Nextcloud aðeins í gegnum VPN: skráðu fyrst hverja inngöngu

Áætlun um Nextcloud aðeins í gegnum VPN mistekst þegar hún verndar vafrann og gleymir samstillingarforritinu. Vefsíðan, samstillingarvélin á borðtölvu, farsímaupphleðslur, WebDAV-verkfæri og viðtakendur deildra hlekkja þurfa öll leið að sömu þjónustu, og hver þeirra getur opnað aðra inngöngu. Skráðu þær áður en einhverju er lokað. Sá listi er raunverulega jaðarinn.

Farðu í gegnum gátlistann í röð. Fyrsti liðurinn skilgreinir hvað einkarekið þýðir fyrir þessa uppsetningu; síðari liðirnir prófa hvort uppsetningin samræmist raunverulega þeirri skilgreiningu.

Skilgreindu einkarekið áður en jaðrinum er breytt

Skrifaðu kröfuna í einni setningu: hver notandi verður að tengjast VPN áður en hann nær forritinu, eða forritið má vera opið á meðan uppruni þess er einkarekið. Þetta eru ólíkar hannanir, og opinber andhverfur proxy sem sendir inn í einkatunnil uppfyllir aðeins aðra.

Einkarekið bakendaheimilisfang gerir forritið ekki einkarekið. Ef opinbert vörpun, annað hýsilnafn eða IPv6-hlustaður nær enn sömu Nextcloud-tilviki, þá er inngangurinn til staðar óháð því hvar bakendinn er. Prófaðu hvert nafn að utan áður en þjónustan er lýst einkarekinni. Vantar DNS-færslu er ekki það sama og lokuð port.

Semjið einnig um fyrirhugaðan áhorfendahóp: starfsmenn, heimili, samstarfsstofnun eða undirmengi reikninga. Svarið ræður því hvort opinber deild hlekkur sé eiginleiki eða mótsögn. Skrifaðu þann hóp í aðgangsáætlunina. Það er prófið fyrir hverja undantekningu sem fylgir.

Skráðu hverja inngöngu og hvert nafn

Listaðu opinberar heimilisfangsvörpun, andhverfa proxy, varanleg hýsilnöfn, IPv6-hlustara og hvert það tunnil- eða mesh-heimilisfang sem nær þjónustunni. Láttu nöfnin sem leysast í þessi heimilisföng fylgja, því gleymd DNS-færsla er inngangur með vingjarnlegu merki.

Athugaðu proxy-stillinguna fyrir framsendum hausum og varanlegum þjónarblokkum. Proxy sem var bætt við fyrir annað forrit getur opinberað sama upstream í gegnum slóð eða eftirstandandi sýndarhýsil. Lestu raunverulegu stillinguna frekar en fyrirhugaða skýringarmynd. Þær tver fara oftast í sundur eftir að forrit hefur verið flutt.

Lokaðu síðan inngöngunum sem þú valdir ekki. Einkarekið bakendi með opinberu framhlið er ekki hönnun aðeins fyrir VPN, og eldveggjarregla sem nær aðeins yfir IPv4 skilur IPv6-hlustarann eftir opinn. Lokaðu báðum fjölskyldum og báðum nöfnum í sömu breytingu.

Gefðu hverjum biðlara eitt þjónustunafn

Beindu einkareknu DNS að þjónustunni, leiddu það nafn í gegnum VPN og gefðu út skírteinið fyrir það. Nafnið verður að leysast í gegnum einkarekna slóðina og staðfestast án viðvörunar. Biðlari sem nær beint í IP-ið þarf samt að nafnið virki.

Biðlarar sem tengjast í gegnum ótengda IP-tölu ættu ekki að þurfa að vísa skírteinisvillum á bug til að hönnunin virki. Stöðugt nafn kemur einnig í veg fyrir að samstillingarforrit búi til tvítekin þjónarfærslur þegar heimilisfang breytist. Það er munurinn á einkarekinni þjónustu og einkareknu IP-i.

