Trước khi thay IPsec bằng Shadowsocks, hãy liệt kê những việc bị mất

Ba dịch vụ, một đường hầm: một ứng dụng web, một cơ sở dữ liệu và một thư mục chia sẻ. Ai đó đề nghị đổi IPsec sang Shadowsocks vì dễ vận hành hơn. Cuộc tranh luận về mã hóa sau đó bỏ lỡ điểm chính, vì đường hầm đang làm nhiều việc cùng lúc và chỉ một việc liên quan đến mật mã. Hãy ghi những việc đó ra trước khi so sánh sản phẩm. Danh sách ngắn, và bất kỳ mục nào cũng có thể vô hiệu hóa việc thay thế.

Bắt đầu từ cách lưu lượng được bắt

Giao thức có hai nửa. Một thành phần cục bộ nhận kết nối, mã hóa luồng bắt đầu bằng địa chỉ đích và gửi đến một thành phần từ xa. Nửa từ xa mở kết nối tới đích đó và chuyển tiếp các byte. UDP theo cùng hình thức với gói dữ liệu. Đây là chuyển tiếp cho những luồng nó bắt được, và không nói gì về những luồng nó không bắt. Ứng dụng nói chuyện proxy một cách rõ ràng thì dễ; mọi thứ khác cần bộ chuyển đổi hoặc quy tắc định tuyến mới bắt được.

Ghi lại cách bắt cho từng ứng dụng trước khi so sánh bất cứ điều gì khác. Lưu lượng không bị bắt sẽ đi theo đường thông thường, và không ai để ý cho đến khi một dịch vụ hành xử khác đi ở ngoài văn phòng.

Gọi tên từng đích và từng giao thức

Nửa từ xa phải tới được từng dịch vụ nội bộ. Một phiên mã hóa hoạt động tới máy chủ đó không thêm tuyến từ đó tới cơ sở dữ liệu, và không làm tên nội bộ phân giải trên máy khách. Hãy liệt kê địa chỉ, cổng và giao thức thay vì ghi rằng LAN đã được bao gồm.

Thêm những trường hợp phá vỡ thiết kế gọn gàng: DNS nội bộ, ứng dụng bỏ qua thiết lập proxy, và bất kỳ luồng nào phải khởi tạo từ máy chủ về phía máy khách. Mỗi thứ cần một thỏa thuận rõ ràng, không phải giả định.

Mã hóa không phải phân quyền

Các phương thức AEAD được ghi nhận trong Shadowsocks cung cấp mã hóa có xác thực, nên bác bỏ cả họ này là không an toàn thì sai. Để sự thật đó trả lời câu hỏi về truy cập cũng sai như vậy. Ai đó phải quyết định ai tới được dịch vụ nào, quyền truy cập được thu hồi ra sao khi một người rời đi, bí mật được lưu ở đâu và thành phần nào thực thi ranh giới. Một bí mật chia sẻ duy nhất cho mọi người giữ cùng một phạm vi, và việc một người rời đi trở thành một lần xoay vòng cho tất cả.

Đặt cấu hình IPsec hiện tại lên cùng thước đo. Nhãn của nó không chứng minh các quy tắc là đúng, và so sánh một thiết kế được trau chuốt với một phiên bản mơ hồ của thiết kế kia không quyết định được gì.

Liệt kê các kiểm soát đang có ở cả hai phía hôm nay, rồi đánh giá những khoảng trống nào bạn có thể sống chung.

Đếm khối lượng vận hành

Mỗi lần thay thế cần một người chịu trách nhiệm về gói máy khách, cập nhật máy chủ, xoay vòng thông tin đăng nhập và xử lý sự cố. Hãy ghi lại từng ứng dụng làm gì khi đường hầm không sẵn sàng: thất bại, thử lại qua đường cục bộ, hay chờ. Hành vi đó đến từ cách triển khai, không phải từ tên giao thức.

Với một ứng dụng web, một proxy hẹp có thể đủ. Với truy cập toàn mạng kèm quyền theo từng người, các phần thêm thường tốn kém hơn đường hầm mà chúng thay thế.

Quyết định không phải là sản phẩm nào nghe an toàn hơn. Mà là thiết kế nào hoàn thành những việc đã liệt kê với các kiểm soát mà nhóm thực sự sẽ duy trì.