Nextcloud μόνο μέσω VPN: καταγράψτε πρώτα κάθε είσοδο

Ένα σχέδιο Nextcloud μόνο μέσω VPN αποτυγχάνει όταν προστατεύει το πρόγραμμα περιήγησης και ξεχνά το πρόγραμμα συγχρονισμού. Η ιστοσελίδα, το πρόγραμμα συγχρονισμού για υπολογιστή, οι κινητές μεταφορτώσεις, τα εργαλεία WebDAV και οι παραλήπτες κοινόχρηστων συνδέσμων χρειάζονται όλοι μια διαδρομή προς την ίδια υπηρεσία, και καθένα μπορεί να εκθέσει διαφορετική είσοδο. Καταγράψτε τα πριν κλείσετε οτιδήποτε. Αυτή η λίστα είναι το πραγματικό περίγραμμα.

Ακολουθήστε τη λίστα ελέγχου με τη σειρά. Το πρώτο στοιχείο ορίζει τι σημαίνει ιδιωτικό για αυτή την ανάπτυξη· τα επόμενα στοιχεία ελέγχουν αν η ανάπτυξη ανταποκρίνεται πράγματι σε αυτόν τον ορισμό.

Ορίστε το ιδιωτικό πριν αλλάξετε το περίγραμμα

Γράψτε την απαίτηση σε μία πρόταση: κάθε χρήστης πρέπει να συνδέεται στο VPN πριν φτάσει στην εφαρμογή, ή η εφαρμογή μπορεί να παραμείνει δημόσια ενώ η προέλευσή της μένει ιδιωτική. Αυτά είναι διαφορετικά σχέδια, και ένας δημόσιος αντίστροφος διαμεσολαβητής που προωθεί σε ιδιωτική σήραγγα ικανοποιεί μόνο το δεύτερο.

Μια ιδιωτική διεύθυνση backend δεν κάνει την εφαρμογή ιδιωτική. Αν μια δημόσια αντιστοίχιση, ένα δεύτερο όνομα κεντρικού υπολογιστή ή ένας ακροατής IPv6 φτάνει ακόμη στην ίδια υπηρεσία Nextcloud, η είσοδος υπάρχει ανεξάρτητα από το πού βρίσκεται το backend. Δοκιμάστε κάθε όνομα από έξω πριν κηρύξετε την υπηρεσία ιδιωτική. Μια εγγραφή DNS που λείπει δεν είναι το ίδιο με μια κλειστή θύρα.

Συμφωνήστε και το κοινό που προορίζεται: υπάλληλοι, ένα νοικοκυριό, ένας συνεργαζόμενος οργανισμός ή ένα υποσύνολο λογαριασμών. Η απάντηση καθορίζει αν ένας δημόσιος σύνδεσμος κοινής χρήσης είναι χαρακτηριστικό ή αντίφαση. Γράψτε αυτό το κοινό στο σχέδιο πρόσβασης. Είναι η δοκιμασία για κάθε εξαίρεση που ακολουθεί.

Καταγράψτε κάθε είσοδο και κάθε όνομα

Απαριθμήστε δημόσιες αντιστοιχίσεις διευθύνσεων, αντίστροφους διαμεσολαβητές, εναλλακτικά ονόματα κεντρικών υπολογιστών, ακροατές IPv6 και κάθε διεύθυνση σήραγγας ή πλέγματος που φτάνει στην υπηρεσία. Συμπεριλάβετε τα ονόματα που οδηγούν σε αυτές τις διευθύνσεις, γιατί μια ξεχασμένη εγγραφή DNS είναι είσοδος με φιλική ετικέτα.

Ελέγξτε τη διαμόρφωση του διαμεσολαβητή για προωθημένες κεφαλίδες και εναλλακτικά μπλοκ διακομιστή. Ένας διαμεσολαβητής που προστέθηκε για άλλη εφαρμογή μπορεί να εκθέσει το ίδιο upstream μέσω διαδρομής ή μέσω ενός εναπομείναντος εικονικού κεντρικού υπολογιστή. Διαβάστε την πραγματική διαμόρφωση και όχι το προβλεπόμενο διάγραμμα. Τα δύο αποκλίνουν συχνότερα μετά τη μετακίνηση μιας εφαρμογής.

