Nextcloud alleen via VPN: inventariseer eerst elke ingang

Een Nextcloud-plan alleen via VPN mislukt wanneer het de browser beschermt en de synchronisatieclient vergeet. De webpagina, de desktop-synchronisatie-engine, mobiele uploads, WebDAV-tools en ontvangers van gedeelde links hebben allemaal een pad naar dezelfde dienst nodig, en elk kan een andere ingang blootleggen. Inventariseer ze voordat u iets sluit. Die lijst is de echte perimeter.

Werk de checklist op volgorde af. Het eerste punt bepaalt wat privé betekent voor deze implementatie; de latere punten testen of de implementatie echt aan die definitie voldoet.

Definieer privé voordat u de perimeter wijzigt

Schrijf de eis in één zin op: elke gebruiker moet lid worden van de VPN voordat hij de applicatie bereikt, of de applicatie mag openbaar blijven terwijl de oorsprong privé blijft. Dat zijn verschillende ontwerpen, en een openbare reverse proxy die naar een privétunnel doorstuurt, voldoet alleen aan het tweede.

Een privé-backendadres maakt de applicatie niet privé. Als een openbare mapping, een tweede hostnaam of een IPv6-listener nog steeds dezelfde Nextcloud-instantie bereikt, bestaat de ingang ongeacht waar de backend staat. Test elke naam van buiten voordat u de dienst privé verklaart. Een ontbrekend DNS-record is niet hetzelfde als een gesloten poort.

Spreek ook het beoogde publiek af: medewerkers, een huishouden, een partnerorganisatie of een subset van accounts. Het antwoord bepaalt of een openbare deellink een functie of een tegenspraak is. Schrijf dat publiek in het toegangsplan. Het is de test voor elke uitzondering die volgt.

Inventariseer elke ingang en elke naam

Lijst openbare adresmappings, reverse proxies, alternatieve hostnamen, IPv6-listeners en elk tunnel- of mesh-adres dat de dienst bereikt op. Neem de namen op die naar die adressen verwijzen, want een vergeten DNS-record is een ingang met een vriendelijk label.

Controleer de proxyconfiguratie op doorgestuurde headers en alternatieve serverblokken. Een proxy die voor een andere applicatie is toegevoegd, kan dezelfde upstream via een pad of een achtergebleven virtuele host blootleggen. Lees de werkelijke configuratie in plaats van het bedoelde diagram. Die twee wijken het vaakst af nadat een applicatie is verplaatst.

Blokkeer daarna de ingangen die u niet hebt gekozen. Een privé-backend met een openbare frontend is geen ontwerp alleen via VPN, en een firewallregel die alleen IPv4 dekt, laat de IPv6-listener open. Sluit beide families en beide namen in dezelfde wijziging.

Geef elke client één servicenaam

Wijs privé-DNS naar de dienst, routeer die naam door de VPN en geef het certificaat daarvoor uit. De naam moet via het privépad resolven en zonder waarschuwing valideren. Een client die het IP rechtstreeks bereikt, heeft de naam nog steeds nodig.

Clients die via een ongerelateerd IP-adres verbinden, zouden geen certificaatfouten hoeven wegklikken om het ontwerp te laten werken. Een stabiele naam voorkomt ook dat synchronisatieclients dubbele serververmeldingen aanmaken wanneer een adres verandert. Dat is het verschil tussen een privédienst en een privé-IP.

Laat certificaatvalidatie ingeschakeld. Een privénetwerk vermindert blootstelling, maar maakt een niet-gevalideerde TLS-verbinding niet acceptabel, en een client die gewend is waarschuwingen te negeren, negeert ze ook op andere netwerken.

Beperk netwerktoegang, niet het hele LAN

Sta geregistreerde gebruikers toe de Nextcloud-dienst en de benodigde afhankelijkheden te bereiken, en houd serverbeheer op een apart pad. Een VPN die een client toelaat tot het hele thuis- of kantoornetwerk geeft die client veel meer dan de applicatie vereist.

VPN-toegang vervangt geen Nextcloud-accounts, machtigingen of extra authenticatie. De applicatie bepaalt nog steeds welke gebruiker welk bestand mag lezen, en de netwerklaag zou niet de enige controle moeten zijn.

Leg het goedgekeurde bronbereik en de servicepoorten vast. De eigenaar van het doel heeft de waargenomen bron nodig, en NAT of proxy kunnen die herschrijven voordat het verzoek de applicatie bereikt.

Beoordeel elke workflow buiten de browser

Desktopsynchronisatie en mobiele uploads openen hun eigen verbindingen op hun eigen momenten. Ze hebben het goedgekeurde privépad nodig wanneer ze verbinden, en ze kunnen zich anders gedragen wanneer de VPN ontbreekt: opnieuw proberen, pauzeren of een fout tonen. Test elk, niet alleen de browser.

WebDAV-tools en agenda- of contactclients zijn aparte integraties met hun eigen configuratie. Een client die een openbare URL cachet, blijft die URL proberen na de perimeterwijziging, en de fout lijkt op een applicatieprobleem.

Gedeelde links verdienen een expliciete beslissing. Een link geeft de ontvanger geen VPN-toegang, dus in een echt alleen-VPN-ontwerp kan een externe ontvanger hem niet gebruiken ook al is de link geldig. Als delen naar buiten nodig is, is dat een bewuste uitzondering met een eigen toegangspad, geen omissie die later wordt ontdekt.

Federatie en server-naar-server-integraties vereisen dezelfde behandeling. Het zijn bereikbaarheidsrelaties tussen installaties, en een alleen-privé-implementatie moet zeggen of ze worden ondersteund.

Accepteer zowel het toegestane als het geweigerde geval

Controleer vanaf een goedgekeurde client de webinterface en een gewone bestandsupload of -download. Controleer daarna een synchronisatieclient en één workflow buiten de browser. Succes alleen in de browser is geen acceptatie.

Bevestig vanaf een niet-goedgekeurd pad dat de applicatie onbereikbaar is via elke ingang in de inventaris. Test de alternatieve hostnaam en het IPv6-adres, niet alleen de primaire URL.

Beoordeel tot slot de applicatie-instellingen die gemakkelijk met netwerkbeleid te verwarren zijn. trusted_domains vermeldt namen die de instantie accepteert; het is geen allowlist voor client-IP's. Als een reverse proxy adresinformatie levert, trusted_proxies moet de werkelijke proxy benoemen, en doorgestuurde headers mogen alleen daarvan worden geaccepteerd.

Ga door met het gebruikelijke verhardingswerk naast de netwerkwijziging: houd gegevens en back-ups buiten onbedoelde webpaden, patch de applicatie, bescherm beheerderstoegang en houd herstel bruikbaar. Een VPN verwijdert één ingangsoppervlak; het maakt een geregistreerde client niet betrouwbaar.