Nextcloud მხოლოდ VPN-ით: ჯერ ყველა შესასვლელი ჩამოთვალეთ

მხოლოდ VPN-ით Nextcloud გეგმა მარცხდება, როცა იცავს ბრაუზერს და ივიწყებს სინქრონიზაციის კლიენტს. ვებ გვერდს, დესკტოპის სინქრონიზაციის ძრავას, მობილურ ატვირთვებს, WebDAV ხელსაწყოებს და გაზიარებული ბმულების მიმღებებს ყველას სჭირდება გზა იმავე სერვისამდე, და თითოეულმა შეიძლება გამოავლინოს განსხვავებული შესასვლელი. ჩამოთვალეთ ისინი სანამ რამეს დახურავთ. ეს სია არის ნამდვილი პერიმეტრი.

გაიარეთ საკონტროლო სია თანმიმდევრობით. პირველი პუნქტი განსაზღვრავს, რას ნიშნავს პირადი ამ განლაგებისთვის; შემდეგი პუნქტები ამოწმებენ, ნამდვილად შეესაბამება თუ არა განლაგება ამ განმარტებას.

განსაზღვრეთ პირადი სანამ შეცვლით პერიმეტრს

ჩამოწერეთ მოთხოვნა ერთი წინადადებით: ყველა მომხმარებელმა უნდა შეუერთდეს VPN-ს აპლიკაციამდე მისვლამდე, ან აპლიკაცია შეიძლება დარჩეს საჯარო, სანამ მისი წარმომავლობა პირადი რჩება. ეს განსხვავებული დიზაინებია და პირად გვირაბში გადამისამართებელი საჯარო საპირისპირო პროქსი მხოლოდ მეორეს აკმაყოფილებს.

პირადი backend მისამართი აპლიკაციას პირადს არ ხდის. თუ საჯარო დაკავშირება, მეორე ჰოსტის სახელი ან IPv6 მსმენელი ჯერ კიდევ აღწევს იმავე Nextcloud ინსტანციას, შესასვლელი არსებობს იმის მიუხედავად, სად არის backend. შეამოწმეთ ყოველი სახელი გარედან სანამ სერვისს პირადად გამოაცხადებთ. დაკარგული DNS ჩანაწერი არ არის იგივე, რაც დახურული პორტი.

შეუთანხმდით სამიზნე აუდიტორიასაც: თანამშრომლები, ოჯახი, პარტნიორი ორგანიზაცია ან ანგარიშების ქვეჯგუფი. პასუხი განსაზღვრავს, საჯარო გაზიარების ბმული ფუნქციაა თუ წინააღმდეგობა. ჩაწერეთ ეს აუდიტორია წვდომის გეგმაში. ეს არის გამოცდა ყოველი მომდევნო გამონაკლისისთვის.

ჩამოთვალეთ ყოველი შესასვლელი და ყოველი სახელი

ჩამოთვალეთ საჯარო მისამართების დაკავშირებები, საპირისპირო პროქსები, ალტერნატიული ჰოსტის სახელები, IPv6 მსმენელები და ნებისმიერი გვირაბის ან mesh-ის მისამართი, რომელიც აღწევს სერვისს. ჩართეთ სახელები, რომლებიც ამ მისამართებზე წყდება, რადგან დავიწყებული DNS ჩანაწერი მეგობრული ეტიკეტის მქონე შესასვლელია.

შეამოწმეთ პროქსის კონფიგურაცია გადაცემული თავსართებისა და ალტერნატიული სერვერის ბლოკებისთვის. სხვა აპლიკაციისთვის დამატებულმა პროქსმა შეიძლება გამოავლინოს იგივე upstream გზის ან დარჩენილი ვირტუალური ჰოსტის მეშვეობით. წაიკითხეთ ფაქტობრივი კონფიგურაცია და არა განზრახული დიაგრამა. ორივე ყველაზე ხშირად იშლება მას შემდეგ, რაც აპლიკაცია გადაადგილდება.

შემდეგ დაბლოკეთ ის შესასვლელები, რომლებიც არ აირჩიეთ. საჯარო ფრონტის მქონე პირადი backend არ არის მხოლოდ VPN დიზაინი, და მხოლოდ IPv4-ის დამფარავი ფაიერვოლის წესი IPv6 მსმენელს ღიას ტოვებს. დახურეთ ორივე ოჯახი და ორივე სახელი ერთსა და იმავე ცვლილებაში.

მიეცით ყოველ კლიენტს ერთი სერვისის სახელი

მიმართეთ პირადი DNS სერვისისკენ, გაატარეთ ეს სახელი VPN-ით და გამოსცემთ სერტიფიკატს მისთვის. სახელი უნდა გადაწყდეს პირადი გზით და დადასტურდეს გაფრთხილების გარეშე. კლიენტს, რომელიც პირდაპირ IP-ს აღწევს, მაინც სჭირდება სახელის მუშაობა.

დაუკავშირებელი IP მისამართით დაკავშირებულ კლიენტებს არ უნდა მოუწიოთ სერტიფიკატის შეცდომების უგულებელყოფა დიზაინის მუშაობისთვის. სტაბილური სახელი ასევე ხელს უშლის სინქრონიზაციის კლიენტებს შექმნან დუბლირებული სერვერის ჩანაწერები, როცა მისამართი იცვლება. ეს არის განსხვავება პირად სერვისსა და პირად IP-ს შორის.

