Nextcloud biss permezz tal-VPN: l-ewwel inventarja kull daħla

Pjan ta’ Nextcloud biss permezz tal-VPN ifalli meta jipproteġi l-browser u jinsa l-klijent tas-sinkronizzazzjoni. Il-paġna web, il-magna tas-sinkronizzazzjoni tad-desktop, it-tlugħ mill-mowbajl, l-għodod WebDAV u d-destinatarji tal-links maqsuma kollha jeħtieġu triq lejn l-istess servizz, u kull wieħed jista’ jikxef daħla differenti. Inventarjahom qabel ma tagħlaq xejn. Dik il-lista hija l-perimetru veru.

Mexxi l-lista ta’ kontroll fl-ordni. L-ewwel punt jiddefinixxi xi jfisser privat għal din id-deployment; il-punti ta’ wara jittestjaw jekk id-deployment tassew jaqbilx ma’ dik id-definizzjoni.

Iddefinixxi privat qabel ma tbiddel il-perimetru

Ikteb il-ħtieġa f’sentenza waħda: kull utent irid jingħaqad mal-VPN qabel ma jasal għall-applikazzjoni, jew l-applikazzjoni tista’ tibqa’ pubblika waqt li l-oriġini tagħha tibqa’ privata. Dawn huma disinji differenti, u proxy invers pubbliku li jgħaddi fi tunnel privat jissodisfa biss it-tieni.

Indirizz ta’ backend privat ma jagħmilx l-applikazzjoni privata. Jekk mapping pubbliku, it-tieni isem tal-host jew listener IPv6 għadhom jilħqu l-istess istanza ta’ Nextcloud, id-daħla teżisti irrispettivament minn fejn jinsab il-backend. Ittestja kull isem minn barra qabel ma tiddikjara s-servizz privat. Rekord DNS nieqes mhuwiex l-istess bħal port magħluq.

Aqbel ukoll dwar l-udjenza maħsuba: impjegati, dar, organizzazzjoni sħab jew sottoinsiemi ta’ kontijiet. It-tweġiba tiddetermina jekk link maqsum pubbliku huwiex karatteristika jew kontradizzjoni. Ikteb dik l-udjenza fil-pjan ta’ aċċess. Hija l-prova għal kull eċċezzjoni li ssegwi.

Inventarja kull daħla u kull isem

Elenka mappings tal-indirizzi pubbliċi, proxijiet inversi, ismijiet tal-host alternattivi, listeners IPv6 u kwalunkwe indirizz ta’ tunnel jew mesh li jasal għas-servizz. Inkludi l-ismijiet li jsolvu għal dawk l-indirizzi, għax rekord DNS minsija hija daħla b’tikketta faċli.

Iċċekkja l-konfigurazzjoni tal-proxy għal headers mgħoddija u blokki tas-server alternattivi. Proxy miżjud għal applikazzjoni oħra jista’ jikxef l-istess upstream permezz ta’ mogħdija jew host virtwali li jkun baqa’. Aqra l-konfigurazzjoni attwali mhux id-dijagramma maħsuba. It-tnejn jiddevjaw l-aktar spiss wara li applikazzjoni tiġi mċaqalqa.

Imbagħad ibblokka d-daħliet li ma għażiltx. Backend privat b’front pubbliku mhuwiex disinn biss tal-VPN, u regola tal-firewall li tkopri biss IPv4 tħalli l-listener IPv6 miftuħ. Agħlaq iż-żewġ familji u ż-żewġ ismijiet fl-istess bidla.

Agħti lil kull klijent isem wieħed tas-servizz

Idderieġi d-DNS privat lejn is-servizz, għaddi dak l-isem mill-VPN u ħareġ iċ-ċertifikat għalih. L-isem irid jiġi solvut mill-mogħdija privata u jiġi vvalidat mingħajr twissija. Klijent li jasal direttament għall-IP għadu jeħtieġ li l-isem jaħdem.

Il-klijenti li jikkonnettjaw permezz ta’ indirizz IP mhux relatat m’għandhomx ikollhom jarmu żbalji taċ-ċertifikat biex id-disinn jaħdem. Isem stabbli wkoll iżomm il-klijenti tas-sinkronizzazzjoni milli joħolqu entrati tas-server doppji meta indirizz jinbidel. Din hija d-differenza bejn servizz privat u IP privata.

