Nextcloud samo preko VPN-a: prvo popišite sve ulaze

Plan za Nextcloud samo preko VPN-a pada kada štiti preglednik, a zaboravi klijenta za sinhronizaciju. Web stranica, motor za sinhronizaciju na računaru, mobilna otpremanja, WebDAV alati i primaoci dijeljenih veza svi trebaju put do iste usluge, a svaki od njih može otkriti drugačiji ulaz. Popišite ih prije nego što bilo šta zatvorite. Taj spisak je pravi obim.

Prođite kroz kontrolnu listu po redu. Prva stavka definiše šta privatno znači za ovo postavljanje; kasnije stavke provjeravaju da li postavljanje zaista odgovara toj definiciji.

Definišite privatno prije nego što promijenite obim

Zapišite zahtjev u jednoj rečenici: svaki korisnik mora se pridružiti VPN-u prije nego što dođe do aplikacije, ili aplikacija može ostati javna dok njen izvor ostaje privatan. To su različiti dizajni, a javni obrnuti proxy koji prosljeđuje u privatni tunel ispunjava samo drugi.

Privatna adresa pozadinskog sistema ne čini aplikaciju privatnom. Ako javno mapiranje, drugo ime hosta ili IPv6 slušalac još uvijek dosežu istu instancu Nextclouda, ulaz postoji bez obzira na to gdje se pozadinski sistem nalazi. Testirajte svako ime izvana prije nego što uslugu proglasite privatnom. Nedostajući DNS zapis nije isto što i zatvoren port.

Dogovorite i namijenjenu publiku: zaposleni, domaćinstvo, partnerska organizacija ili podskup računa. Odgovor odlučuje da li je javna veza za dijeljenje funkcija ili protivrječnost. Zapišite tu publiku u plan pristupa. To je test za svaki izuzetak koji slijedi.

Popišite svaki ulaz i svako ime

Navedite javna mapiranja adresa, obrnute proxyje, alternativna imena hostova, IPv6 slušaoce i svaku adresu tunela ili mreže koja doseže uslugu. Uključite imena koja se razrješavaju na te adrese, jer je zaboravljen DNS zapis ulaz s prijateljskom oznakom.

Provjerite konfiguraciju proxyja za proslijeđena zaglavlja i alternativne blokove servera. Proxy dodan za drugu aplikaciju može izložiti isti upstream putem staze ili zaostalog virtualnog hosta. Čitajte stvarnu konfiguraciju, a ne zamišljeni dijagram. Njih dvoje se najčešće razilaze nakon što se aplikacija premjesti.

Zatim blokirajte ulaze koje niste odabrali. Privatni pozadinski sistem s javnim sučeljem nije dizajn samo za VPN, a pravilo vatrozida koje pokriva samo IPv4 ostavlja IPv6 slušalac otvoren. Zatvorite obje familije i oba imena u istoj promjeni.

Dajte svakom klijentu jedno ime usluge

Usmjerite privatni DNS na uslugu, provedite to ime kroz VPN i izdajte certifikat za njega. Ime se mora razriješiti kroz privatnu putanju i validirati bez upozorenja. Klijent koji direktno doseže IP adresu još uvijek treba ime koje radi.

Klijenti koji se povezuju preko nepovezane IP adrese ne bi trebali morati odbacivati greške certifikata da bi dizajn funkcionisao. Stabilno ime također sprječava klijente za sinhronizaciju da prave duple unose servera kada se adresa promijeni. To je razlika između privatne usluge i privatne IP adrese.

Ostavite validaciju certifikata uključenom. Privatna mreža smanjuje izloženost, ali ne čini nevalidiranu TLS vezu prihvatljivom, a klijent naučen da ignoriše upozorenja ignorisaće ih i na drugim mrežama.

Ograničite mrežni pristup, ne cijelu LAN

Dozvolite upisanim korisnicima da dosegnu uslugu Nextcloud i njene potrebne zavisnosti, a administraciju servera držite na odvojenoj putanji. VPN koji pušta klijenta na cijelu kućnu ili uredsku mrežu daje tom klijentu mnogo više nego što aplikacija zahtijeva.

Pristup VPN-u ne zamjenjuje Nextcloud račune, dozvole ili dodatnu autentifikaciju. Aplikacija i dalje odlučuje koji korisnik smije čitati koju datoteku, a mrežni sloj ne bi trebao biti jedina kontrola.

Zabilježite odobreni raspon izvora i portove usluge. Vlasnik cilja treba uočeni izvor, a NAT ili proxy ga može prepisati prije nego što zahtjev dosegne aplikaciju.

Pregledajte svaki tok rada izvan preglednika

Sinhronizacija na računaru i mobilna otpremanja otvaraju vlastite veze u vlastito vrijeme. Potrebna im je odobrena privatna putanja kada se povezuju, a mogu se ponašati drugačije kada VPN nije prisutan: ponovni pokušaj, pauza ili prikaz greške. Testirajte svaku, ne samo preglednik.

WebDAV alati i klijenti za kalendar ili kontakte odvojene su integracije s vlastitom konfiguracijom. Klijent koji kešira javni URL nastavlja pokušavati taj URL nakon promjene obima, a kvar izgleda kao problem aplikacije.

Dijeljene veze zaslužuju izričitu odluku. Veza ne daje primaocu pristup VPN-u, pa pod istinskim dizajnom samo za VPN vanjski primalac ne može je koristiti iako je veza važeća. Ako je dijeljenje prema van potrebno, to je namjeran izuzetak s vlastitom putanjom pristupa, a ne propust koji ćete otkriti kasnije.

Federacija i integracije server na server trebaju isti tretman. To su odnosi dostupnosti između instalacija, a isključivo privatno postavljanje mora reći da li su podržane.

Prihvatite i dozvoljeni i odbijeni slučaj

S odobrenog klijenta provjerite web sučelje i obično otpremanje ili preuzimanje datoteke. Zatim provjerite klijent za sinhronizaciju i jedan tok rada izvan preglednika. Uspjeh samo u pregledniku nije prihvatanje.

S neodobrene putanje potvrdite da je aplikacija nedostupna kroz svaki ulaz na popisu. Testirajte alternativno ime hosta i IPv6 adresu, ne samo primarni URL.

Na kraju pregledajte postavke aplikacije koje se lako brkaju s mrežnom politikom. trusted_domains navodi imena koja instanca prihvata; to nije lista dozvoljenih IP adresa klijenata. Ako obrnuti proxy daje podatke o adresi, trusted_proxies mora navesti stvarni proxy, a proslijeđena zaglavlja treba prihvatati samo od njega.

Nastavite s uobičajenim radom na očvršćivanju uz mrežnu promjenu: držite podatke i sigurnosne kopije izvan neželjenih web putanja, zakrpajte aplikaciju, zaštitite administratorski pristup i održite oporavak upotrebljivim. VPN uklanja jednu ulaznu površinu; ne čini upisanog klijenta pouzdanim.