Έπειτα μπλοκάρετε τις εισόδους που δεν επιλέξατε. Ένα ιδιωτικό backend με δημόσιο frontend δεν είναι σχέδιο μόνο μέσω VPN, και ένας κανόνας τείχους προστασίας που καλύπτει μόνο το IPv4 αφήνει τον ακροατή IPv6 ανοιχτό. Κλείστε και τις δύο οικογένειες και τα δύο ονόματα στην ίδια αλλαγή.

Δώστε σε κάθε πρόγραμμα-πελάτη ένα όνομα υπηρεσίας

Στρέψτε το ιδιωτικό DNS στην υπηρεσία, δρομολογήστε αυτό το όνομα μέσω VPN και εκδώστε το πιστοποιητικό για αυτό. Το όνομα πρέπει να επιλύεται μέσω της ιδιωτικής διαδρομής και να επικυρώνεται χωρίς προειδοποίηση. Ένα πρόγραμμα-πελάτης που φτάνει απευθείας στη διεύθυνση IP χρειάζεται ακόμη το όνομα για να λειτουργήσει.

Τα προγράμματα-πελάτες που συνδέονται μέσω μιας άσχετης διεύθυνσης IP δεν θα πρέπει να χρειάζεται να απορρίπτουν σφάλματα πιστοποιητικού για να λειτουργήσει το σχέδιο. Ένα σταθερό όνομα εμποδίζει επίσης τα προγράμματα συγχρονισμού να δημιουργούν διπλές καταχωρίσεις διακομιστή όταν αλλάζει μια διεύθυνση. Αυτή είναι η διαφορά μεταξύ μιας ιδιωτικής υπηρεσίας και μιας ιδιωτικής διεύθυνσης IP.

Κρατήστε ενεργή την επικύρωση πιστοποιητικών. Ένα ιδιωτικό δίκτυο μειώνει την έκθεση, αλλά δεν κάνει αποδεκτή μια μη επικυρωμένη σύνδεση TLS, και ένα πρόγραμμα-πελάτης που έχει μάθει να αγνοεί προειδοποιήσεις θα τις αγνοεί και σε άλλα δίκτυα.

Περιορίστε την πρόσβαση δικτύου, όχι ολόκληρο το LAN

Επιτρέψτε στους εγγεγραμμένους χρήστες να φτάνουν στην υπηρεσία Nextcloud και στις απαραίτητες εξαρτήσεις της, και κρατήστε τη διαχείριση του διακομιστή σε ξεχωριστή διαδρομή. Ένα VPN που επιτρέπει σε ένα πρόγραμμα-πελάτη να μπει σε ολόκληρο το οικιακό ή εταιρικό δίκτυο δίνει σε αυτό το πρόγραμμα πολύ περισσότερα από όσα απαιτεί η εφαρμογή.

Η πρόσβαση στο VPN δεν αντικαθιστά τους λογαριασμούς, τα δικαιώματα ή την πρόσθετη ταυτοποίηση του Nextcloud. Η εφαρμογή εξακολουθεί να αποφασίζει ποιος χρήστης μπορεί να διαβάσει ποιο αρχείο, και το επίπεδο δικτύου δεν θα πρέπει να είναι ο μόνος έλεγχος.

Καταγράψτε το εγκεκριμένο εύρος προέλευσης και τις θύρες υπηρεσίας. Ο ιδιοκτήτης του στόχου χρειάζεται την παρατηρούμενη προέλευση, και ένα NAT ή διαμεσολαβητής μπορεί να την ξαναγράψει πριν το αίτημα φτάσει στην εφαρμογή.

