Nextcloud ainult VPN-i kaudu: loetle esmalt kõik sissepääsud

Nextcloudi plaan ainult VPN-i kaudu ebaõnnestub, kui see kaitseb brauserit ja unustab sünkroonimiskliendi. Veebileht, töölaua sünkroonimismootor, mobiilsed üleslaadimised, WebDAV-tööriistad ja jagatud linkide saajad vajavad kõik teed samasse teenusesse ning igaüks neist võib paljastada erineva sissepääsu. Loetle need enne, kui midagi sulged. See nimekiri on tegelik perimeeter.

Käi kontrollnimekiri järjekorras läbi. Esimene punkt määratleb, mida privaatne selle juurutuse jaoks tähendab; hilisemad punktid kontrollivad, kas juurutus vastab tõesti sellele määratlusele.

Määratle privaatne enne perimeetri muutmist

Kirjuta nõue ühe lausega: iga kasutaja peab enne rakenduseni jõudmist VPN-iga liituma või võib rakendus jääda avalikuks, samal ajal kui selle päritolu jääb privaatseks. Need on erinevad lahendused ja avalik pöördpuhverserver, mis suunab privaatsesse tunnelisse, vastab ainult teisele.

Privaatne taustaprogrammi aadress ei tee rakendust privaatseks. Kui avalik vastendus, teine hostinimi või IPv6-kuulaja jõuab endiselt sama Nextcloudi eksemplarini, on sissepääs olemas olenemata sellest, kus taustaprogramm asub. Testi iga nime väljastpoolt enne, kui kuulutad teenuse privaatseks. Puuduv DNS-kirje ei ole sama mis suletud port.

Leppige kokku ka sihtrühm: töötajad, leibkond, partnerorganisatsioon või kontode alamhulk. Vastus otsustab, kas avalik jagamislink on funktsioon või vastuolu. Kirjuta see sihtrühm juurdepääsuplaani. See on test iga järgneva erandi jaoks.

Loetle iga sissepääs ja iga nimi

Loetle avalikud aadressivastendused, pöördpuhverserverid, alternatiivsed hostinimed, IPv6-kuulajad ja iga tunnel- või mesh-aadress, mis teenuseni jõuab. Lisa nimed, mis nendele aadressidele lahenevad, sest unustatud DNS-kirje on sissepääs sõbraliku sildiga.

Kontrolli puhverserveri konfiguratsiooni edastatud päiste ja alternatiivsete serveriplokkide osas. Mõne teise rakenduse jaoks lisatud puhverserver võib sama upstreami paljastada tee või ülejäänud virtuaalhosti kaudu. Loe tegelikku konfiguratsiooni, mitte kavandatud diagrammi. Need kaks lahknevad kõige sagedamini pärast rakenduse teisaldamist.

Seejärel blokeeri sissepääsud, mida sa ei valinud. Privaatne taustaprogramm avaliku esiosaga ei ole ainult VPN-i lahendus ja tulemüürireegel, mis katab ainult IPv4, jätab IPv6-kuulaja avatuks. Sulge mõlemad pered ja mõlemad nimed samas muudatuses.

Anna igale kliendile üks teenusenimi

Suuna privaatne DNS teenusele, marsruudi see nimi VPN-i kaudu ja väljasta sellele sertifikaat. Nimi peab lahenema privaatse tee kaudu ja valideeruma ilma hoiatuseta. Klient, mis jõuab IP-ni otse, vajab ikkagi toimivat nime.

Kliendid, kes ühenduvad mitteseotud IP-aadressi kaudu, ei peaks disaini toimimiseks sertifikaadivigu kõrvale jätma. Stabiilne nimi hoiab ka sünkroonimiskliendid loomast aadressi muutumisel duplikaatseid serverikirjeid. See on erinevus privaatse teenuse ja privaatse IP vahel.

Jäta sertifikaatide valideerimine sisse lülitatuks. Privaatvõrk vähendab kokkupuudet, kuid ei muuda valideerimata TLS-ühendust vastuvõetavaks, ja klient, kes on õppinud hoiatusi eirates, eirab neid ka teistes võrkudes.

Piira võrgu juurdepääsu, mitte kogu LAN-i

Luba registreeritud kasutajatel jõuda Nextcloudi teenuseni ja selle vajalike sõltuvusteni ning hoia serveri haldus eraldi teel. VPN, mis laseb kliendi kogu kodu- või kontorivõrku annab sellele kliendile palju rohkem, kui rakendus nõuab.

VPN-i luba ei asenda Nextcloudi kontosid, õigusi ega täiendavat autentimist. Rakendus otsustab endiselt, milline kasutaja tohib millist faili lugeda, ja võrgukiht ei peaks olema ainus kontroll.

Kirjuta üles kinnitatud lähtevahemik ja teenuse pordid. Sihtkoha omanik vajab vaadeldud lähtet, ning NAT või puhverserver võib selle enne rakenduseni jõudmist ümber kirjutada.

Vaata läbi iga brauserivälise töövoo

Töölaua sünkroonimine ja mobiilsed üleslaadimised avavad oma ühendused omal ajal. Nad vajavad ühendamisel kinnitatud privaatset teed ja võivad VPN-i puudumisel käituda teisiti: uuesti proovida, pausile minna või viga näidata. Testi igaüht, mitte ainult brauserit.

WebDAV-tööriistad ja kalendri- või kontaktikliendid on eraldi integratsioonid oma konfiguratsiooniga. Klient, mis vahemällu salvestab avaliku URL-i, proovib seda URL-i ka pärast perimeetri muutmist, ja tõrge näeb välja nagu rakenduse probleem.

Jagatud lingid väärivad selget otsust. Link ei anna selle saajale VPN-i juurdepääsu, seega tõeliselt ainult VPN-i lahenduses ei saa väline saaja seda kasutada, isegi kui link on kehtiv. Kui väljapoole jagamine on vajalik, on see teadlik erand oma juurdepääsuteega, mitte hiljem avastatav unustus.

Federatsioon ja server-server-integratsioonid vajavad sama käsitlust. Need on kättesaadavussuhted paigaldiste vahel ja ainult privaatne juurutus peab ütlema, kas neid toetatakse.

Nõustu nii lubatud kui ka keelatud juhtumiga

Kinnitatud kliendist kontrolli veebiliidest ja tavalist faili üles- või allalaadimist. Seejärel kontrolli sünkroonimiskleenti ja üht brauserivälist töövoogu. Edu ainult brauseris ei ole kinnitus.

Mittekinnitatud teelt kinnita, et rakendus ei ole kättesaadav ühegi nimekirjas oleva sissepääsu kaudu. Testi alternatiivset hostinime ja IPv6-aadressi, mitte ainult peamist URL-i.

Lõpuks vaata läbi rakenduse seaded, mida on lihtne võrgu poliitikaga segi ajada. trusted_domains loetleb nimed, mida eksemplar aktsepteerib; see ei ole kliendi IP-de lubatud nimekiri. Kui pöördpuhverserver edastab aadressiteavet, trusted_proxies peab nimetama tegeliku puhverserveri ja edastatud päiseid tuleks aktsepteerida ainult sellelt.

Jätka tavalist turvakõvendamist paralleelselt võrgu muudatusega: hoia andmed ja varukoopiad soovimatutest veebiteedest eemal, paigenda rakendus, kaitse administraatori juurdepääsu ja hoia taastamine kasutatavana. VPN eemaldab ühe sissepääsupinna; see ei tee registreeritud klienti usaldusväärseks.