Innan du ersätter IPsec med Shadowsocks, skriv ner uppgifterna som saknas

Tre tjänster, en tunnel: en webbapp, en databas och en filutdelning. Någon föreslår att byta IPsec mot Shadowsocks eftersom det är enklare att drifta. Krypteringsdebatten som följer missar poängen, eftersom tunneln gör flera uppgifter samtidigt och bara en av dem handlar om chiffer. Skriv ner dessa uppgifter innan du jämför produkter. Listan är kort, och varje enskild punkt kan göra bytet ogiltigt.

Börja med hur trafik fångas

Protokollet har två halvor. En lokal komponent tar emot en anslutning, krypterar ett flöde som börjar med måladdressen och skickar det till en avlägsen komponent. Den avlägsna halvan öppnar en anslutning till målet och vidarebefordrar byten. UDP följer samma form med datagram. Detta är vidarebefordran för de flöden den fångar, och det säger ingenting om de flöden den inte fångar. Ett program som talar proxy explicit är enkelt; allt annat behöver en adapter eller routingregler för att fångas över huvud taget.

Dokumentera fångstmetoden per program innan du jämför något annat. Trafik som inte fångas lämnar nätet den vanliga vägen, och ingen märker det förrän en tjänst beter sig annorlunda utanför kontoret.

Namnge varje mål och varje protokoll

Den avlägsna halvan måste kunna nå varje intern tjänst. En fungerande krypterad session till den värden lägger inte till en rutt från den till databasen, och den får inte interna namn att lösas på klienten. Lista adresser, portar och protokoll i stället för att skriva att LAN ingår.

Lägg till fallen som förstör prydliga designer: intern DNS, program som ignorerar proxyinställningar och varje flöde som måste startas från servern mot klienten. Var och en kräver en uttrycklig överenskommelse, inte ett antagande.

Kryptering är inte auktorisering

De dokumenterade AEAD-metoderna i Shadowsocks ger autentiserad kryptering, så det är fel att avfärda hela familjen som osäker. Lika fel är det att låta det faktumet besvara åtkomstfrågan. Någon måste avgöra vem som når vilken tjänst, hur åtkomst dras in när en person slutar, var hemligheter förvaras och vilken komponent som upprätthåller gränsen. En enda delad hemlighet ger varje innehavare samma räckvidd, och en persons avslut blir en rotation för alla.

Håll den nuvarande IPsec-konfigurationen mot samma måttstock. Dess etikett bevisar inte att reglerna är riktiga, och att jämföra en polerad version av den ena designen med en vag version av den andra avgör ingenting.

Lista de kontroller som finns i dag på båda sidor och bedöm sedan vilka luckor du kan leva med.

Räkna driftsarbetet

Varje utbyte behöver en ägare för klientpaket, serveruppdateringar, rotation av inloggningsuppgifter och hantering av fel. Notera vad varje program gör när tunneln inte är tillgänglig: misslyckas, försöker igen via den lokala vägen eller väntar. Det beteendet kommer från driftsättningen, inte från protokollnamnet.

För en webbapp kan en smal proxy räcka. För åtkomst till hela nätet med behörigheter per person kostar delarna extra oftast mer än tunneln de ersatte.

Beslutet är inte vilken produkt som låter säkrare. Det är vilken design som slutför de listade uppgifterna med kontroller som teamet faktiskt kommer att underhålla.