Nextcloud зөвхөн VPN-ээр: эхлээд бүх орцыг бүртгэ

Зөвхөн VPN-ээр ажиллах Nextcloud төлөвлөгөө нь хөтчийг хамгаалаад синхрончлолын клиентийг мартах үед бүтэлгүйтдэг. Веб хуудас, ширээний синхрончлолын хөдөлгүүр, мобайл байршуулалт, WebDAV хэрэгсэл, хуваалцсан холбоос хүлээн авагчид бүгд ижил үйлчилгээ рүү нэг зам хэрэгтэй бөгөөд тус бүр өөр орцыг ил гаргаж болно. Ямар нэг зүйлийг хаахаас өмнө тэдгээрийг бүртгэ. Тэр жагсаалт бол жинхэнэ периметр.

Шалгах жагсаалтыг дарааллаар нь гүйцэтгэ. Эхний зүйл энэ байршуулалтад хувийн гэдэг нь юу гэсэн үг болохыг тодорхойлно; дараагийн зүйлс байршуулалт тэр тодорхойлолттой үнэхээр нийцэж байгаа эсэхийг шалгана.

Периметрийг өөрчлөхөөс өмнө хувийныг тодорхойл

Шаардлагыг нэг өгүүлбэрээр бич: хэрэглэгч бүр апп руу хүрэхийн өмнө VPN-д нэгдэх ёстой, эсвэл апп нээлттэй хэвээр байж болно, харин түүний эх үүсвэр хувийн хэвээр байна. Эдгээр нь өөр загварууд бөгөөд хувийн туннель рүү дамжуулдаг нээлттэй урвуу прокси зөвхөн хоёр дахийг хангана.

Хувийн backend хаяг нь аппыг хувийн болгодоггүй. Хэрэв нээлттэй зураглал, хоёр дахь хостын нэр эсвэл IPv6 сонсогч ижил Nextcloud хувилбарт хүрсээр байвал backend хаана ч байсан орц байна. Үйлчилгээг хувийн гэж зарлахаас өмнө нэр бүрийг гаднаас шалга. Дутуу DNS бичлэг хаалттай порттой ижил биш.

Зорилтот үзэгчдийг ч зөвшилц: ажилчид, нэг өрх, түнш байгууллага эсвэл бүртгэлийн дэд бүлэг. Хариулт нь нээлттэй хуваалцах холбоос нь боломж уу зөрчил үү гэдгийг шийднэ. Тэр үзэгчдийг нэвтрэх төлөвлөгөөнд бич. Энэ нь дараах бүх үл хамаарах зүйлийн шалгалт.

Бүх орц, бүх нэрийг бүртгэ

Нээлттэй хаягийн зураглал, урвуу прокси, өөр хостын нэр, IPv6 сонсогч, үйлчилгээнд хүрэх аливаа туннель эсвэл mesh хаягийг жагсаа. Эдгээр хаяг руу тайлагдах нэрсийг ч оруул, учир нь мартагдсан DNS бичлэг нь найрсаг шошготой орц юм.

Прокси тохиргоог дамжуулсан header болон өөр серверийн блокоор шалга. Өөр апп-д зориулж нэмсэн прокси ижил upstream-ыг зам эсвэл үлдсэн виртуал хостогоор ил гаргаж болно. Төлөвлөсөн диаграм биш бодит тохиргоог унш. Аппыг зөөсний дараа хоёулаа хамгийн их зөрдөг.

Дараа нь сонгоогүй орцуудыг блокло. Нээлттэй фронттой хувийн backend нь зөвхөн VPN загвар биш бөгөөд зөвхөн IPv4-ийг хамарсан галт хананы дүрэм IPv6 сонсогчийг нээлттэй үлдээнэ. Хоёр гэр бүл, хоёр нэрийг нэг өөрчлөлтөөр хаа.

Клиент бүрт нэг үйлчилгээний нэр өг

Хувийн DNS-ийг үйлчилгээ рүү чиглүүл, тэр нэрийг VPN-ээр дамжуул, түүнд зориулж гэрчилгээ гарга. Нэр нь хувийн замаар тайлагдаж, анхааруулгагүйгээр баталгаажих ёстой. IP-д шууд хүрдэг клиентэд ч нэр ажиллах шаардлагатай.

Холбоогүй IP хаягаар холбогддог клиентүүд загвар ажиллахын тулд гэрчилгээний алдааг үл тоомсорлох шаардлагагүй байх ёстой. Тогтвортой нэр нь хаяг өөрчлөгдөхөд синк клиентүүд давхардсан серверийн бичлэг үүсгэхээс ч сэргийлнэ. Энэ нь хувийн үйлчилгээ ба хувийн IP-ийн ялгаа.

Гэрчилгээний баталгаажуулалтыг идэвхтэй үлдээ. Хувийн сүлжээ нь өртөлтийг бууруулдаг ч баталгаажаагүй TLS холболтыг хүлээн зөвшөөрөхүйц болгодоггүй бөгөөд анхааруулгыг үл тоомсорлож сурсан клиент бусад сүлжээнд ч үл тоомсорлоно.

