Nextcloud само преку VPN: прво попишете ги сите влезови

План за Nextcloud само преку VPN пропаѓа кога ја штити страницата во прелистувачот и го заборава клиентот за синхронизација. Веб-страницата, машината за синхронизација на компјутерот, мобилните прикачувања, алатките WebDAV и примачите на споделените врски сите бараат пат до истиот сервис, и секој од нив може да открие различен влез. Попушете ги пред да затворите нешто. Таа листа е вистинскиот периметар.

Поминете ја контролната листа по ред. Првата точка определува што значи приватно за ова распоредување; следните точки проверуваат дали распоредувањето навистина одговара на таа дефиниција.

Дефинирајте приватно пред да го промените периметарот

Запишете го барањето во една реченица: секој корисник мора да се приклучи на VPN пред да ја достигне апликацијата, или апликацијата може да остане јавна додека нејзиното потекло останува приватно. Тоа се различни проекти, а јавно обратно прокси што проследува во приватен тунел го исполнува само вториот.

Приватна адреса на backend не ја прави апликацијата приватна. Ако јавно мапирање, второ име на домаќин или IPv6 слушател сѐ уште стигнуваат до истата Nextcloud инстанца, влезот постои без оглед каде се наоѓа backend. Тестирајте го секое име однадвор пред да го прогласите сервисот приватен. Запишувањето DNS што недостасува не е исто како затворен порт.

Договорете се и за наменетата публика: вработени, домаќинство, партнерска организација или подмножество сметки. Одговорот одлучува дали јавната врска за споделување е функција или противречност. Запишете ја таа публика во планот за пристап. Тоа е тестот за секој исклучок што следи.

Попишете го секој влез и секое име

Наведете јавни мапирања на адреси, обратни проксија, алтернативни имиња на домаќини, IPv6 слушатели и секоја адреса на тунел или мрежа што стигнува до сервисот. Вклучете ги имињата што се разрешуваат до тие адреси, бидејќи заборавено DNS запишување е влез со пријателска ознака.

Проверете ја конфигурацијата на проксито за проследени заглавија и алтернативни серверски блокови. Прокси додадено за друга апликација може да го открие истиот upstream преку патека или преку преостанат виртуелен домаќин. Читајте ја вистинската конфигурација, а не планираниот дијаграм. Двете најчесто се разидуваат откако апликацијата ќе се премести.

Потоа блокирајте ги влезовите што не ги избравте. Приватен backend со јавен фронтенд не е проект само за VPN, а правилото на огнениот ѕид што покрива само IPv4 го остава IPv6 слушателот отворен. Затворете ги двете фамилии и двете имиња во истата промена.

Дајте му на секој клиент едно име на сервис

Насочете го приватниот DNS кон сервисот, спроведете го тоа име низ VPN и издајте го сертификатот за него. Името мора да се разреши низ приватната патека и да се потврди без предупредување. Клиент што директно стигнува до IP-то сѐ уште го бара името да работи.

Клиентите што се поврзуваат преку неврзана IP-адреса не треба да ги отфрлаат грешките на сертификатот за да работи проектот. Стабилното име исто така ги спречува клиентите за синхронизација да создаваат дупликат записи на серверот кога адресата се менува. Тоа е разликата меѓу приватен сервис и приватна IP-адреса.

Оставете ја верификацијата на сертификати вклучена. Приватната мрежа го намалува изложувањето, но не прави неверификувана TLS врска прифатлива, а клиент научен да ги игнорира предупредувањата ќе ги игнорира и на други мрежи.

Ограничете го мрежниот пристап, не целиот LAN

Дозволете им на регистрираните корисници да го достигнат сервисот Nextcloud и неговите потребни зависности, а администрацијата на серверот држете ја на одделна патека. VPN што пушта клиент во целата домашна или канцелариска мрежа му дава на тој клиент многу повеќе отколку што бара апликацијата.

Пристапот преку VPN не ги заменува сметките, дозволите или дополнителната автентикација на Nextcloud. Апликацијата сѐ уште одлучува кој корисник смее да чита која датотека, а мрежниот слој не треба да биде единствената контрола.

Запишете го одобрениот опсег на изворот и портите на сервисот. Сопственикот на целта го бара набљудуваниот извор, а NAT или прокси можат да го препишат пред барањето да стигне до апликацијата.

Прегледајте го секој работен тек надвор од прелистувачот

Синхронизацијата на компјутерот и мобилните прикачувања отвораат свои врски во свои времиња. Тие бараат одобрена приватна патека кога се поврзуваат, и можат да се однесуваат поинаку кога VPN-то отсутствува: повторен обид, пауза или прикажување грешка. Тестирајте го секој, не само прелистувачот.

Алатките WebDAV и клиентите за календар или контакти се одделни интеграции со сопствена конфигурација. Клиент што кешира јавна URL продолжува да ја обидува таа URL по промената на периметарот, а неуспехот изгледа како проблем на апликацијата.

Споделените врски заслужуваат изречна одлука. Врската не му дава пристап до VPN на својот примач, така што во навистина проект само за VPN надворешен примач не може да ја користи, иако врската е валидна. Ако споделувањето кон надвор е потребно, тоа е намерен исклучок со сопствена патека за пристап, не пропуст што се открива подоцна.

Федерацијата и интеграциите сервер-кон-сервер бараат ист третман. Тие се односи на достапност меѓу инсталации, а само приватно распоредување мора да каже дали се поддржани.

Прифатете го и дозволениот и одбиениот случај

Од одобрен клиент, проверете го веб-интерфејсот и вообичаено прикачување или преземање датотека. Потоа проверете клиент за синхронизација и еден работен тек надвор од прелистувачот. Успехот само во прелистувачот не е прифаќање.

Од неодобрена патека, потврдете дека апликацијата е недостапна преку секој влез на листата. Тестирајте го алтернативното име на домаќин и IPv6 адресата, не само главната URL.

На крајот прегледајте ги поставките на апликацијата што лесно се мешаат со мрежната политика. trusted_domains ги наведува имињата што инстанцата ги прифаќа; тоа не е список на дозволени IP-адреси на клиенти. Ако обратно прокси доставува информации за адресата, trusted_proxies мора да го наведе вистинското прокси, а проследените заглавија треба да се прифаќаат само од него.

Продолжете со вообичаената работа на зацврстување заедно со мрежната промена: држете ги податоците и резервните копии надвор од несакани веб-патеки, ажурирајте ја апликацијата, заштитете го пристапот на администраторот и одржувајте го враќањето употребливо. VPN отстранува една влезна површина; тоа не го прави регистрираниот клиент доверлив.