Ελέγξτε κάθε ροή εργασίας εκτός προγράμματος περιήγησης

Ο συγχρονισμός επιφάνειας εργασίας και οι κινητές μεταφορτώσεις ανοίγουν τις δικές τους συνδέσεις σε δικές τους στιγμές. Χρειάζονται την εγκεκριμένη ιδιωτική διαδρομή όταν συνδέονται, και μπορεί να συμπεριφέρονται διαφορετικά όταν λείπει το VPN: επανάληψη, παύση ή εμφάνιση σφάλματος. Δοκιμάστε καθένα, όχι μόνο το πρόγραμμα περιήγησης.

Τα εργαλεία WebDAV και τα προγράμματα ημερολογίου ή επαφών είναι ξεχωριστές ενσωματώσεις με δική τους διαμόρφωση. Ένα πρόγραμμα που αποθηκεύει προσωρινά ένα δημόσιο URL συνεχίζει να δοκιμάζει αυτό το URL μετά την αλλαγή του περιγράμματος, και η αποτυχία μοιάζει με πρόβλημα εφαρμογής.

Οι κοινόχρηστοι σύνδεσμοι αξίζουν ρητή απόφαση. Ένας σύνδεσμος δεν δίνει στον παραλήπτη του πρόσβαση στο VPN, επομένως σε ένα γνήσιο σχέδιο μόνο μέσω VPN ένας εξωτερικός παραλήπτης δεν μπορεί να τον χρησιμοποιήσει ακόμη και αν ο σύνδεσμος είναι έγκυρος. Αν η κοινοποίηση προς τα έξω είναι απαραίτητη, αυτή είναι μια σκόπιμη εξαίρεση με δική της διαδρομή πρόσβασης, όχι μια παράβλεψη που θα ανακαλύψετε αργότερα.

Η ομοσπονδία και οι ενσωματώσεις διακομιστή προς διακομιστή χρειάζονται την ίδια αντιμετώπιση. Είναι σχέσεις προσβασιμότητας μεταξύ εγκαταστάσεων, και μια ανάπτυξη μόνο ιδιωτική πρέπει να δηλώσει αν υποστηρίζονται.

Αποδεχτείτε και την επιτρεπόμενη και την απορριφθείσα περίπτωση

Από ένα εγκεκριμένο πρόγραμμα-πελάτη, ελέγξτε τη διεπαφή ιστού και μια συνηθισμένη μεταφόρτωση ή λήψη αρχείου. Έπειτα ελέγξτε ένα πρόγραμμα συγχρονισμού και μία ροή εργασίας εκτός προγράμματος περιήγησης. Η επιτυχία μόνο στο πρόγραμμα περιήγησης δεν είναι αποδοχή.

Από μια μη εγκεκριμένη διαδρομή, επιβεβαιώστε ότι η εφαρμογή δεν είναι προσβάσιμη μέσω καμίας εισόδου στη λίστα. Δοκιμάστε το εναλλακτικό όνομα κεντρικού υπολογιστή και τη διεύθυνση IPv6, όχι μόνο το κύριο URL.

Τέλος, ελέγξτε τις ρυθμίσεις της εφαρμογής που εύκολα συγχέονται με πολιτική δικτύου. trusted_domains απαριθμεί ονόματα που δέχεται η υπηρεσία· δεν είναι λίστα επιτρεπόμενων διευθύνσεων IP πελατών. Αν ένας αντίστροφος διαμεσολαβητής παρέχει πληροφορίες διεύθυνσης, trusted_proxies πρέπει να ονομάζει τον πραγματικό διαμεσολαβητή, και οι προωθημένες κεφαλίδες θα πρέπει να γίνονται δεκτές μόνο από αυτόν.

Συνεχίστε τη συνήθη σκλήρυνση παράλληλα με την αλλαγή δικτύου: κρατήστε δεδομένα και αντίγραφα ασφαλείας έξω από ανεπιθύμητες διαδρομές ιστού, ενημερώστε την εφαρμογή, προστατέψτε την πρόσβαση διαχειριστή και κρατήστε την ανάκτηση χρησιμοποιήσιμη. Ένα VPN αφαιρεί μια επιφάνεια εισόδου· δεν κάνει ένα εγγεγραμμένο πρόγραμμα-πελάτη αξιόπιστο.