Nextcloud samo prek VPN: najprej popišite vse vhode

Načrt Nextcloud samo prek VPN spodleti, ko ščiti brskalnik in pozabi odjemalca za sinhronizacijo. Spletna stran, motor za sinhronizacijo na namizju, mobilne naložitve, orodja WebDAV in prejemniki deljenih povezav vsi potrebujejo pot do iste storitve, vsak od njih pa lahko razkrije drug vhod. Popišite jih, preden karkoli zaprete. Ta seznam je resnični obseg.

Pojdite po kontrolnem seznamu po vrsti. Prva točka določa, kaj zasebno pomeni za to uvedbo; naslednje točke preverjajo, ali uvedba res ustreza tej opredelitvi.

Opredelite zasebno, preden spremenite obseg

Zapišite zahtevo v enem stavku: vsak uporabnik se mora pridružiti VPN, preden doseže aplikacijo, ali pa lahko aplikacija ostane javna, medtem ko njen izvor ostane zaseben. To so različne zasnove in javni obratni posrednik, ki posreduje v zasebni tunel, izpolnjuje le drugo.

Zasebni naslov backend ne naredi aplikacije zasebne. Če javno preslikavo, drugo ime gostitelja ali poslušalec IPv6 še vedno dosežejo isto instanco Nextcloude, vhod obstaja ne glede na to, kje je backend. Preizkusite vsako ime od zunaj, preden storitev razglasite za zasebno. Manjkajoč zapis DNS ni isto kot zaprta vrata.

Dogovorite se tudi o ciljni publiki: zaposleni, gospodinjstvo, partnerska organizacija ali podmnožica računov. Odgovor odloči, ali je javna povezava za deljenje funkcija ali protislovje. To publiko zapišite v načrt dostopa. To je preizkus za vsako izjemo, ki sledi.

Popišite vsak vhod in vsako ime

Naštejte javne preslikave naslovov, obratne posrednike, nadomestna imena gostiteljev, poslušalce IPv6 in vsak naslov tunela ali mreže mesh, ki doseže storitev. Vključite imena, ki se razrešijo v te naslove, ker je pozabljen zapis DNS vhod s prijazno oznako.

Preverite konfiguracijo posrednika glede posredovanih glav in nadomestnih blokov strežnika. Posrednik, dodan za drugo aplikacijo, lahko razkrije isti upstream prek poti ali preostalega navideznega gostitelja. Berite dejansko konfiguracijo, ne predvidenega diagrama. Oba se najpogosteje razhajata po premiku aplikacije.

Nato blokirajte vhode, ki jih niste izbrali. Zasebni backend z javnim sprednjim delom ni zasnova samo prek VPN, pravilo požarnega zidu, ki pokriva samo IPv4, pa pušča poslušalca IPv6 odprtega. Zaprite obe družini in obe imeni v isti spremembi.

Vsakemu odjemalcu dajte eno ime storitve

Usmerite zasebni DNS na storitev, speljite to ime skozi VPN in izdajte potrdilo zanj. Ime se mora razrešiti skozi zasebno pot in potrditi brez opozorila. Odjemalec, ki doseže IP neposredno, še vedno potrebuje delujoče ime.

Odjemalci, ki se povezujejo prek nepovezanega naslova IP, ne bi smeli zavračati napak potrdila, da bi zasnova delovala. Stabilno ime tudi preprečuje odjemalcem za sinhronizacijo, da bi ob spremembi naslova ustvarili podvojene vnose strežnika. To je razlika med zasebno storitvijo in zasebnim naslovom IP.

Pustite preverjanje potrdil vklopljeno. Zasebno omrežje zmanjša izpostavljenost, a ne naredi nepreverjene povezave TLS sprejemljive, odjemalec, ki je navajen ignorirati opozorila, pa jih bo ignoriral tudi v drugih omrežjih.

Omejite omrežni dostop, ne celotnega omrežja LAN

Dovolite registriranim uporabnikom, da dosežejo storitev Nextcloud in njene potrebne odvisnosti, upravljanje strežnika pa držite na ločeni poti. VPN, ki spusti odjemalca v celotno domače ali pisarniško omrežje da temu odjemalcu veliko več, kot zahteva aplikacija.

Dostop do VPN ne nadomesti računov, dovoljenj ali dodatnega preverjanja pristnosti Nextcloude. Aplikacija še vedno odloča, kateri uporabnik sme brati katero datoteko, in omrežna plast ne bi smela biti edina kontrola.

Zabeležite odobren obseg vira in vrata storitve. Lastnik cilja potrebuje opaženi vir, NAT ali posrednik pa ga lahko prepiše, preden zahteva doseže aplikacijo.

Preglejte vsak delovni tok zunaj brskalnika

Sinhronizacija na namizju in mobilne naložitve odpirajo lastne povezave ob svojih časih. Ko se povezujejo, potrebujejo odobreno zasebno pot, in lahko se obnašajo drugače, ko VPN manjka: poskusijo znova, se ustavijo ali prikažejo napako. Preizkusite vsakega, ne le brskalnika.

Orodja WebDAV in odjemalci koledarja ali stikov so ločene integracije z lastno konfiguracijo. Odjemalec, ki predpomni javni URL, tega URL poskuša tudi po spremembi obsega, in napaka je videti kot težava aplikacije.

Deljene povezave si zaslužijo izrecno odločitev. Povezava prejemniku ne podeli dostopa do VPN, zato v zasnovi res samo prek VPN zunanji prejemnik ne more uporabiti, čeprav je povezava veljavna. Če je deljenje navzven potrebno, je to namerna izjema z lastno potjo dostopa, ne spregled, ki bi ga odkrili pozneje.

Federacija in integracije strežnik na strežnik potrebujejo enako obravnavo. To so odnosi dosegljivosti med namestitvami, in uvedba samo zasebna mora povedati, ali so podprte.

Sprejmite dovoljeni in zavrnjeni primer

Z odobrenega odjemalca preverite spletni vmesnik in običajno nalaganje ali prenos datoteke. Nato preverite odjemalca za sinhronizacijo in en delovni tok zunaj brskalnika. Uspeh samo v brskalniku ni sprejetje.

Z neodobrene poti potrdite, da aplikacija ni dosegljiva prek nobenega vhoda na seznamu. Preizkusite nadomestno ime gostitelja in naslov IPv6, ne le glavnega URL.

Na koncu preglejte nastavitve aplikacije, ki jih je lahko zamenjati z omrežno politiko. trusted_domains navaja imena, ki jih instanca sprejema; to ni seznam dovoljenih naslovov IP odjemalcev. Če obratni posrednik zagotavlja podatke o naslovu, trusted_proxies mora navesti dejanski posrednik, posredovane glave pa bi bilo treba sprejemati samo od njega.

Nadaljujte običajno utrjevanje ob spremembi omrežja: hranite podatke in varnostne kopije zunaj nenamernih spletnih poti, posodabljajte aplikacijo, zaščitite dostop skrbnika in ohranite obnovitev uporabno. VPN odstrani eno vhodno površino; registriranega odjemalca ne naredi zaupanja vrednega.