Nextcloud allinnich fia VPN: ynventarisearje earst elke tagong

In Nextcloud-plan allinnich fia VPN mislearret as it de browser beskermet en de syngronisaasjeklient ferget. De webpagina, de buroblêd-syngronisearring, mobile uploads, WebDAV-ark en ûntfangers fan dielde keppelingen hawwe allegear in paad nei deselde tsjinst nedich, en elk kin in oare tagong bleatstelle. Ynventarisearje se foardat jo eat slute. Dy list is it echte perimeter.

Wurkje de kontrôlelijst yn folchoarder ôf. It earste punt definiearret wat privee betsjut foar dizze útrôl; de lettere punten testen oft de útrôl echt by dy definysje past.

Definiearje privee foardat jo it perimeter feroarje

Skriuw de eask yn ien sin: elke brûker moat by it VPN komme foardat er de applikaasje berikt, of de applikaasje kin iepenbier bliuwe wylst syn oarsprong privee bliuwt. Dat binne ferskillende ûntwerpen, en in iepenbiere omkearde proxy dy’t nei in privee tunnel trochstjoert, foldocht allinnich oan it twadde.

In privee backend-adres makket de applikaasje net privee. As in iepenbiere mapping, in twadde hostnamme of in IPv6-listener noch deselde Nextcloud-ynstânsje berikt, bestiet de tagong los fan wêr’t de backend sit. Test elke namme fan bûten foardat jo de tsjinst privee ferklearje. In ûntbrekkend DNS-record is net itselde as in sletten poarte.

Kom ek oerien oer it bedoelde publyk: meiwurkers, in húshâlding, in partnerorganisaasje of in diel fan accounts. It antwurd beslút oft in iepenbiere dielkeppeling in funksje of in tsjinstridichheid is. Skriuw dat publyk yn it tagongsplan. It is de test foar elke útsûndering dy’t folget.

Ynventarisearje elke tagong en elke namme

List iepenbiere adresmappings, omkearde proxies, alternative hostnammen, IPv6-listeners en elk tunnel- of mesh-adres dat de tsjinst berikt. Nim de nammen op dy’t nei dy adressen oplosse, want in fergetten DNS-record is in tagong mei in freonlik label.

Kontrolearje de proxy-konfiguraasje op trochstjoerde headers en alternative serverblokken. In proxy dy’t foar in oare applikaasje tafoege is, kin deselde upstream fia in paad of fia in oerbliuwende firtuele host bleatstelle. Lês de werklike konfiguraasje ynstee fan it bedoelde diagram. Dy twa ferskille it meast nei’t in applikaasje ferpleatst is.

Blokkearje dan de tagongen dy’t jo net keazen hawwe. In privee backend mei in iepenbiere frontend is gjin ûntwerp allinnich fia VPN, en in firewallregel dy’t allinnich IPv4 dekt, lit de IPv6-listener iepen. Slút beide famyljes en beide nammen yn deselde feroaring.

Jou elke klant ien tsjinstnamme

Rjochtsje privee DNS op de tsjinst, lied dy namme fia it VPN en jou it sertifikaat dêrfoar út. De namme moat fia it privee paad oplosse en sûnder warskôging falidearje. In klant dy’t it IP direkt berikt, hat de namme noch nedich om te wurkjen.

Klanten dy’t fia in net besibbe IP-adres ferbine, soene gjin sertifikaatflaters hoege fuort te klikken om it ûntwerp wurkje te litten. In stabile namme hâldt syngronisaasjeklanten ek tsjin om dûbele serverynfieringen te meitsjen as in adres feroaret. Dat is it ferskil tusken in privee tsjinst en in privee IP.

Hâld sertifikaatfalidaasje ynskeakele. In privee netwurk ferminderet bleatstelling, mar makket in net falidearre TLS-ferbining net akseptabel, en in klant dy’t leard hat warskôgingen te negearjen, sil se ek op oare netwurken negearje.

Beheine netwurktagong, net it hiele LAN

Lit registrearre brûkers de Nextcloud-tsjinst en syn needsaaklike ôfhinklikheden berikke, en hâld serverbehear op in apart paad. In VPN dy’t in klant talit ta it hiele thús- of kantoarnetwurk jout dy klant folle mear as de applikaasje freget.

VPN-tagong ferfangt gjin Nextcloud-accounts, tastimmingen of ekstra autentikaasje. De applikaasje beslút noch hokker brûker hokker bestân lêze mei, en de netwurklaach soe net de iennige kontrôle wêze moatte.

Skriuw it goedkarde boarnerik en de tsjinstpoarten op. De eigner fan it doel hat de waarnommen boarne nedich, en in NAT of proxy kin dy wer oanskriuwe foardat it fersyk de applikaasje berikt.

Besjoch elke wurkstream bûten de browser

Buroblêd-syngronisaasje en mobile uploads iepenje har eigen ferbinings op har eigen tiden. Se hawwe it goedkarde privee paad nedich as se ferbine, en se kinne oars hannelje as it VPN ûntbrekt: opnij besykje, pauzearje of in flater toane. Test elk, net allinnich de browser.

WebDAV-ark en kalender- of kontaktklanten binne aparte yntegraasjes mei har eigen konfiguraasje. In klant dy’t in iepenbiere URL yn ’e cache hâldt, besiket dy URL noch nei’t it perimeter feroare is, en de flater liket op in applikaasjeprobleem.

Dielde keppelingen fertsjinje in útdruklik beslút. In keppeling jout de ûntfanger gjin VPN-tagong, dus ûnder in echt ûntwerp allinnich fia VPN kin in bûtenste ûntfanger it net brûke, sels as de keppeling jildich is. As dielen nei bûten ferplichte is, is dat in bewuste útsûndering mei syn eigen tagongspaad, net in fersom om letter te ûntdekken.

Federaasje en server-nei-server-yntegraasjes hawwe deselde behanneling nedich. It binne berikberensrelaasjes tusken ynstallaasjes, en in allinnich privee útrôl moat sizze oft se stipe wurde.

Akseptearje sawol it tastiene as it wegere gefal

Kontrolearje fan in goedkarde klant it webynterface en in gewoane bestânsupload of -download. Kontrolearje dan in syngronisaasjeklient en ien wurkstream bûten de browser. Sukses allinnich yn de browser is gjin akseptaasje.

Befêstigje fan in net goedkard paad dat de applikaasje ûnberikber is fia elke tagong op ’e list. Test de alternative hostnamme en it IPv6-adres, net allinnich de primêre URL.

Besjoch as lêste de ynstellings fan de applikaasje dy’t maklik mei netwurkbelied te betiizjen binne. trusted_domains listet nammen dy’t de ynstânsje akseptearret; it is gjin list fan tastiene klant-IP’s. As in omkearde proxy adresynformaasje leveret, trusted_proxies moat de werklike proxy neame, en trochstjoerde headers soene allinnich fan him akseptearre wurde moatte.

Gean troch mei it gewoane hurdferskermwurk neist de netwurkferoaring: hâld gegevens en backups bûten net-bedoelde webpaden, patsje de applikaasje, beskermje beheardertagong en hâld weromsettting brûkber. In VPN hellet in tagongsoerflak fuort; it makket in registrearre klant net betrouber.