IPsec'i Shadowsocks ile değiştirmeden önce eksik işleri listeleyin

Üç hizmet, tek tünel: bir web uygulaması, bir veritabanı ve bir dosya paylaşımı. Birisi IPsec'i Shadowsocks ile değiştirmeyi öneriyor çünkü işletmesi daha kolay. Ardından gelen şifreleme tartışması asıl noktayı kaçırıyor, çünkü tünel aynı anda birkaç iş yapıyor ve bunlardan yalnızca biri şifrelerle ilgili. Ürünleri karşılaştırmadan önce bu işleri yazın. Liste kısa ve herhangi bir madde tek başına değişimi geçersiz kılabilir.

Trafiğin nasıl yakalandığıyla başlayın

Protokolün iki yarısı var. Yerel bileşen bir bağlantı kabul eder, hedef adresle başlayan bir akışı şifreler ve uzak bileşene gönderir. Uzak yarı o hedefe bir bağlantı açar ve baytları iletir. UDP de datagramlarla aynı biçimi izler. Bu, yakaladığı akışlar için yönlendirmedir ve yakalamadığı akışlar hakkında hiçbir şey söylemez. Proxy ile açıkça konuşan bir uygulama kolaydır; geri kalan her şeyin yakalanması için bir bağdaştırıcı ya da yönlendirme kuralları gerekir.

Başka herhangi bir şeyi karşılaştırmadan önce her uygulama için yakalama yöntemini belgeleyin. Yakalanmayan trafik olağan yoldan çıkar ve bir hizmet ofis dışında farklı davranana kadar kimse fark etmez.

Her hedefi ve her protokolü adlandırın

Uzak yarı her iç hizmete ulaşabilmelidir. O ana bilgisayara çalışan şifreli bir oturum, oradan veritabanına bir yol eklemez ve iç adların istemcide çözülmesini sağlamaz. LAN dahildir diye yazmak yerine adresleri, bağlantı noktalarını ve protokolleri listeleyin.

Düzenli tasarımları bozan durumları ekleyin: iç DNS, proxy ayarlarını yok sayan uygulamalar ve sunucudan istemciye doğru başlatılması gereken her akış. Her biri varsayım değil, açık bir düzenleme gerektirir.

Şifreleme yetkilendirme değildir

Shadowsocks'taki belgelenmiş AEAD yöntemleri kimliği doğrulanmış şifreleme sağlar, bu yüzden tüm aileyi güvensiz diye reddetmek yanlıştır. Bu gerçeğin erişim sorusunu yanıtlamasına izin vermek de aynı ölçüde yanlıştır. Birisi kimin hangi hizmete ulaştığına, bir kişi ayrıldığında erişimin nasıl kaldırıldığına, sırların nerede saklandığına ve sınırı hangi bileşenin uyguladığına karar vermelidir. Tek bir ortak sır her sahibine aynı kapsamı verir ve bir kişinin ayrılması herkes için bir rotasyona dönüşür.

Mevcut IPsec kurulumunu aynı ölçüye vurun. Etiketi kuralların doğru olduğunu kanıtlamaz ve bir tasarımın cilalı sürümünü diğerinin belirsiz sürümüyle karşılaştırmak hiçbir şeyi belirlemez.

Bugün iki tarafta var olan denetimleri listeleyin, sonra hangi boşluklarla yaşayabileceğinizi değerlendirin.

İşletim işini sayın

Her değişim istemci paketleri, sunucu güncellemeleri, kimlik bilgisi rotasyonu ve arıza yönetimi için bir sahip gerektirir. Tünel kullanılamadığında her uygulamanın ne yaptığını not edin: başarısız olur, yerel yoldan yeniden dener ya da bekler. Bu davranış protokolün adından değil, kurulumdan gelir.

Tek bir web uygulaması için dar bir proxy yeterli olabilir. Her kişiye izinlerle tüm ağa erişim için ek parçalar genellikle yerini aldıkları tünelden daha pahalıdır.

Karar hangi ürünün daha güvenli kulağa geldiği değil. Listelenen işleri ekibin gerçekten sürdüreceği denetimlerle bitiren tasarımın hangisi olduğudur.