დატოვეთ სერტიფიკატების ვალიდაცია ჩართული. პირადი ქსელი ამცირებს ექსპოზიციას, მაგრამ არ ხდის დაუდასტურებელ TLS კავშირს მისაღებს, და გაფრთხილებების უგულებელყოფას მიჩვეული კლიენტი მათ სხვა ქსელებშიც უგულებელყოფს.

შეზღუდეთ ქსელური წვდომა, და არა მთელი LAN

ნება დართეთ რეგისტრირებულ მომხმარებლებს მიაღწიონ Nextcloud სერვისს და მის საჭირო დამოკიდებულებებს, ხოლო სერვერის ადმინისტრირება ცალკე გზაზე შეინახეთ. VPN, რომელიც კლიენტს მთელ სახლის ან ოფისის ქსელში უშვებს ამ კლიენტს იმაზე ბევრად მეტს აძლევს, ვიდრე აპლიკაცია მოითხოვს.

VPN-ში დაშვება არ ცვლის Nextcloud ანგარიშებს, ნებართვებს ან დამატებით ავთენტიფიკაციას. აპლიკაცია კვლავ წყვეტს, რომელ მომხმარებელს რომელი ფაილის წაკითხვა შეუძლია, და ქსელური შრე არ უნდა იყოს ერთადერთი კონტროლი.

ჩაწერეთ დამტკიცებული წყაროს დიაპაზონი და სერვისის პორტები. სამიზნის მფლობელს სჭირდება დაკვირვებული წყარო, და NAT ან პროქსი შეიძლება გადაწეროს ის სანამ მოთხოვნა აპლიკაციას მიაღწევს.

გადახედეთ ყოველ არაბრაუზერულ სამუშაო ნაკადს

დესკტოპის სინქრონიზაცია და მობილური ატვირთვები საკუთარ კავშირებს საკუთარ დროს ხსნიან. მათ სჭირდებათ დამტკიცებული პირადი გზა, როცა უკავშირდებიან, და შეიძლება სხვაგვარად მოიქცნენ, როცა VPN არ არის: ხელახლა ცდა, პაუზა ან შეცდომის ჩვენება. შეამოწმეთ თითოეული, და არა მხოლოდ ბრაუზერი.

WebDAV ხელსაწყოები და კალენდრის ან კონტაქტების კლიენტები ცალკე ინტეგრაციებია საკუთარი კონფიგურაციით. საჯარო URL-ის ქეშირებადი კლიენტი პერიმეტრის ცვლილების შემდეგაც აგრძელებს ამ URL-ის ცდას, და მარცხი აპლიკაციის პრობლემას ჰგავს.

გაზიარებული ბმულები იმსახურებს ცალსახა გადაწყვეტილებას. ბმული მის მიმღებს VPN წვდომას არ აძლევს, ამიტომ ჭეშმარიტად მხოლოდ VPN დიზაინში გარე მიმღები ვერ გამოიყენებს მას, თუმცა ბმული ვალიდურია. თუ გარეთ გაზიარება საჭიროა, ეს განზრახ გამონაკლისია საკუთარი წვდომის გზით, და არა მოგვიანებით აღმოსაჩენი დაუდევრობა.

ფედერაცია და სერვერ-სერვერ ინტეგრაციები იგივე მოპყრობას საჭიროებს. ეს არის ხელმისაწვდომობის ურთიერთობები ინსტალაციებს შორის, და მხოლოდ პირადმა განლაგებამ უნდა თქვას, მხარდაჭერილია თუ არა ისინი.

მიიღეთ როგორც დაშვებული, ისე უარყოფილი შემთხვევა

დამტკიცებული კლიენტიდან შეამოწმეთ ვებ ინტერფეისი და ჩვეულებრივი ფაილის ატვირთვა ან ჩამოტვირთვა. შემდეგ შეამოწმეთ სინქრონიზაციის კლიენტი და ერთი არაბრაუზერული სამუშაო ნაკადი. მხოლოდ ბრაუზერში წარმატება მიღება არ არის.

დაუმტკიცებელი გზიდან დაადასტურეთ, რომ აპლიკაცია მიუწვდომელია სიის ყოველი შესასვლელით. შეამოწმეთ ალტერნატიული ჰოსტის სახელი და IPv6 მისამართი, და არა მხოლოდ მთავარი URL.

ბოლოს გადახედეთ აპლიკაციის იმ პარამეტრებს, რომლებიც ადვილად ერევა ქსელურ პოლიტიკას. trusted_domains ჩამოთვლის სახელებს, რომლებსაც ინსტანცია იღებს; ეს არ არის კლიენტ IP-ების ნებადართული სია. თუ საპირისპირო პროქსი მისამართის ინფორმაციას აწვდის, trusted_proxies უნდა დაასახელოს ფაქტობრივი პროქსი, და გადაცემული თავსართები მხოლოდ მისგან უნდა მიიღებოდეს.

გააგრძელეთ ჩვეულებრივი გამაგრების სამუშაო ქსელურ ცვლილებასთან ერთად: შეინახეთ მონაცემები და სარეზერვო ასლები გაუთვალისწინებელი ვებ გზებიდან მოშორებით, განაახლეთ აპლიკაცია, დაიცავით ადმინისტრატორის წვდომა და შეინარჩუნეთ აღდგენა გამოსადეგი. VPN აშორებს ერთ შესასვლელ ზედაპირს; ის რეგისტრირებულ კლიენტს სანდოს არ ხდის.