Сүлжээний нэвтрэлтийг хязгаарла, бүх LAN-ийг биш

Бүртгэлтэй хэрэглэгчдэд Nextcloud үйлчилгээ болон түүний шаардлагатай хамаарлуудад хүрэх боломж олгож, серверийн удирдлагыг тусдаа замд байлга. VPN нь клиентийг бүхэл гэр эсвэл оффисын сүлжээнд оруулдаг тэр клиентэд аппын шаардахаас хамаагүй ихийг өгдөг.

VPN-д нэвтрэх нь Nextcloud бүртгэл, зөвшөөрөл эсвэл нэмэлт баталгаажуулалтыг орлодоггүй. Аль хэрэглэгч аль файлыг уншиж болохыг апп шийдсээр байх бөгөөд сүлжээний давхарга цорын ганц хяналт байх ёсгүй.

Зөвшөөрөгдсөн эх үүсвэрийн хүрээ болон үйлчилгээний портыг бүртгэ. Зорилтын эзэнд ажиглагдсан эх үүсвэр хэрэгтэй бөгөөд хүсэлт апп-д хүрэхийн өмнө NAT эсвэл прокси түүнийг дахин бичиж болно.

Хөтчөөс гадуурх ажлын урсгал бүрийг хяна

Ширээний синхрончлол болон мобайл байршуулалт өөрсдийн цагт өөрсдийн холболтыг нээдэг. Холбогдохдоо зөвшөөрөгдсөн хувийн зам хэрэгтэй бөгөөд VPN байхгүй үед өөрөөр ажиллаж болно: дахин оролдох, түр зогсоох эсвэл алдаа харуулах. Тус бүрийг шалга, зөвхөн хөтчийг биш.

WebDAV хэрэгсэл болон хуанли эсвэл харилцагчийн клиентүүд нь өөрийн тохиргоотой тусдаа интеграцууд. Нээлттэй URL-ийг кэшлэдэг клиент периметрийн өөрчлөлтийн дараа ч тэр URL-ийг оролдсоор байх бөгөөд алдаа нь аппын асуудал мэт харагдана.

Хуваалцсан холбоос нь тодорхой шийдвэр шаарддаг. Холбоос нь хүлээн авагчид VPN нэвтрэлт өгдөггүй тул жинхэнэ зөвхөн VPN загварт гадны хүлээн авагч холбоос хүчинтэй байсан ч ашиглаж чадахгүй. Хэрэв гадагш хуваалцах шаардлагатай бол энэ нь өөрийн нэвтрэх замтай санаатай үл хамаарах зүйл бөгөөд дараа нь илрүүлэх алдаа биш.

Холбоо ба сервер-сервер интеграц нь ижил хандлага шаарддаг. Эдгээр нь суулгацуудын хоорондын хүртээмжийн харилцаа бөгөөд зөвхөн хувийн байршуулалт тэдгээрийг дэмжих эсэхийг хэлэх ёстой.

Зөвшөөрөгдсөн болон татгалзсан тохиолдлыг хоёуланг нь хүлээн зөвшөөр

Зөвшөөрөгдсөн клиентээс веб интерфэйс болон энгийн файл байршуулалт эсвэл татан авалтыг шалга. Дараа нь синхрончлолын клиент болон хөтчөөс гадуурх нэг ажлын урсгалыг шалга. Зөвхөн хөтч дэх амжилт нь хүлээн авалт биш.

Зөвшөөрөгдөөгүй замаас апп нь жагсаалтын бүх орцоор хүрэх боломжгүй гэдгийг батал. Өөр хостын нэр болон IPv6 хаягийг шалга, зөвхөн үндсэн URL-ийг биш.

Эцэст нь сүлжээний бодлоготой амархан андуурагддаг аппын тохиргоог хяна. trusted_domains нь тухайн хувилбарын хүлээн авдаг нэрсийг жагсаадаг; энэ нь клиент IP-ийн зөвшөөрлийн жагсаалт биш. Хэрэв урвуу прокси хаягийн мэдээлэл өгдөг бол, trusted_proxies бодит проксийг нэрлэх ёстой бөгөөд дамжуулсан header-ийг зөвхөн түүнээс хүлээн авах ёстой.

Сүлжээний өөрчлөлттэй зэрэгцэн ердийн бэхжүүлэлтийн ажлыг үргэлжлүүл: өгөгдөл болон нөөц хуулбарыг санамсаргүй веб замаас гадуур байлга, аппыг нөхөж шинэчил, админ нэвтрэлтийг хамгаал, сэргээлтийг ашиглахуйц байлга. VPN нь нэг орцын гадаргууг арилгадаг; энэ нь бүртгэлтэй клиентийг итгэмжлэгдсэн болгодоггүй.