Nextcloud net via VPN: inventariseer eers elke toegang

'n Nextcloud-plan wat net op VPN staatmaak, misluk wanneer dit die blaaier beskerm en die sinchroniseerkliënt vergeet. Die webblad, die lessenaar-sinchroniseerder, mobiele oplaaiings, WebDAV-gereedskap en ontvangers van gedeelde skakels het almal 'n pad na dieselfde diens nodig, en elkeen kan 'n ander ingang blootlê. Maak 'n lys daarvan voordat jy enigiets sluit. Daardie lys is die werklike grens.

Werk die kontrolelys in volgorde deur. Die eerste item bepaal wat privaat vir hierdie ontplooiing beteken; die latere items toets of die ontplooiing werklik by daardie definisie pas.

Bepaal eers wat privaat is voordat jy die grens verander

Skryf die vereiste in een sin neer: elke gebruiker moet by die VPN aansluit voordat hy die toepassing bereik, of die toepassing kan publiek bly terwyl sy oorsprong privaat bly. Dit is twee verskillende ontwerpe, en 'n publieke omgekeerde proxy wat in 'n private tonnel in stuur, voldoen net aan die tweede.

'n Private backend-adres maak nie die toepassing privaat nie. As 'n publieke kartering, 'n tweede gasheernaam of 'n IPv6-luisteraar steeds dieselfde Nextcloud-instansie bereik, bestaan die ingang ongeag waar die backend sit. Toets elke naam van buite voordat jy die diens privaat verklaar. 'n Ontbrekende DNS-rekord is nie dieselfde as 'n geslote poort nie.

Kom ook oor die beoogde gehoor ooreen: werknemers, 'n huishouding, 'n vennootorganisasie of 'n subset rekeninge. Die antwoord bepaal of 'n publieke deelskakel 'n kenmerk of 'n teenstrydigheid is. Skryf daardie gehoor in die toegangsplan. Dit is die toets vir elke uitsondering wat volg.

Inventariseer elke ingang en elke naam

Lys publieke adreskarterings, omgekeerde proxies, alternatiewe gasheername, IPv6-luisteraars en enige tonnel- of maasadres wat die diens bereik. Sluit die name in wat na daardie adresse wys, want 'n vergete DNS-rekord is 'n ingang met 'n vriendelike etiket.

Kontroleer die proxy-konfigurasie vir deurgestuurde koptekste en alternatiewe bedienerblokke. 'n Proxy wat vir 'n ander toepassing bygevoeg is, kan dieselfde opstroom per pad of deur 'n oorblywende virtuele gasheer blootlê. Lees die werklike konfigurasie eerder as die beoogde diagram. Dié twee wyk die meeste af nadat 'n toepassing geskuif is.

Blokkeer dan die ingange wat jy nie gekies het nie. 'n Private backend met 'n publieke frontent is nie 'n ontwerp vir net VPN nie, en 'n vuurmuurreël wat net IPv4 dek, laat die IPv6-luisteraar oop. Sluit beide families en beide name in dieselfde verandering.

Gee elke kliënt een diensnaam

Wys private DNS na die diens, lei daardie naam deur die VPN en reik die sertifikaat daarvoor uit. Die naam moet deur die private pad opgelos word en sonder 'n waarskuwing valideer. 'n Kliënt wat die IP direk bereik, het steeds die naam nodig om te werk.

Kliënte wat via 'n onverwante IP-adres verbind, moet nie sertifikaatfoute hoef weg te klik om die ontwerp te laat werk nie. 'n Stabiele naam verhoed ook dat sinchroniseerkliënte duplikaat-bedienerinskrywings skep wanneer 'n adres verander. Dit is die verskil tussen 'n private diens en 'n private IP.

Hou sertifikaatvalidasie geaktiveer. 'n Private netwerk verminder blootstelling, maar maak 'n ongevalideerde TLS-verbinding nie aanvaarbaar nie, en 'n kliënt wat geleer is om waarskuwings te ignoreer, sal dit ook op ander netwerke ignoreer.

Beperk netwerktoegang, nie die hele LAN nie

Laat ingeskrewe gebruikers toe om die Nextcloud-diens en sy nodige afhanklikhede te bereik, en hou bedieneradministrasie op 'n aparte pad. 'n VPN wat laat 'n kliënt tot die hele huis- of kantoornetwerk toe gee daardie kliënt baie meer as wat die toepassing vereis.

Toelating tot die VPN vervang nie Nextcloud-rekeninge, toestemmings of bykomende verifikasie nie. Die toepassing besluit steeds watter gebruiker watter lêer mag lees, en die netwerklaag moet nie die enigste beheer wees nie.

Teken die goedgekeurde bronreeks en die dienspoorte aan. Die eienaar van die teiken het die waargeneemde bron nodig, en 'n NAT of proxy kan dit herskryf voordat die versoek die toepassing bereik.

Hersien elke werkvloei buite die blaaier

Lessenaar-sinchronisering en mobiele oplaaiings maak hul eie verbindings op hul eie tye oop. Hulle het die goedgekeurde private pad nodig wanneer hulle verbind, en hulle kan anders optree wanneer die VPN afwesig is: herprobeer, pouseer of 'n fout wys. Toets elkeen, nie net die blaaier nie.

WebDAV-gereedskap en kalender- of kontakkliënte is aparte integrasies met hul eie konfigurasie. 'n Kliënt wat 'n publieke URL kas, bly daardie URL probeer nadat die grens verander het, en die fout lyk soos 'n toepassingsprobleem.

Gedeelde skakels verdien 'n uitdruklike besluit. 'n Skakel gee nie aan die ontvanger VPN-toegang nie, so in 'n werklik ontwerp vir net VPN kan 'n buitestaander-ontvanger dit nie gebruik nie, selfs al is die skakel geldig. As deel na buite vereis word, is dit 'n doelbewuste uitsondering met sy eie toegangspad, nie 'n oorsig om later te ontdek nie.

Federasie en bediener-tot-bediener-integrasies het dieselfde behandeling nodig. Dit is bereikbaarheidsverhoudings tussen installasies, en 'n suiwer private ontplooiing moet sê of hulle ondersteun word.

Aanvaar beide die toegelate en die geweierde geval

Kontroleer vanaf 'n goedgekeurde kliënt die webkoppelvlak en 'n gewone lêeroplaai of -aflaai. Kontroleer dan 'n sinchroniseerkliënt en een werkvloei buite die blaaier. Sukses net in die blaaier is nie aanvaarding nie.

Bevestig vanaf 'n nie-goedgekeurde pad dat die toepassing deur elke ingang op die inventaris onbereikbaar is. Toets die alternatiewe gasheernaam en die IPv6-adres, nie net die primêre URL nie.

Hersien laastens die toepassing se instellings wat maklik met netwerkbeleid verwar word. trusted_domains lys name wat die instansie aanvaar; dit is nie 'n toelatingslys vir kliënt-IP's nie. As 'n omgekeerde proxy adresinligting verskaf, trusted_proxies moet die werklike proxy noem, en deurgestuurde koptekste moet net van hom aanvaar word.

Gaan voort met die gewone verhardingswerk saam met die netwerkverandering: hou data en rugsteune uit onbedoelde webpaaie, werk die toepassing op, beskerm administrateurtoegang en hou herstel bruikbaar. 'n VPN verwyder 'n ingangsoppervlak; dit maak nie 'n ingeskrewe kliënt betroubaar nie.