Nextcloud عبر VPN فقط: اجرد كل مدخل أولاً

تفشل خطة Nextcloud عبر VPN فقط عندما تحمي المتصفح وتنسى عميل المزامنة. صفحة الويب ومحرك المزامنة على سطح المكتب والتحميلات من الهاتف وأدوات WebDAV ومستلمو الروابط المشتركة كلهم يحتاجون مساراً إلى الخدمة نفسها، وكل واحد منهم قد يكشف مدخلاً مختلفاً. اجردها قبل إغلاق أي شيء. تلك القائمة هي المحيط الحقيقي.

اتبع قائمة التحقق بالترتيب. يحدد البند الأول معنى خاص لهذا النشر؛ وتختبر البنود اللاحقة ما إذا كان النشر يطابق ذلك التعريف فعلاً.

حدد الخاص قبل تغيير المحيط

اكتب المتطلب في جملة واحدة: يجب أن ينضم كل مستخدم إلى VPN قبل الوصول إلى التطبيق، أو يمكن أن يبقى التطبيق عاماً بينما يظل أصله خاصاً. هذان تصميمان مختلفان، والوسيط العكسي العام الذي يمرر إلى نفق خاص يحقق الثاني فقط.

عنوان backend خاص لا يجعل التطبيق خاصاً. إذا كانت خريطة عامة أو اسم مضيف ثانٍ أو مستمع IPv6 لا يزال يصل إلى نسخة Nextcloud نفسها، فالمدخل موجود بغض النظر عن مكان backend. اختبر كل اسم من الخارج قبل إعلان الخدمة خاصة. سجل DNS مفقود ليس مثل منفذ مغلق.

اتفق أيضاً على الجمهور المقصود: الموظفون أو أسرة أو منظمة شريكة أو مجموعة فرعية من الحسابات. يحدد الجواب ما إذا كان رابط المشاركة العام ميزة أم تناقضاً. اكتب ذلك الجمهور في خطة الوصول. إنه الاختبار لكل استثناء يلي.

اجرد كل مدخل وكل اسم

اسرد خرائط العناوين العامة والوسطاء العكسيين وأسماء المضيف البديلة ومستمعي IPv6 وأي عنوان نفق أو شبكة يصل إلى الخدمة. أدرج الأسماء التي تُحل إلى تلك العناوين، لأن سجل DNS منسياً هو مدخل بتسمية ودودة.

افحص إعدادات الوسيط بحثاً عن الترويسات المعاد توجيهها وكتل الخادم البديلة. الوسيط المضاف لتطبيق آخر قد يكشف نفس upstream عبر مسار أو مضيف افتراضي متبقٍ. اقرأ الإعدادات الفعلية لا المخطط المقصود. الاثنان يختلفان أكثر ما يختلفان بعد نقل التطبيق.

ثم احظر المداخل التي لم تخترها. backend خاص بواجهة أمامية عامة ليس تصميماً عبر VPN فقط، وقاعدة جدار حماية تغطي IPv4 فقط تترك مستمع IPv6 مفتوحاً. أغلق العائلتين والاسمين في التغيير نفسه.

أعط كل عميل اسم خدمة واحداً

وجّه DNS الخاص إلى الخدمة، ومرر ذلك الاسم عبر VPN، وأصدر الشهادة له. يجب أن يُحل الاسم عبر المسار الخاص وأن يُتحقق منه دون تحذير. العميل الذي يصل إلى IP مباشرة لا يزال يحتاج إلى اسم يعمل.

العملاء الذين يتصلون عبر عنوان IP غير مرتبط لا ينبغي أن يضطروا إلى تجاهل أخطاء الشهادة لكي يعمل التصميم. الاسم المستقر يمنع أيضاً عملاء المزامنة من إنشاء إدخالات خادم مكررة عند تغير العنوان. هذا هو الفرق بين خدمة خاصة وعنوان IP خاص.

