Nextcloud vain VPN:n kautta: luettele ensin kaikki sisäänkäynnit

Vain VPN:n kautta toimiva Nextcloud-suunnitelma epäonnistuu, kun se suojaa selaimen ja unohtaa synkronointiasiakkaan. Verkkosivu, työpöydän synkronointimoottori, mobiililataukset, WebDAV-työkalut ja jaettujen linkkien vastaanottajat tarvitsevat kaikki reitin samaan palveluun, ja jokainen niistä voi paljastaa eri sisäänkäynnin. Luettele ne ennen kuin suljet mitään. Se luettelo on todellinen kehä.

Käy tarkistuslista järjestyksessä läpi. Ensimmäinen kohta määrittelee, mitä yksityinen tarkoittaa tässä käyttöönotossa; myöhemmät kohdat testaavat, vastaako käyttöönotto todella tätä määritelmää.

Määrittele yksityinen ennen kehän muuttamista

Kirjoita vaatimus yhteen lauseeseen: jokaisen käyttäjän on liityttävä VPN:hen ennen sovellukseen pääsyä, tai sovellus voi pysyä julkisena, kun sen alkuperä pysyy yksityisenä. Nämä ovat eri suunnitelmia, ja julkinen käänteinen välityspalvelin, joka välittää yksityiseen tunneliin, täyttää vain jälkimmäisen.

Yksityinen taustajärjestelmän osoite ei tee sovelluksesta yksityistä. Jos julkinen kuvaus, toinen isäntänimi tai IPv6-kuuntelija saavuttaa edelleen saman Nextcloud-instanssin, sisäänkäynti on olemassa riippumatta siitä, missä taustajärjestelmä sijaitsee. Testaa jokainen nimi ulkopuolelta ennen kuin julistat palvelun yksityiseksi. Puuttuva DNS-tietue ei ole sama asia kuin suljettu portti.

Sovi myös kohdeyleisöstä: työntekijät, kotitalous, kumppaniorganisaatio tai tilien alijoukko. Vastaus ratkaisee, onko julkinen jakolinkki ominaisuus vai ristiriita. Kirjoita tämä yleisö käyttöoikeussuunnitelmaan. Se on testi jokaiselle seuraavalle poikkeukselle.

Luettele jokainen sisäänkäynti ja jokainen nimi

Luettele julkiset osoitekuvaukset, käänteiset välityspalvelimet, vaihtoehtoiset isäntänimet, IPv6-kuuntelijat ja jokainen tunneli- tai mesh-osoite, joka saavuttaa palvelun. Sisällytä nimet, jotka ratkeavat näihin osoitteisiin, koska unohdettu DNS-tietue on sisäänkäynti ystävällisellä tunnisteella.

Tarkista välityspalvelimen kokoonpano välitetyistä otsikoista ja vaihtoehtoisista palvelinlohkoista. Toiselle sovellukselle lisätty välityspalvelin voi paljastaa saman upstreamin polun tai jäljelle jääneen virtuaali-isännän kautta. Lue todellinen kokoonpano äläkä suunniteltua kaaviota. Ne eroavat useimmin sen jälkeen, kun sovellus on siirretty.

Estä sitten sisäänkäynnit, joita et valinnut. Yksityinen taustajärjestelmä ja julkinen etuosa eivät ole vain VPN -suunnitelma, ja vain IPv4:n kattava palomuurisääntö jättää IPv6-kuuntelijan auki. Sulje molemmat perheet ja molemmat nimet samassa muutoksessa.

Anna jokaiselle asiakkaalle yksi palvelunimi

Osoita yksityinen DNS palveluun, reititä nimi VPN:n kautta ja myönnä sille varmenne. Nimen on ratkettava yksityisen polun kautta ja validoitava ilman varoitusta. Asiakas, joka saavuttaa IP:n suoraan, tarvitsee silti toimivan nimen.

Asiakkaiden, jotka yhdistävät toisiinsa liittymättömän IP-osoitteen kautta, ei pitäisi joutua hylkäämään varmennevirheitä saadakseen suunnitelman toimimaan. Vakaa nimi estää myös synkronointiasiakkaita luomasta kaksoiskappaleita palvelinmerkinnöistä, kun osoite muuttuu. Se on ero yksityisen palvelun ja yksityisen IP:n välillä.

