Nextcloud тек VPN арқылы: алдымен барлық кіруді түгендеңіз

Тек VPN арқылы Nextcloud жоспары браузерді қорғап, синхрондау клиентін ұмытқанда сәтсіздікке ұшырайды. Веб бет, жұмыс үстелінің синхрондау қозғалтқышы, мобильді жүктеулер, WebDAV құралдары және ортақ сілтеме алушылары барлығы сол бір қызметке жол қажет етеді және әрқайсысы басқа кіруді ашуы мүмкін. Бірдеңені жаппас бұрын оларды түгендеңіз. Сол тізім нақты периметр.

Тексеру тізімін ретімен орындаңыз. Бірінші тармақ осы орналастыру үшін жекенің нені білдіретінін анықтайды; кейінгі тармақтар орналастырудың сол анықтамаға шынымен сай келетінін тексеретін.

Периметрді өзгертудің алдында жекені анықтаңыз

Талапты бір сөйлеммен жазыңыз: әр пайдаланушы қолданбаға жетпей тұрып VPN-ге қосылуы керек, немесе қолданба ашық күйінде қалуы мүмкін, ал оның бастауы жеке болып қалады. Бұлар түрлі жобалар, ал жеке туннельге бағыттайтын ашық кері прокси тек екіншісін қанағаттандырады.

Жеке backend мекенжайы қолданбаны жеке етпейді. Егер ашық салыстыру, екінші хост атауы немесе IPv6 тыңдаушысы сол Nextcloud данасына әлі де жетсе, кіру backend қайда орналасқанына қарамастан бар. Қызметті жеке деп жарияламас бұрын әр атауды сырттан тексеріңіз. Жоқ DNS жазбасы жабық портпен бірдей емес.

Мақсатты аудиторияны да келісіңіз: қызметкерлер, үй шаруашылығы, серіктес ұйым немесе шоттардың ішкі жиыны. Жауап ашық ортақ сілтеменің мүмкіндік пе әлде қайшылық па екенін шешеді. Сол аудиторияны кіру жоспарына жазыңыз. Бұл келесі әрбір ерекшелік үшін сынақ.

Әр кіруді және әр атауды түгендеңіз

Ашық мекенжай салыстыруларын, кері проксилерді, балама хост атауларын, IPv6 тыңдаушыларын және қызметке жететін кез келген туннель немесе mesh мекенжайын тізімдеңіз. Осы мекенжайларға шешілетін атауларды да қосыңыз, өйткені ұмытылған DNS жазбасы достық белгісі бар кіру.

Прокси конфигурациясын жіберілетін тақырыптар мен балама сервер блоктары бойынша тексеріңіз. Басқа қолданба үшін қосылған прокси сол upstream-ды жол немесе қалған виртуалды хост арқылы ашуы мүмкін. Жоспарланған диаграмманы емес, нақты конфигурацияны оқыңыз. Екеуі қолданба жылжытылғаннан кейін жиі алшақтайды.

Содан кейін таңдамаған кірулерді бұғаттаңыз. Ашық фронты бар жеке backend тек VPN жобасы емес, ал тек IPv4-ті қамтитын брандмауэр ережесі IPv6 тыңдаушысын ашық қалдырады. Екі отбасын да, екі атауды да бір өзгерісте жабыңыз.

Әр клиентке бір қызмет атауын беріңіз

Жеке DNS-ті қызметке бағыттаңыз, сол атауды VPN арқылы өткізіңіз және оған сертификат шығарыңыз. Атау жеке жолмен шешіліп, ескертусіз расталуы керек. IP-ге тікелей жететін клиентке де атаудың жұмыс істеуі қажет.

Байланыссыз IP мекенжайы арқылы қосылатын клиенттер жоба жұмыс істеуі үшін сертификат қателерін елемеуге мәжбүр болмауы керек. Тұрақты атау синхрондау клиенттерінің мекенжай өзгергенде қайталанған сервер жазбаларын жасауын да болдырмайды. Бұл жеке қызмет пен жеке IP арасындағы айырмашылық.

