Nextcloud само през VPN: първо опишете всички входове

План за Nextcloud само през VPN се проваля, когато защитава браузъра и забравя клиента за синхронизация. Уеб страницата, двигателят за синхронизация на компютъра, мобилните качвания, инструментите за WebDAV и получателите на споделени връзки всички се нуждаят от път до същата услуга и всеки от тях може да разкрие различен вход. Опишете ги, преди да затворите каквото и да е. Този списък е истинският периметър.

Минете контролния списък по ред. Първата точка определя какво означава частно за тази инсталация; следващите точки проверяват дали инсталацията наистина отговаря на това определение.

Определете какво е частно, преди да промените периметъра

Запишете изискването в едно изречение: всеки потребител трябва да се включи във VPN, преди да достигне приложението, или приложението може да остане публично, докато произходът му остава частен. Това са различни проекти и публично обратно прокси, което препраща в частен тунел, отговаря само на второто.

Частният адрес на бекенда не прави приложението частно. Ако публично съпоставяне, второ име на хост или IPv6 слушател все още достига до същата инстанция на Nextcloud, входът съществува независимо къде се намира бекендът. Тествайте всяко име отвън, преди да обявите услугата за частна. Липсващ DNS запис не е същото като затворен порт.

Уговорете и целевата аудитория: служители, домакинство, партньорска организация или подмножество от акаунти. Отговорът решава дали публична връзка за споделяне е функция или противоречие. Запишете тази аудитория в плана за достъп. Това е проверката за всяко изключение, което следва.

Опишете всеки вход и всяко име

Избройте публичните адресни съпоставяния, обратните проксита, алтернативните имена на хостове, IPv6 слушателите и всеки адрес на тунел или мрежа, който достига до услугата. Включете имената, които се разрешават до тези адреси, защото забравен DNS запис е вход с приятелски етикет.

Проверете конфигурацията на проксито за препратени заглавки и алтернативни блокове на сървъра. Прокси, добавено за друго приложение, може да изложи същия upstream чрез път или чрез остатъчен виртуален хост. Четете действителната конфигурация, а не предвидената диаграма. Двете се разминават най-често, след като приложението бъде преместено.

След това блокирайте входовете, които не сте избрали. Частен бекенд с публичен фронтенд не е дизайн само за VPN и правило на защитната стена, което покрива само IPv4, оставя IPv6 слушателя отворен. Затворете и двете семейства, и двете имена в една и съща промяна.

Дайте на всеки клиент едно име на услуга

Насочете частния DNS към услугата, прекарайте това име през VPN и издайте сертификата за него. Името трябва да се разрешава през частния път и да се валидира без предупреждение. Клиент, който достига до IP адреса директно, все още се нуждае от работещо име.

Клиентите, които се свързват през несвързан IP адрес, не бива да затварят сертификатни грешки, за да работи дизайнът. Стабилното име също така пречи на клиентите за синхронизация да създават дублиращи се записи на сървъра, когато адресът се промени. Това е разликата между частна услуга и частен IP адрес.

Оставете валидирането на сертификати включено. Частната мрежа намалява излагането, но не прави невалидираната TLS връзка приемлива, а клиент, обучен да пренебрегва предупреждения, ще ги пренебрегва и в други мрежи.

Ограничете мрежовия достъп, а не цялата LAN

Позволете на записаните потребители да достигат до услугата Nextcloud и необходимите ѝ зависимости, а администрирането на сървъра оставете на отделен път. VPN, който допуска клиент до цялата домашна или офис мрежа дава на този клиент много повече, отколкото приложението изисква.

Допускането до VPN не заменя акаунтите, разрешенията или допълнителното удостоверяване в Nextcloud. Приложението все още решава кой потребител кой файл може да чете, а мрежовият слой не бива да бъде единственият контрол.

Запишете одобрения диапазон на източника и портовете на услугата. Собственикът на целта се нуждае от наблюдавания източник, а NAT или прокси може да го пренапише, преди заявката да достигне приложението.

Прегледайте всеки работен поток извън браузъра

Синхронизацията за компютър и мобилните качвания отварят собствени връзки в собствени моменти. Те се нуждаят от одобрения частен път, когато се свързват, и може да се държат различно, когато VPN липсва: повторен опит, пауза или показване на грешка. Тествайте всяко от тях, не само браузъра.

Инструментите за WebDAV и клиентите за календар или контакти са отделни интеграции със собствена конфигурация. Клиент, който кешира публичен URL, продължава да опитва този URL след промяната на периметъра и грешката изглежда като проблем на приложението.

Споделените връзки заслужават изрично решение. Връзката не дава на получателя си достъп до VPN, така че при истински дизайн само през VPN външен получател не може да я използва, дори връзката да е валидна. Ако споделянето навън е необходимо, това е съзнателно изключение със свой собствен път за достъп, а не пропуск, който да откриете по-късно.

Федерацията и интеграциите сървър към сървър се нуждаят от същото отношение. Това са отношения на достижимост между инсталации и чисто частната инсталация трябва да каже дали те се поддържат.

Приемете и разрешения, и отказания случай

От одобрен клиент проверете уеб интерфейса и обикновено качване или изтегляне на файл. След това проверете клиент за синхронизация и един работен поток извън браузъра. Успехът само в браузъра не е прием.

От неодобрен път потвърдете, че приложението е недостъпно през всеки вход от описа. Тествайте алтернативното име на хост и IPv6 адреса, а не само основния URL.

Накрая прегледайте настройките на приложението, които лесно се бъркат с мрежова политика. trusted_domains изброява имена, които инстанцията приема; това не е списък за разрешени клиентски IP адреси. Ако обратно прокси предоставя информация за адреса, trusted_proxies трябва да посочи действителното прокси и препратените заглавки трябва да се приемат само от него.

Продължете обичайната работа по укрепване заедно с мрежовата промяна: дръжте данните и резервните копия извън нежелани уеб пътища, актуализирайте приложението, защитете администраторския достъп и поддържайте възстановяването използваемо. VPN премахва една входна повърхност; не прави записания клиент надежден.