Пре него што замените IPsec Shadowsocks-ом, пописшите послове који недостају

Три услуге, један тунел: веб апликација, база података и дељени фолдер. Неко предлаже да IPsec заменимо Shadowsocks-ом јер га је лакше одржавати. Расправа о шифровању која следи промашује поенту, јер тунел обавља неколико послова одједном и само је један од њих о шифрама. Запишите те послове пре него што почнете да поредите производе. Списак је кратак, а свака појединачна ставка може да поништи замену.

Почните од тога како се саобраћај хвата

Протокол има две половине. Локална компонента прихвата везу, шифрује ток који почиње одредиштем и шаље га удаљеној компоненти. Удаљена половина отвара везу према том одредишту и преноси бајтове. UDP следи исти образац са датаграмима. То је прослеђивање за токове које ухвати, а ништа не говори о токовима које не ухвати. Апликација која експлицитно говори проксију је лака; све остало треба адаптер или правила рутирања да би уопште било ухваћено.

Документујте начин хватања по апликацији пре било каквог даљег поређења. Неухваћен саобраћај излази уобичајеним путем и нико то не примети док се нека услуга изван канцеларије не почне да се понаша другачије.

Именујте свако одредиште и протокол

Удаљена половина мора да дохвати сваку интерну услугу. Исправна шифрована сесија према том хосту не додаје руту од њега до базе података и не омогућава да се интерна имена разреше на клијенту. Пописшите адресе, портове и протоколе уместо да напишете да је LAN укључен.

Додајте случајеве који кваре уредне дизајне: интерни DNS, апликације које игноришу прокси поставке и сваки ток који мора да буде покренут са сервера према клијенту. Сваки од њих тражи изричит договор, а не претпоставку.

Шифровање није ауторизација

Документоване AEAD методе у Shadowsocks-у пружају аутентификовано шифровање, па је погрешно целу породицу одбацити као несигурну. Исто тако је погрешно пустити ту чињеницу да одговори на питање приступа. Неко мора да одлучи ко достиже коју услугу, како се приступ укида кад особа оде, где се чувају тајне и која компонента спроводи границу. Једна заједничка тајна даје сваком власнику исти домет, а одлазак једне особе постаје ротација за све.

Поставите тренутно IPsec окружење пред исти стандард. Његова ознака не доказује да су правила исправна, а поређење углађене верзије једног дизајна са нејасном верзијом другог не одлучује ништа.

Пописшите контроле које данас постоје на обе стране, па процените са којим празнинама можете да живите.

Пребројте оперативни рад

Свака замена треба власника за клијентске пакете, надградње сервера, ротацију акредитива и руковање отказима. Забележите шта свака апликација ради кад тунел није доступан: пада, поново покушава локалним путем или чека. Такво понашање долази из поставке, не из имена протокола.

За једну веб апликацију узак прокси може бити довољан. За приступ целој мрежи са дозволама по особи додатни делови обично стоје више од тунела који су заменили.

Одлука није који производ звучи сигурније. Него који дизајн довршава наведене послове уз контроле које ће тим заиста одржавати.