أبقِ التحقق من الشهادات مفعلاً. الشبكة الخاصة تقلل التعرض لكنها لا تجعل اتصال TLS غير مُتحقق منه مقبولاً، والعميل المعتاد على تجاهل التحذيرات سيتجاهلها في الشبكات الأخرى أيضاً.

حدد نطاق الوصول إلى الشبكة، لا الشبكة المحلية بأكملها

اسمح للمستخدمين المسجلين بالوصول إلى خدمة Nextcloud وتبعياتها اللازمة، وأبقِ إدارة الخادم على مسار منفصل. VPN يسمح لعميل بالدخول إلى شبكة المنزل أو المكتب بأكملها يمنح ذلك العميل أكثر بكثير مما يتطلبه التطبيق.

الدخول إلى VPN لا يحل محل حسابات Nextcloud أو أذوناتها أو المصادقة الإضافية. لا يزال التطبيق يقرر أي مستخدم يمكنه قراءة أي ملف، وينبغي ألا تكون طبقة الشبكة الضابط الوحيد.

سجل نطاق المصدر المعتمد ومنافذ الخدمة. يحتاج مالك الهدف إلى المصدر المرصود، وقد يعيد NAT أو الوسيط كتابته قبل وصول الطلب إلى التطبيق.

راجع كل سير عمل خارج المتصفح

تفتح المزامنة على سطح المكتب والتحميلات من الهاتف اتصالاتها في أوقاتها. تحتاج إلى المسار الخاص المعتمد عند الاتصال، وقد تتصرف بشكل مختلف عند غياب VPN: إعادة المحاولة أو الإيقاف المؤقت أو إظهار خطأ. اختبر كل واحد، لا المتصفح فقط.

أدوات WebDAV وعملاء التقويم أو جهات الاتصال تكاملات منفصلة بإعداداتها الخاصة. العميل الذي يخزن URL عاماً في الذاكرة المؤقتة يواصل محاولة ذلك URL بعد تغيير المحيط، ويبدو الفشل كمشكلة تطبيق.

تستحق الروابط المشتركة قراراً صريحاً. الرابط لا يمنح مستلمه وصولاً إلى VPN، لذلك في تصميم عبر VPN فقط حقاً لا يمكن لمستلم خارجي استخدامه حتى لو كان الرابط صالحاً. إذا كانت المشاركة إلى الخارج مطلوبة، فهذا استثناء متعمد بمسار وصول خاص به، وليس سهواً يُكتشف لاحقاً.

الفدرالية والتكاملات بين الخوادم تحتاج إلى المعاملة نفسها. إنها علاقات وصول بين عمليات التثبيت، وعلى النشر الخاص فقط أن يوضح ما إذا كانت مدعومة.

اقبل الحالتين المسموح بها والمرفوضة

من عميل معتمد، افحص واجهة الويب وعملية تحميل أو تنزيل ملف عادية. ثم افحص عميل مزامنة وسير عمل واحداً خارج المتصفح. النجاح في المتصفح وحده ليس قبولاً.

من مسار غير معتمد، أكد أن التطبيق غير قابل للوصول عبر كل مدخل في القائمة. اختبر اسم المضيف البديل وعنوان IPv6، لا عنوان URL الأساسي فقط.

وأخيراً، راجع إعدادات التطبيق التي يسهل الخلط بينها وبين سياسة الشبكة. trusted_domains يسرد الأسماء التي تقبلها النسخة؛ وهو ليس قائمة سماح بعناوين IP للعملاء. إذا كان الوسيط العكسي يوفر معلومات العنوان، trusted_proxies فيجب أن يسمي الوسيط الفعلي، ولا ينبغي قبول الترويسات المعاد توجيهها إلا منه.

واصل أعمال التقوية المعتادة إلى جانب تغيير الشبكة: أبقِ البيانات والنسخ الاحتياطية خارج مسارات الويب غير المقصودة، وحدّث التطبيق، واحمِ وصول المسؤول، وأبقِ الاسترداد قابلاً للاستخدام. يزيل VPN سطح دخول واحد؛ لكنه لا يجعل العميل المسجل موثوقاً.