Nextcloud dim ond trwy VPN: rhestrwch bob mynedfa yn gyntaf

Mae cynllun Nextcloud dim ond trwy VPN yn methu pan fydd yn diogelu’r porwr ac yn anghofio’r cleient cydweddu. Mae’r dudalen we, yr injan cydweddu ar y bwrdd gwaith, uwchlwythiadau symudol, offer WebDAV a derbynwyr dolenni a rennir i gyd angen llwybr i’r un gwasanaeth, a gall pob un ddatgelu mynedfa wahanol. Rhestrwch nhw cyn cau unrhyw beth. Y rhestr honno yw’r perimedr go iawn.

Ewch drwy’r rhestr wirio yn eu trefn. Mae’r eitem gyntaf yn diffinio beth mae preifat yn ei olygu ar gyfer y defnyddiad hwn; mae’r eitemau diweddarach yn profi a yw’r defnyddiad yn cyfateb i’r diffiniad hwnnw mewn gwirionedd.

Diffiniwch preifat cyn newid y perimedr

Ysgrifennwch y gofyniad mewn un frawddeg: rhaid i bob defnyddiwr ymuno â’r VPN cyn cyrraedd y cymhwysiad, neu gall y cymhwysiad aros yn gyhoeddus tra bo ei darddiad yn aros yn breifat. Dau gynllun gwahanol yw’r rhain, ac mae dirprwy gwrthdro cyhoeddus sy’n anfon ymlaen i dwnnel preifat yn bodloni’r ail yn unig.

Nid yw cyfeiriad cefn preifat yn gwneud y cymhwysiad yn breifat. Os yw mapiad cyhoeddus, ail enw gwesteiwr neu wrandawr IPv6 yn dal i gyrraedd yr un achos Nextcloud, mae’r fynedfa yn bodoli waeth ble mae’r cefn. Profwch bob enw o’r tu allan cyn datgan bod y gwasanaeth yn breifat. Nid yw cofnod DNS ar goll yr un peth â phorth wedi’i chau.

Cytunwch ar y gynulleidfa a fwriadwyd hefyd: gweithwyr, aelwyd, sefydliad partner neu is-set o gyfrifon. Mae’r ateb yn penderfynu a yw dolen gyhoeddus a rennir yn nodwedd neu’n wrthddywediad. Ysgrifennwch y gynulleidfa honno yn y cynllun mynediad. Dyma’r prawf ar gyfer pob eithriad sy’n dilyn.

Rhestrwch bob mynedfa a phob enw

Rhestrwch fapiadau cyfeiriadau cyhoeddus, dirprwyon gwrthdro, enwau gwesteiwr amgen, gwrandawyr IPv6 ac unrhyw gyfeiriad twnnel neu fesh sy’n cyrraedd y gwasanaeth. Cynhwyswch yr enwau sy’n datrys i’r cyfeiriadau hynny, oherwydd mae cofnod DNS a anghofiwyd yn fynedfa â label cyfeillgar.

Gwiriwch y ffurfweddiad dirprwy am benawdau a anfonwyd ymlaen a blociau gweinydd amgen. Gall dirprwy a ychwanegwyd ar gyfer cymhwysiad arall ddatgelu’r un upstream drwy lwybr neu drwy westwybr rhithwir dros ben. Darllenwch y ffurfweddiad gwirioneddol yn hytrach na’r diagram arfaethedig. Maent yn cymryd llwybrau gwahanol amlaf ar ôl i gymhwysiad gael ei symud.

Yna rhwystrwch y mynedfeydd na wnaethoch eu dewis. Nid yw cefn preifat â blaen cyhoeddus yn gynllun dim ond trwy VPN, ac mae rheol tân sy’n cwmpasu IPv4 yn unig yn gadael y gwrandawr IPv6 ar agor. Caewch y ddwy deulu a’r ddau enw yn yr un newid.

Rhowch un enw gwasanaeth i bob cleient

Pwyntiwch DNS preifat at y gwasanaeth, llwybrwch yr enw hwnnw drwy’r VPN, a chyhoeddwch y dystysgrif ar ei gyfer. Rhaid i’r enw ddatrys drwy’r llwybr preifat a dilysu heb rybudd. Mae cleient sy’n cyrraedd yr IP yn uniongyrchol yn dal i fod angen i’r enw weithio.

Ni ddylai cleientiaid sy’n cysylltu drwy gyfeiriad IP anysylltiedig orfod diystyru gwallau tystysgrif er mwyn i’r cynllun weithio. Mae enw sefydlog hefyd yn atal cleientiaid cydweddu rhag creu cofnodion gweinydd dyblyg pan fydd cyfeiriad yn newid. Dyma’r gwahaniaeth rhwng gwasanaeth preifat a IP preifat.