Сертификаттарды тексеруді қосулы қалдырыңыз. Жеке желі әсерді азайтады, бірақ расталмаған TLS қосылымын қолайлы етпейді, ал ескертулерді елемеуге үйренген клиент оларды басқа желілерде де елемейді.

Желілік кіруді шектеңіз, бүкіл LAN-ды емес

Тіркелген пайдаланушыларға Nextcloud қызметіне және оның қажетті тәуелділіктеріне жетуге рұқсат етіңіз, ал сервер әкімшілігін бөлек жолда ұстаңыз. VPN клиентті бүкіл үй немесе кеңсе желісіне кіргізетін сол клиентке қолданба талап еткеннен әлдеқайда көп береді.

VPN-ге кіру Nextcloud шоттарын, рұқсаттарын немесе қосымша аутентификацияны алмастырмайды. Қолданба қай пайдаланушының қай файлды оқи алатынын әлі де шешеді, ал желілік қабат жалғыз бақылау болмауы керек.

Мақұлданған бастау ауқымын және қызмет порттарын жазыңыз. Мақсат иесіне байқалған бастау қажет, ал NAT немесе прокси оны сұраныс қолданбаға жетпей тұрып қайта жазуы мүмкін.

Браузерден тыс әрбір жұмыс ағынын қарап шығыңыз

Жұмыс үстелінің синхрондауы мен мобильді жүктеулер өз байланыстарын өз уақыттарында ашады. Қосылған кезде оларға мақұлданған жеке жол қажет, ал VPN жоқ кезде олар басқаша әрекет етуі мүмкін: қайта көру, кідірту немесе қатені көрсету. Әрқайсысын тексеріңіз, тек браузерді емес.

WebDAV құралдары мен күнтізбе немесе контактілер клиенттері өз конфигурациясы бар жеке интеграциялар. Ашық URL-ды кэштейтін клиент периметр өзгергеннен кейін де сол URL-ды қолданып көреді, ал сәтсіздік қолданба мәселесіндей көрінеді.

Ортақ сілтемелер нақты шешімге лайық. Сілтеме алушысына VPN кіруін бермейді, сондықтан шынымен тек VPN жобасында сыртқы алушы сілтеме жарамды болса да оны пайдалана алмайды. Егер сыртқа бөлісу қажет болса, бұл өз кіру жолы бар әдейі жасалған ерекшелік, кейін табылатын ұмытшақтық емес.

Федерация және серверден серверге интеграциялар да сол қатынасты қажет етеді. Бұлар орнатулар арасындағы қолжетімділік қатынастары, ал тек жеке орналастыру олардың қолдау көрсетілетінін айтуы керек.

Рұқсат етілген және қабылданбаған жағдайды да қабылдаңыз

Мақұлданған клиенттен веб интерфейсті және қарапайым файл жүктеу немесе жүктеп алуды тексеріңіз. Содан кейін синхрондау клиентін және бір браузерден тыс жұмыс ағынын тексеріңіз. Тек браузердегі сәттілік қабылдау емес.

Мақұлданбаған жолдан қолданбаның тізімдегі әрбір кіру арқылы қолжетімсіз екеніне көз жеткізіңіз. Балама хост атауын және IPv6 мекенжайын тексеріңіз, тек негізгі URL-ды емес.

Соңында желілік саясатпен шатастыруға оңай қолданба параметрлерін қарап шығыңыз. trusted_domains дана қабылдайтын атауларды тізімдейді; бұл клиент IP-лерінің рұқсат тізімі емес. Егер кері прокси мекенжай ақпаратын берсе, trusted_proxies нақты проксиді атауы керек, ал жіберілген тақырыптар тек одан қабылдануы тиіс.

Желі өзгерісімен қатар әдеттегі қатайту жұмысын жалғастырыңыз: деректер мен сақтық көшірмелерді кездейсоқ веб жолдардан тыс ұстаңыз, қолданбаны жаңартыңыз, әкімші кіруін қорғаңыз және қалпына келтіруді пайдалы ұстаңыз. VPN бір кіру бетін алып тастайды; ол тіркелген клиентті сенімді етпейді.