Pidä varmenteiden validointi käytössä. Yksityinen verkko vähentää altistumista, mutta ei tee validoimatonta TLS-yhteyttä hyväksyttäväksi, ja asiakas, joka on tottunut ohittamaan varoitukset, ohittaa ne myös muissa verkoissa.

Rajaa verkkopääsyä, älä koko lähiverkkoa

Salli kirjattujen käyttäjien saavuttaa Nextcloud-palvelu ja sen tarpeelliset riippuvuudet, ja pidä palvelimen hallinta erillisellä polulla. VPN, joka päästää asiakkaan koko koti- tai toimistoverkkoon antaa asiakkaalle paljon enemmän kuin sovellus vaatii.

VPN-pääsy ei korvaa Nextcloud-tilejä, käyttöoikeuksia tai lisätodennusta. Sovellus päättää edelleen, kuka käyttäjä saa lukea mitäkin tiedostoa, eikä verkkokerroksen pitäisi olla ainoa valvonta.

Kirjaa hyväksytty lähde-alue ja palvelun portit. Kohteen omistaja tarvitsee havaitun lähteen, ja NAT tai välityspalvelin voi kirjoittaa sen uudelleen ennen kuin pyyntö saavuttaa sovelluksen.

Käy läpi jokainen selaimen ulkopuolinen työnkulku

Työpöydän synkronointi ja mobiililataukset avaavat omat yhteytensä omiin aikoihinsa. Ne tarvitsevat hyväksytyn yksityisen polun yhdistäessään, ja ne voivat käyttäytyä eri tavalla, kun VPN puuttuu: yrittää uudelleen, keskeyttää tai näyttää virheen. Testaa jokainen, älä vain selainta.

WebDAV-työkalut ja kalenteri- tai yhteystietoasiakkaat ovat erillisiä integraatioita omalla kokoonpanollaan. Asiakas, joka välimuistaa julkisen URL:n, yrittää sitä edelleen kehän muutoksen jälkeen, ja epäonnistuminen näyttää sovellusongelmalta.

Jaetut linkit ansaitsevat nimenomaisen päätöksen. Linkki ei anna vastaanottajalleen VPN-pääsyä, joten aidosti vain VPN -suunnitelmassa ulkopuolinen vastaanottaja ei voi käyttää sitä, vaikka linkki olisi kelvollinen. Jos jakaminen ulkopuolelle on tarpeen, se on tarkoituksellinen poikkeus omalla pääsypolullaan, ei myöhemmin löytyvä huomaamattomuus.

Federaatio ja palvelin-palvelin-integraatiot tarvitsevat saman käsittelyn. Ne ovat asennusten välisiä saavutettavuussuhteita, ja vain yksityisen käyttöönoton on kerrottava, tuetaanko niitä.

Hyväksy sekä sallittu että hylätty tapaus

Tarkista hyväksytystä asiakkaasta verkkokäyttöliittymä ja tavallinen tiedoston lataus tai siirto. Tarkista sitten synkronointiasiakas ja yksi selaimen ulkopuolinen työnkulku. Menestys vain selaimessa ei ole hyväksyntä.

Vahvista hyväksymättömästä polusta, että sovellus on saavuttamaton jokaisen luettelossa olevan sisäänkäynnin kautta. Testaa vaihtoehtoinen isäntänimi ja IPv6-osoite, älä vain ensisijaista URL:ää.

Tarkista lopuksi sovellusasetukset, jotka sekoitetaan helposti verkkopolitiikkaan. trusted_domains luettelee nimet, jotka instanssi hyväksyy; se ei ole asiakas-IP:iden sallittujen luettelo. Jos käänteinen välityspalvelin toimittaa osoitetietoja, trusted_proxies on nimettävä todellinen välityspalvelin, ja välitetyt otsikot tulisi hyväksyä vain siltä.

Jatka tavallista koventamistyötä verkkomuutoksen rinnalla: pidä tiedot ja varmuuskopiot poissa tahattomilta verkkopoluilta, paikkaa sovellus, suojaa järjestelmänvalvojan pääsy ja pidä palautus käyttökelpoisena. VPN poistaa yhden sisäänkäyntipinnan; se ei tee kirjatusta asiakkaasta luotettavaa.