Cadwch ddilysu tystysgrifau wedi’i alluogi. Mae rhwydwaith preifat yn lleihau amlygiad ond nid yw’n gwneud cysylltiad TLS heb ei ddilysu yn dderbyniol, a bydd cleient sydd wedi arfer anwybyddu rhybuddion yn eu hanwybyddu ar rwydweithiau eraill hefyd.

Cyfyngwch fynediad rhwydwaith, nid y LAN gyfan

Caniatwch i ddefnyddwyr cofrestredig gyrraedd gwasanaeth Nextcloud a’i ddibyniaethau angenrheidiol, a chadwch weinyddiaeth gweinydd ar lwybr ar wahân. Mae VPN sy’n gadael cleient i mewn i’r rhwydwaith cartref neu swyddfa gyfan yn rhoi llawer mwy i’r cleient hwnnw nag y mae’r cymhwysiad yn ei ofyn.

Nid yw mynediad i’r VPN yn disodli cyfrifon, caniatadau na dilysiad ychwanegol Nextcloud. Mae’r cymhwysiad yn dal i benderfynu pa ddefnyddiwr sy’n cael darllen pa ffeil, ac ni ddylai’r haen rwydwaith fod yr unig reolaeth.

Cofnodwch yr ystod ffynhonnell a gymeradwywyd a phorthladdoedd y gwasanaeth. Mae perchennog y targed angen y ffynhonnell a welwyd, a gall NAT neu ddirprwy ei hailysgrifennu cyn i’r cais gyrraedd y cymhwysiad.

Adolygwch bob llif gwaith y tu allan i’r porwr

Mae cydweddu bwrdd gwaith ac uwchlwythiadau symudol yn agor eu cysylltiadau eu hunain ar eu hamseroedd eu hunain. Maent angen y llwybr preifat a gymeradwywyd pan fyddant yn cysylltu, a gallant ymddwyn yn wahanol pan nad yw’r VPN yn bresennol: ceisio eto, seibiant neu ddangos gwall. Profwch bob un, nid y porwr yn unig.

Mae offer WebDAV a chleientiaid calendr neu gysylltiadau yn integreiddiadau ar wahân â’u ffurfweddiad eu hunain. Mae cleient sy’n storio URL cyhoeddus yn y storfa gyntaf yn parhau i geisio’r URL hwnnw ar ôl newid y perimedr, ac mae’r methiant yn edrych fel problem cymhwysiad.

Mae dolenni a rennir yn haeddu penderfyniad penodol. Nid yw dolen yn rhoi mynediad VPN i’w derbynnydd, felly o dan gynllun gwirioneddol ddim ond trwy VPN ni all derbynnydd o’r tu allan ei defnyddio er bod y ddolen yn ddilys. Os oes angen rhannu â’r tu allan, mae hynny’n eithriad bwriadol â’i lwybr mynediad ei hun, nid yn esgeulustod i’w ddarganfod yn ddiweddarach.

Mae ffederasiwn ac integreiddiadau gweinydd-i-weinydd angen yr un driniaeth. Maent yn berthnasoedd cyrraeddadwyedd rhwng gosodiadau, a rhaid i ddefnyddiad preifat yn unig ddweud a ydynt yn cael eu cefnogi.

Derbyniwch yr achos a ganiateir a’r achos a wrthodir

O gleient a gymeradwywyd, gwiriwch y rhyngwyneb gwe ac uwchlwytho neu lawrlwytho ffeil cyffredin. Yna gwiriwch gleient cydweddu ac un llif gwaith y tu allan i’r porwr. Nid yw llwyddiant yn y porwr yn unig yn dderbyniad.

O lwybr heb ei gymeradwyo, cadarnhewch nad yw’r cymhwysiad yn cyrraeddadwy drwy unrhyw fynedfa ar y rhestr. Profwch yr enw gwesteiwr amgen a’r cyfeiriad IPv6, nid yr URL sylfaenol yn unig.

Yn olaf, adolygwch osodiadau’r cymhwysiad sy’n hawdd eu cymysgu â pholisi rhwydwaith. trusted_domains yn rhestru enwau y mae’r achos yn eu derbyn; nid yw’n rhestr caniatau IP cleient. Os yw dirprwy gwrthdro yn darparu gwybodaeth cyfeiriad, trusted_proxies rhaid enwi’r dirprwy gwirioneddol, a dim ond oddi wrtho ef y dylid derbyn penawdau a anfonwyd ymlaen.

Parhewch â’r gwaith caledu arferol ochr yn ochr â’r newid rhwydwaith: cadwch ddata a chopïau wrth gefn allan o lwybrau gwe nas bwriadwyd, patsiwch y cymhwysiad, diogelwch fynediad gweinyddwr a chadwch adferiad yn ddefnyddiadwy. Mae VPN yn tynnu arwyneb mynedfa; nid yw’n gwneud cleient cofrestredig yn ddibynadwy.