adresa, porta dhe protokolle në vend që të shkruani se LAN është i përfshirë.

Shtoni rastet që prishin projektet e rregullta: DNS i brendshëm, aplikacione që injorojnë cilësimet e proxy-t dhe çdo rrjedhë që duhet të nisë nga serveri drejt klientit. Secili kërkon një marrëveshje të qartë, jo një supozim.

Kriptimi nuk është autorizim

Metodat AEAD të dokumentuara në Shadowsocks ofrojnë kriptim të vërtetuar, prandaj refuzimi i të gjithë familjes si e pasigurt është i gabuar. Po aq i gabuar është të lejohet ai fakt të përgjigjet për pyetjen e aksesit. Dikush duhet të vendosë kush arrin në cilin shërbim, si hiqet aksesi kur një person largohet, ku ruhen sekretet dhe cili komponent zbaton kufirin. Një sekret i vetëm i përbashkët i jep çdo mbajtësi të njëjtën shtrirje, dhe largimi i një personi bëhet rotacion për të gjithë.

Vendosni konfigurimin aktual të IPsec përballë të njëjtit standard. Etiketa e tij nuk provon se rregullat janë të sakta, dhe krahasimi i një versioni të lustruar të një projekti me një version të mjegullt të tjetrit nuk vendos asgjë.

Listoni kontrollet që ekzistojnë sot në të dyja anët, dhe më pas gjykoni me cilat boshllëqe mund të jetoni.

Numëroni punën operuese

Çdo zëvendësim kërkon një përgjegjës për paketat e klientit, përditësimet e serverit, rotacionin e kredencialeve dhe trajtimin e dështimeve. Vini re çfarë bën çdo aplikacion kur tuneli nuk është i disponueshëm: dështon, provon përsëri në rrugën lokale, ose pret. Kjo sjellje vjen nga vendosja, jo nga emri i protokollit.

Për një aplikacion web, një proxy i ngushtë mund të mjaftojë. Për akses në të gjithë rrjetin me leje për person, pjesët shtesë zakonisht kushtojnë më shumë sesa tuneli që zëvendësuan.

Vendimi nuk është cili produkt tingëllon më i sigurt. Është cili projekt i përfundon punët e listuara me kontrolle që ekipi do t'i mirëmbajë vërtet.