Nextcloud iba cez VPN: najprv zmapujte všetky vstupy

Plán Nextcloud iba cez VPN zlyhá, keď chráni prehliadač a zabudne na synchronizačného klienta. Webová stránka, synchronizačný engine pre počítač, mobilné nahrávania, nástroje WebDAV a príjemcovia zdieľaných odkazov všetci potrebujú cestu k tej istej službe a každý z nich môže odhaliť iný vstup. Zmapujte ich, kým čokoľvek zavriete. Ten zoznam je skutočný obvod.

Prejdite kontrolný zoznam v poradí. Prvý bod určuje, čo pre toto nasadenie znamená súkromné; ďalšie body overujú, či nasadenie tejto definícii skutočne zodpovedá.

Definujte súkromné skôr, než zmeníte obvod

Napíšte požiadavku jednou vetou: každý používateľ sa musí pripojiť k VPN, kým sa dostane k aplikácii, alebo aplikácia môže zostať verejná, zatiaľ čo jej pôvod zostáva súkromný. To sú rôzne návrhy a verejná reverzná proxy, ktorá presmerúva do súkromného tunela, spĺňa iba druhý.

Súkromná adresa backendu nerobí aplikáciu súkromnou. Ak verejné mapovanie, druhé meno hostiteľa alebo IPv6 poslucháč stále dosiahnu tú istú inštanciu Nextcloudu, vstup existuje bez ohľadu na to, kde sa backend nachádza. Otestujte každé meno zvonka, kým službu vyhlásite za súkromnú. Chýbajúci DNS záznam nie je to isté ako zatvorený port.

Dohodnite sa aj na zamýšľanom publiku: zamestnanci, domácnosť, partnerská organizácia alebo podmnožina účtov. Odpoveď rozhoduje o tom, či je verejný odkaz na zdieľanie funkcia alebo protiklad. Zapíšte toto publikum do plánu prístupu. Je to skúška pre každú výnimku, ktorá nasleduje.

Zmapujte každý vstup a každé meno

Vymenujte verejné mapovania adries, reverzné proxy, alternatívne mená hostiteľov, IPv6 poslucháčov a akúkoľvek adresu tunela alebo mesh siete, ktorá dosiahne službu. Zahrňte mená, ktoré sa prekladajú na tieto adresy, pretože zabudnutý DNS záznam je vstup s priateľskou značkou.

Skontrolujte konfiguráciu proxy na preposielané hlavičky a alternatívne bloky servera. Proxy pridaná pre inú aplikáciu môže odhaliť ten istý upstream cez cestu alebo zvyšný virtuálny hostiteľ. Čítajte skutočnú konfiguráciu, nie zamýšľaný diagram. Obe sa najčastejšie rozchádzajú po presunutí aplikácie.

Potom zablokujte vstupy, ktoré ste si nevybrali. Súkromný backend s verejným frontom nie je návrh iba cez VPN a pravidlo firewallu, ktoré pokrýva iba IPv4, necháva IPv6 poslucháča otvoreného. Zatvorte obe rodiny aj obe mená v tej istej zmene.

Dajte každému klientovi jedno meno služby

Nasmerujte súkromný DNS na službu, preveďte to meno cez VPN a vystavte preň certifikát. Meno sa musí preložiť cez súkromnú cestu a overiť bez varovania. Klient, ktorý sa dostane priamo na IP, stále potrebuje fungujúce meno.

Klienti, ktorí sa pripájajú cez nesúvisiacu IP adresu, by nemali musieť odkladať chyby certifikátu, aby návrh fungoval. Stabilné meno tiež bráni synchronizačným klientom vytvárať duplicitné položky servera, keď sa adresa zmení. To je rozdiel medzi súkromnou službou a súkromnou IP.

Nechajte overovanie certifikátov zapnuté. Súkromná sieť znižuje expozíciu, no nerobí neoverené TLS spojenie prijateľným, a klient zvyknutý ignorovať varovania ich bude ignorovať aj v iných sieťach.

Obmedzte sieťový prístup, nie celú LAN

Umožnite registrovaným používateľom dosiahnuť službu Nextcloud a jej potrebné závislosti a správu servera držte na samostatnej ceste. VPN, ktorá vpustí klienta do celej domácej alebo kancelárskej siete dáva tomuto klientovi oveľa viac, než aplikácia vyžaduje.

Prístup do VPN nenahrádza účty, oprávnenia ani dodatočné overovanie Nextcloudu. Aplikácia stále rozhoduje, ktorý používateľ smie čítať ktorý súbor, a sieťová vrstva by nemala byť jedinou kontrolou.

Zaznamenajte schválený rozsah zdroja a porty služby. Vlastník cieľa potrebuje pozorovaný zdroj a NAT alebo proxy ho môže prepísať, kým požiadavka dorazí do aplikácie.

Prejdite každý pracovný postup mimo prehliadača

Synchronizácia na počítači a mobilné nahrávania otvárajú vlastné spojenia vo vlastných časoch. Pri pripájaní potrebujú schválenú súkromnú cestu a môžu sa správať inak, keď VPN chýba: skúsiť znova, pozastaviť alebo zobraziť chybu. Otestujte každý z nich, nie iba prehliadač.

Nástroje WebDAV a klienti kalendára alebo kontaktov sú samostatné integrácie s vlastnou konfiguráciou. Klient, ktorý ukladá verejnú URL do vyrovnávacej pamäte, sa o ňu po zmene obvodu stále pokúša, a zlyhanie vyzerá ako problém aplikácie.

Zdieľané odkazy si zaslúžia výslovné rozhodnutie. Odkaz neudeľuje príjemcovi prístup do VPN, takže v návrhu naozaj iba cez VPN ho vonkajší príjemca nemôže použiť, aj keď je odkaz platný. Ak je zdieľanie von potrebné, je to zámerná výnimka s vlastnou cestou prístupu, nie opomenutie, ktoré objavíte neskôr.

Federácia a integrácie server na server potrebujú rovnaké zaobchádzanie. Sú to vzťahy dosiahnuteľnosti medzi inštaláciami a nasadenie iba súkromné musí povedať, či sú podporované.

Prijmite povolený aj zamietnutý prípad

Zo schváleného klienta skontrolujte webové rozhranie a bežné nahranie alebo stiahnutie súboru. Potom skontrolujte synchronizačného klienta a jeden pracovný postup mimo prehliadača. Úspech iba v prehliadači nie je prijatie.

Z neschválenej cesty potvrďte, že aplikácia nie je dosiahnuteľná cez žiadny vstup v zozname. Otestujte alternatívne meno hostiteľa a adresu IPv6, nie iba hlavnú URL.

Nakoniec prejdite nastavenia aplikácie, ktoré sa ľahko zamieňajú so sieťovou politikou. trusted_domains uvádza mená, ktoré inštancia prijíma; nie je to zoznam povolených IP klientov. Ak reverzná proxy poskytuje informácie o adrese, trusted_proxies musí uviesť skutočnú proxy a preposielané hlavičky by sa mali prijímať iba od nej.

Pokračujte v bežnom spevňovaní popri zmene siete: držte dáta a zálohy mimo neúmyselných webových ciest, aktualizujte aplikáciu, chráňte prístup správcu a udržujte obnovu použiteľnú. VPN odstraňuje jednu vstupnú plochu; nerobí zaregistrovaného klienta dôveryhodným.