Bago palitan ang IPsec ng Shadowsocks, ilista ang mga nawawalang gawain

Tatlong serbisyo, isang lagusan: isang web app, isang database at isang file share. May nagmumungkahi na palitan ang IPsec ng Shadowsocks dahil mas madaling patakbuhin. Ang sumunod na debate tungkol sa encryption ay tumatama sa layo, dahil maraming gawain ang ginagawa ng lagusan nang sabay at isa lang sa mga ito ang tungkol sa cipher. Isulat ang mga gawaing iyon bago ihambing ang mga produkto. Maikli ang listahan, at maaaring ipawalang-bisa ng kahit isang aytem ang palitan.

Magsimula sa kung paano nahuhuli ang trapiko

May dalawang hati ang protocol. Ang lokal na bahagi ay tumatanggap ng koneksyon, nienkrypta ang stream na nagsisimula sa address ng patutunguhan at ipinapadala ito sa malayong bahagi. Binubuksan ng malayong hati ang koneksyon sa patutunguhang iyon at ipinapasa ang mga byte. Sinusundan ng UDP ang parehong hugis gamit ang mga datagram. Ito ay pagpapasa para sa mga daloy na nahuhuli nito, at wala itong sinasabi tungkol sa mga daloy na hindi nahuhuli. Ang app na direktang nagsasalita ng proxy ay madali; ang lahat ng iba ay kailangan ng adapter o mga patakaran sa routing upang mahuli.

Idokumento ang paraan ng paghuli sa bawat app bago ihambing ang anumang iba. Ang trapikong hindi nahuli ay lumalabas sa karaniwang landas, at walang makakapansin hanggang may serbisyong kumilos nang iba sa labas ng opisina.

Pangalanan ang bawat patutunguhan at bawat protocol

Dapat maabot ng malayong hati ang bawat panloob na serbisyo. Ang gumaganang nienkryptang sesyon sa host na iyon ay hindi nagdadagdag ng ruta mula roon patungo sa database, at hindi nito pinapalutas ang mga panloob na pangalan sa kliyente. Ilista ang mga address, port at protocol sa halip na isulat na kasama ang LAN.

Idagdag ang mga kasong sumisira sa maayos na disenyo: panloob na DNS, mga app na binabalewala ang mga setting ng proxy, at anumang daloy na dapat simulan mula sa server patungo sa kliyente. Bawat isa ay nangangailangan ng malinaw na kasunduan, hindi haka-haka.

Ang encryption ay hindi awtorisasyon

Ang mga dokumentadong pamamaraan ng AEAD sa Shadowsocks ay nagbibigay ng awtentikadong encryption, kaya mali ang itakwil ang buong pamilya bilang hindi ligtas. Kung papayagan ang katotohanang iyon na sagutin ang tanong ng access, gayon din ang mali. May kailangang magpasya kung sino ang umaabot sa aling serbisyo, paano tinatanggal ang access kapag umalis ang isang tao, saan itinatago ang mga lihim at aling bahagi ang nagpapatupad ng hangganan. Ang iisang pinagsasaluhang lihim ay nagbibigay sa bawat may hawak ng parehong sakop, at ang pag-alis ng isang tao ay nagiging rotasyon para sa lahat.

Sukatin ang kasalukuyang setup ng IPsec sa parehong panukat. Hindi pinatutunayan ng etiketa nito na tama ang mga patakaran, at ang paghahambing ng makinis na bersyon ng isang disenyo sa malabong bersyon ng isa ay walang pinagpapasyahan.

Ilista ang mga kontrol na umiiral ngayon sa magkabilang panig, pagkatapos hatulan kung aling mga puwang ang kaya mong tiisin.

Bilangin ang gawaing operasyonal

Bawat pagpapalit ay kailangan ng may-ari para sa mga pakete ng kliyente, pag-update ng server, rotasyon ng kredensyal at paghawak ng kabiguan. Pansinin ang ginagawa ng bawat app kapag hindi available ang lagusan: nabibigo, nagtatangka muli sa lokal na landas, o naghihintay. Ang gawi na iyon ay nagmumula sa deployment, hindi sa pangalan ng protocol.

Para sa isang web app, maaaring sapat ang makitid na proxy. Para sa access sa buong network na may pahintulot sa bawat tao, ang mga karagdagang piyesa ay karaniwang mas mahal kaysa sa lagusang pinalitan nila.

Ang desisyon ay hindi kung aling produkto ang mas ligtas pakinggan. Ito ay kung aling disenyo ang tumatapos sa mga nakalistang gawain gamit ang mga kontrol na tunay na pananatilihin ng koponan.