Ħalli l-validazzjoni taċ-ċertifikati attiva. Netwerk privat inaqqas l-espożizzjoni iżda ma jagħmilx konnessjoni TLS mhux validata aċċettabbli, u klijent imħarreġ jinjora t-twissijiet se jinjorahom ukoll fuq netwerks oħra.

Illimita l-aċċess għan-netwerk, mhux il-LAN kollu

Ħalli lill-utenti rreġistrati jilħqu s-servizz ta’ Nextcloud u d-dipendenzi meħtieġa tiegħu, u żomm l-amministrazzjoni tas-server fuq mogħdija separata. VPN li tħalli klijent jidħol fin-netwerk kollu tad-dar jew tal-uffiċċju tagħti lil dak il-klijent ħafna aktar milli teħtieġ l-applikazzjoni.

Id-daħla fil-VPN ma tissostitwixxix il-kontijiet, il-permessi jew l-awtentikazzjoni addizzjonali ta’ Nextcloud. L-applikazzjoni għadha tiddeċiedi liema utent jista’ jaqra liema fajl, u s-saff tan-netwerk m’għandux ikun l-unika kontroll.

Irreġistra l-firxa tas-sors approvata u l-ports tas-servizz. Is-sid tal-mira jeħtieġ is-sors osservat, u NAT jew proxy jistgħu jerġgħu jiktbuh qabel ma t-talba tasal għall-applikazzjoni.

Irrevedi kull fluss tax-xogħol barra mill-browser

Is-sinkronizzazzjoni tad-desktop u t-tlugħ mill-mowbajl jiftħu l-konnessjonijiet tagħhom fi żminijiethom. Jeħtieġu l-mogħdija privata approvata meta jikkonnettjaw, u jistgħu jġibu ruħhom b’mod differenti meta l-VPN ma jkunx hemm: jerġgħu jippruvaw, jieqfu jew juru żball. Ittestja kull wieħed, mhux biss il-browser.

L-għodod WebDAV u l-klijenti tal-kalendarju jew tal-kuntatti huma integrazzjonijiet separati bil-konfigurazzjoni tagħhom. Klijent li jaħżen URL pubbliku fil-cache jibqa’ jipprova dak l-URL wara l-bidla tal-perimetru, u l-falliment jidher bħala problema tal-applikazzjoni.

Il-links maqsuma jixirqilhom deċiżjoni espliċita. Link ma jagħtix aċċess VPN lid-destinatarju tiegħu, għalhekk fi disinn verament biss tal-VPN destinatarju barrani ma jistax jużah anki jekk il-link tkun valida. Jekk il-qsim lejn barra huwa meħtieġ, dik hija eċċezzjoni deliberata bil-mogħdija tal-aċċess tagħha, mhux ommissjoni li tinstab aktar tard.

Il-federazzjoni u l-integrazzjonijiet server għal server jeħtieġu l-istess trattament. Dawn huma relazzjonijiet ta’ raġġungibilità bejn installazzjonijiet, u deployment privat biss irid jgħid jekk humiex appoġġjati.

Aċċetta kemm il-każ permess kif ukoll dak miċħud

Minn klijent approvat, iċċekkja l-interfaċċja web u tlugħ jew niżla ta’ fajl ordinarja. Imbagħad iċċekkja klijent tas-sinkronizzazzjoni u fluss tax-xogħol wieħed barra mill-browser. Suċċess fil-browser biss mhuwiex aċċettazzjoni.

Minn mogħdija mhux approvata, ikkonferma li l-applikazzjoni mhijiex raġġungibbli permezz ta’ kull daħla fl-inventarju. Ittestja l-isem tal-host alternattiv u l-indirizz IPv6, mhux biss l-URL prinċipali.

Fl-aħħar, irrevedi s-settings tal-applikazzjoni li huma faċli li jiġu konfużi mal-politika tan-netwerk. trusted_domains jelenka l-ismijiet li l-istanza taċċetta; mhijiex lista ta’ permess tal-IP tal-klijent. Jekk proxy invers iforni informazzjoni dwar l-indirizz, trusted_proxies irid isemmi l-proxy attwali, u l-headers mgħoddija għandhom jiġu aċċettati biss minnha.

Kompli x-xogħol tas-saħħa normali flimkien mal-bidla tan-netwerk: żomm id-dejta u l-backups barra minn mogħdijiet web mhux maħsuba, patteġġja l-applikazzjoni, ipproteġi l-aċċess tal-amministratur u żomm l-irkupru użabbli. VPN tneħħi wiċċ tad-daħla wieħed; ma tagħmilx klijent rreġistrat affidabbli.