IPsec ni Shadowsocks bilan almashtirishdan oldin yo'qoladigan ishlarni sanab chiqing

Uchta xizmat, bitta tunnel: veb-ilova, ma'lumotlar bazasi va fayl almashish. Kimdir IPsec ni Shadowsocks bilan almashtirishni taklif qiladi, chunki uni boshqarish osonroq. Keyingi shifrlash bahsi asosiy narsani o'tkazib yuboradi, chunki tunnel bir vaqtda bir nechta ishni bajaradi va ulardan faqat bittasi shifrlar haqida. Mahsulotlarni solishtirishdan oldin o'sha ishlarni yozib qo'ying. Ro'yxat qisqa, va har qanday bitta band almashtirishni bekor qilishi mumkin.

Trafik qanday tutilishidan boshlang

Protokolning ikki yarmi bor. Mahalliy komponent ulanishni qabul qiladi, manzil bilan boshlanadigan oqimni shifrlaydi va uni uzoq komponentga yuboradi. Uzoq yarmi o'sha manzilga ulanish ochadi va baytlarni uzatadi. UDP datagrammalar bilan xuddi shu shaklga amal qiladi. Bu o'zi tutadigan oqimlar uchun yo'naltirish, va tutmaydigan oqimlar haqida hech narsa demaydi. Proxy bilan ochiq gaplashadigan ilova oson; qolgan hamma narsa tutilishi uchun adapter yoki marshrutlash qoidalari kerak.

Boshqa narsani solishtirishdan oldin har bir ilova uchun tutish usulini hujjatlashtiring. Tutilmagan trafik odatdagi yo'l bilan chiqadi, va ofisdan tashqarida bir xizmat boshqacha tutmaguncha hech kim sezmaydi.

Har bir manzil va protokolni nomlang

Uzoq yarmi har bir ichki xizmatga yetib borishi kerak. O'sha hostga ishlaydigan shifrlangan sessiya undan ma'lumotlar bazasiga marshrut qo'shmaydi va ichki nomlarning klientda hal bo'lishini ta'minlamaydi. LAN kiritilgan deb yozish o'rniga manzillar, portlar va protokollarni sanab chiqing.

Toza loyihalarni buzadigan holatlarni qo'shing: ichki DNS, proxy sozlamalarini e'tiborsiz qoldiradigan ilovalar va serverdan klient tomonga boshlanishi kerak bo'lgan har qanday oqim. Har biriga taxmin emas, aniq kelishuv kerak.

Shifrlash avtorizatsiya emas

Shadowsocks dagi hujjatlashtirilgan AEAD usullari autentifikatsiyalangan shifrlashni taqdim etadi, shuning uchun butun oilani xavfsiz emas deb rad etish xato. Bu faktning kirish savoliga javob berishiga yo'l qo'yish ham shunday xato. Kimdir kim qaysi xizmatga yetib borishini, odam ketganda kirish qanday olib tashlanishini, sirlar qayerda saqlanishini va chegarani qaysi komponent ta'minlashini hal qilishi kerak. Bitta umumiy sir har bir egasiga bir xil qamrov beradi, va bir odamning chiqishi hamma uchun rotatsiyaga aylanadi.

Hozirgi IPsec sozlamasini xuddi shu o'lchov bilan o'lchang. Uning yorlig'i qoidalar to'g'ri ekanini isbotlamaydi, va bir loyihaning sayqallangan versiyasini boshqasining noaniq versiyasi bilan solishtirish hech narsani hal qilmaydi.

Bugun ikkala tomonda mavjud nazoratlarni sanab chiqing, keyin qanday bo'shliqlar bilan yashashingiz mumkinligini baholang.

Ekspluatatsiya ishini sanang

Har bir almashtirish klient paketlari, server yangilanishlari, hisob ma'lumotlari rotatsiyasi va nosozliklarni ko'rib chiqish uchun mas'ul shaxsni talab qiladi. Tunnel mavjud bo'lmaganda har bir ilova nima qilishini kuzating: muvaffaqiyatsiz bo'ladi, mahalliy yo'l bilan qayta urinadi yoki kutadi. Bu xatti-harakat protokol nomidan emas, joylashtirishdan kelib chiqadi.

Bitta veb-ilova uchun tor proxy yetarli bo'lishi mumkin. Har bir shaxs uchun ruxsatlar bilan butun tarmoqqa kirish uchun qo'shimcha qismlar odatda almashtirilgan tunneldan qimmatroq tushadi.

Qaror qaysi mahsulot xavfsizroq eshitilishida emas. Qaror qaysi loyiha sanab o'tilgan ishlarni jamoa haqiqatan saqlab turadigan nazoratlar bilan tugatishida.