Nextcloud melalui VPN sahaja: inventori setiap pintu masuk dahulu

Pelan Nextcloud melalui VPN sahaja gagal apabila ia melindungi pelayar dan terlupa klien penyegerakan. Halaman web, enjin penyegerakan desktop, muat naik mudah alih, alat WebDAV dan penerima pautan dikongsi semuanya memerlukan laluan ke perkhidmatan yang sama, dan setiap satu boleh mendedahkan pintu masuk yang berbeza. Inventorikannya sebelum menutup apa-apa. Senarai itu ialah perimeter sebenar.

Lakukan senarai semak mengikut urutan. Item pertama mentakrifkan maksud peribadi untuk penggunaan ini; item kemudian menguji sama ada penggunaan itu benar-benar sepadan dengan takrifan tersebut.

Takrifkan peribadi sebelum mengubah perimeter

Tulis keperluan dalam satu ayat: setiap pengguna mesti menyertai VPN sebelum mencapai aplikasi, atau aplikasi boleh kekal awam sementara asalnya kekal peribadi. Itu reka bentuk yang berbeza, dan proksi songsang awam yang meneruskan ke terowong peribadi hanya memenuhi yang kedua.

Alamat backend peribadi tidak menjadikan aplikasi peribadi. Jika pemetaan awam, nama hos kedua atau pendengar IPv6 masih mencapai instans Nextcloud yang sama, pintu masuk itu wujud tanpa mengira di mana backend berada. Uji setiap nama dari luar sebelum mengisytiharkan perkhidmatan itu peribadi. Rekod DNS yang hilang bukan sama dengan port tertutup.

Bersetuju juga tentang khalayak yang dimaksudkan: pekerja, isi rumah, organisasi rakan kongsi atau subset akaun. Jawapannya menentukan sama ada pautan kongsi awam ialah ciri atau percanggahan. Tulis khalayak itu dalam pelan akses. Itulah ujian bagi setiap pengecualian yang menyusul.

Inventori setiap pintu masuk dan setiap nama

Senaraikan pemetaan alamat awam, proksi songsang, nama hos alternatif, pendengar IPv6 dan mana-mana alamat terowong atau mesh yang mencapai perkhidmatan. Sertakan nama yang menyelesaikan kepada alamat tersebut, kerana rekod DNS yang terlupa ialah pintu masuk dengan label mesra.

Periksa konfigurasi proksi untuk pengepala yang diteruskan dan blok pelayan alternatif. Proksi yang ditambah untuk aplikasi lain boleh mendedahkan upstream yang sama melalui laluan atau hos maya yang tertinggal. Baca konfigurasi sebenar dan bukan rajah yang dirancang. Kedua-duanya paling kerap menyimpang selepas aplikasi dipindahkan.

Kemudian sekat pintu masuk yang tidak anda pilih. Backend peribadi dengan hadapan awam bukan reka bentuk VPN sahaja, dan peraturan firewall yang hanya meliputi IPv4 membiarkan pendengar IPv6 terbuka. Tutup kedua-dua keluarga dan kedua-dua nama dalam perubahan yang sama.

Berikan setiap klien satu nama perkhidmatan

Halakan DNS peribadi ke perkhidmatan, laluan nama itu melalui VPN dan keluarkan sijil untuknya. Nama itu mesti diselesaikan melalui laluan peribadi dan disahkan tanpa amaran. Klien yang mencapai IP secara langsung masih memerlukan nama itu berfungsi.

Klien yang menyambung melalui alamat IP yang tidak berkaitan tidak sepatutnya perlu mengabaikan ralat sijil supaya reka bentuk berfungsi. Nama yang stabil juga menghalang klien penyegerakan daripada mencipta entri pelayan berganda apabila alamat berubah. Itulah perbezaan antara perkhidmatan peribadi dan IP peribadi.

Biarkan pengesahan sijil dihidupkan. Rangkaian peribadi mengurangkan pendedahan tetapi tidak menjadikan sambungan TLS yang tidak disahkan boleh diterima, dan klien yang biasa mengabaikan amaran akan mengabaikannya juga pada rangkaian lain.

Hadkan akses rangkaian, bukan seluruh LAN

Benarkan pengguna berdaftar mencapai perkhidmatan Nextcloud dan kebergantungan yang diperlukan, dan kekalkan pentadbiran pelayan pada laluan berasingan. VPN yang membenarkan klien masuk ke seluruh rangkaian rumah atau pejabat memberikan klien itu jauh lebih banyak daripada yang diperlukan aplikasi.

Kemasukan VPN tidak menggantikan akaun, kebenaran atau pengesahan tambahan Nextcloud. Aplikasi masih menentukan pengguna mana boleh membaca fail mana, dan lapisan rangkaian tidak sepatutnya menjadi satu-satunya kawalan.

Catat julat sumber yang diluluskan dan port perkhidmatan. Pemilik sasaran memerlukan sumber yang diperhatikan, dan NAT atau proksi boleh menulis semula sebelum permintaan mencapai aplikasi.

Semak setiap aliran kerja di luar pelayar

Penyegerakan desktop dan muat naik mudah alih membuka sambungan mereka sendiri pada masa mereka sendiri. Mereka memerlukan laluan peribadi yang diluluskan apabila menyambung, dan mereka mungkin berkelakuan berbeza apabila VPN tiada: cuba semula, jeda atau memaparkan ralat. Uji setiap satu, bukan hanya pelayar.

Alat WebDAV dan klien kalendar atau kenalan ialah integrasi berasingan dengan konfigurasi mereka sendiri. Klien yang menyimpan URL awam dalam cache terus mencuba URL itu selepas perubahan perimeter, dan kegagalan itu kelihatan seperti masalah aplikasi.

Pautan dikongsi memerlukan keputusan yang jelas. Pautan tidak memberikan akses VPN kepada penerimanya, jadi dalam reka bentuk benar-benar VPN sahaja penerima luar tidak boleh menggunakannya walaupun pautan itu sah. Jika perkongsian ke luar diperlukan, itu pengecualian yang disengajakan dengan laluan aksesnya sendiri, bukan kelekaan yang ditemui kemudian.

Persekutuan dan integrasi pelayan ke pelayan memerlukan layanan yang sama. Itu hubungan ketercapaian antara pemasangan, dan penggunaan peribadi sahaja mesti menyatakan sama ada ia disokong.

Terima kedua-dua kes yang dibenarkan dan yang dinafikan

Daripada klien yang diluluskan, periksa antara muka web dan muat naik atau muat turun fail biasa. Kemudian periksa klien penyegerakan dan satu aliran kerja di luar pelayar. Kejayaan dalam pelayar sahaja bukan penerimaan.

Daripada laluan yang tidak diluluskan, sahkan bahawa aplikasi tidak boleh dicapai melalui setiap pintu masuk dalam inventori. Uji nama hos alternatif dan alamat IPv6, bukan hanya URL utama.

Akhir sekali, semak tetapan aplikasi yang mudah dikelirukan dengan dasar rangkaian. trusted_domains menyenaraikan nama yang diterima instans; ia bukan senarai kebenaran IP klien. Jika proksi songsang membekalkan maklumat alamat, trusted_proxies mesti menamakan proksi sebenar, dan pengepala yang diteruskan sepatutnya diterima hanya daripadanya.

Teruskan kerja pengukuhan biasa bersama perubahan rangkaian: jauhkan data dan sandaran daripada laluan web yang tidak dimaksudkan, tampal aplikasi, lindungi akses pentadbir dan kekalkan pemulihan boleh digunakan. VPN membuang satu permukaan masuk; ia tidak menjadikan klien berdaftar boleh dipercayai.