Hafðu staðfestingu skírteina virka. Einkarekið net dregur úr áhættu en gerir óstaðfesta TLS-tengingu ekki ásættanlega, og biðlari sem hefur lært að hunsa viðvaranir mun hunsa þær einnig á öðrum netum.

Takmarkaðu netaðgang, ekki allt LAN-ið

Leyfðu skráðum notendum að ná í Nextcloud-þjónustuna og nauðsynlegar ósjálfstæðar einingar hennar, og haltu þjónarstjórnun á aðskilinni slóð. VPN sem hleypir biðlara inn í allt heima- eða skrifstofunetið gefur þeim biðlara miklu meira en forritið krefst.

VPN-aðgangur kemur ekki í stað Nextcloud-reikninga, leyfa eða viðbótar auðkenningar. Forritið ræður enn hvaða notandi má lesa hvaða skrá, og netlagið ætti ekki að vera eina stjórnin.

Skráðu samþykkt upprunasvið og þjónustuportin. Eigandi marksins þarf hið athugaða uppruna, og NAT eða proxy geta endurskrifað hann áður en beiðnin nær forritinu.

Farið yfir hvert vinnuflæði utan vafrans

Borðtölvusamstilling og farsímaupphleðslur opna sín eigin sambönd á sínum eigin tímum. Þau þurfa samþykkta einkareknu slóðina þegar þau tengjast, og þau geta hagað sér öðruvísi þegar VPN-ið vantar: reyna aftur, gera hlé eða sýna villu. Prófaðu hvert þeirra, ekki aðeins vafrann.

WebDAV-verkfæri og dagbókar- eða tengiliðaforrit eru aðskildar samþættingar með eigin stillingum. Biðlari sem skyggir opinbert URL heldur áfram að reyna það URL eftir jaðarbreytinguna, og bilunin lítur út eins og vandamál forritsins.

Deildir hlekkir eiga skilið skýra ákvörðun. Hlekkur veitir viðtakanda sínum ekki VPN-aðgang, svo í raunverulegri hönnun aðeins fyrir VPN getur utanaðkomandi viðtakandi ekki notað hann þótt hlekkurinn sé gildur. Ef deiling út á við er nauðsynleg er það viljandi undantekning með eigin aðgangsslóð, ekki yfirsjón sem uppgötvast síðar.

Sambandsríki og samþættingar þjóns við þjón þurfa sömu meðferð. Þær eru aðgengistengsl milli uppsetninga, og einkarekið uppsetning verður að segja hvort þær séu studdar.

Samþykktu bæði leyfða og synjaða tilfellið

Frá samþykktum biðlara, athugaðu vefviðmótið og venjulega skráarupphleðslu eða -niðurhals. Athugaðu síðan samstillingarforrit og eitt vinnuflæði utan vafrans. Árangur aðeins í vafranum er ekki samþykki.

Frá ósamþykktri slóð, staðfestu að forritið sé óaðgengilegt í gegnum hverja inngöngu á listanum. Prófaðu varanlega hýsilnafnið og IPv6-heimilisfangið, ekki aðeins aðal-URL-ið.

Að lokum, farið yfir stillingar forritsins sem auðvelt er að rugla saman við netstefnu. trusted_domains listar nöfn sem tilvikið samþykkir; það er ekki leyfislisti yfir biðlara-IP. Ef andhverfur proxy veitir heimilisfangupplýsingar, trusted_proxies verður að nefna raunverulega proxy-ið, og framsendir hausar ættu aðeins að vera samþykktir frá því.

Haltu áfram venjulegri harðvörninni samhliða netbreytingunni: haltu gögnum og öryggisafritum utan óætlaðra vefslóða, plástraðu forritið, verndaðu stjórnandaaðgang og haltu endurheimt nothæfri. VPN fjarlægir eitt inngangsflöt en gerir skráðan biðlara ekki traustan.