Nextcloud vetëm përmes VPN: fillimisht inventarizo çdo hyrje

Një plan Nextcloud vetëm përmes VPN dështon kur mbron shfletuesin dhe harron klientin e sinkronizimit. Faqja web, motori i sinkronizimit për desktop, ngarkimet mobile, mjetet WebDAV dhe marrësit e lidhjeve të ndara kanë të gjithë nevojë për një rrugë drejt të njëjtit shërbim, dhe secili mund të ekspozojë një hyrje tjetër. Inventarizoji para se të mbyllësh çdo gjë. Ai listë është perimetri i vërtetë.

Ndjek listën e kontrollit sipas radhës. Pika e parë përcakton çfarë do të thotë privat për këtë vendosje; pikat e mëvonshme testojnë nëse vendosja përputhet vërtet me atë përkufizim.

Përcakto privatin para se të ndryshosh perimetrin

Shkruaje kërkesën në një fjali: çdo përdorues duhet t'i bashkohet VPN-së para se të arrijë aplikacionin, ose aplikacioni mund të mbetet publik ndërsa origjina e tij mbetet private. Këto janë dizajne të ndryshme, dhe një proxy invers publik që përçon në një tunel privat përmbush vetëm të dytin.

Një adresë backend private nuk e bën aplikacionin privat. Nëse një hartëzim publik, një emër i dytë hosti ose një dëgjues IPv6 arrijnë ende të njëjtën instancë Nextcloud, hyrja ekziston pavarësisht se ku ndodhet backend-i. Testo çdo emër nga jashtë para se ta shpallësh shërbimin privat. Një regjistrim DNS që mungon nuk është e njëjta gjë me një port të mbyllur.

Bie dakord edhe për publikun e synuar: punonjës, një familje, një organizatë partnere ose një nëngrup llogarish. Përgjigja vendos nëse një lidhje e ndarë publike është veçori ose kundërthënie. Shkruaje atë publik në planin e aksesit. Është testi për çdo përjashtim që vjen.

Inventarizo çdo hyrje dhe çdo emër

Listo hartëzimet publike të adresave, proxy-t inversë, emrat alternativë të hosteve, dëgjuesit IPv6 dhe çdo adresë tuneli ose rrjeti mesh që arrin shërbimin. Përfshi emrat që zgjidhen në ato adresa, sepse një regjistrim DNS i harruar është një hyrje me etiketë miqësore.

Kontrollo konfigurimin e proxy-t për header-at e përçuar dhe blloqet alternative të serverit. Një proxy i shtuar për një aplikacion tjetër mund të ekspozojë të njëjtin upstream përmes një rruge ose një hosti virtual të mbetur. Lexo konfigurimin aktual dhe jo diagramin e synuar. Të dy ndryshojnë më shpesh pasi një aplikacion zhvendoset.

Më pas blloko hyrjet që nuk i zgjodhe. Një backend privat me një front publik nuk është dizajn vetëm për VPN, dhe një rregull firewalls që mbulon vetëm IPv4 e lë dëgjuesin IPv6 hapur. Mbylli të dy familjet dhe të dy emrat në të njëjtin ndryshim.

Jepi çdo klienti një emër të vetëm shërbimi

Drejto DNS-në private drejt shërbimit, kalojë ai emër përmes VPN-së dhe lësho certifikatën për të. Emri duhet të zgjidhet përmes rrugës private dhe të vlerësohet pa paralajmërim. Një klient që arrin drejtpërdrejt IP-në ka ende nevojë që emri të funksionojë.

Klientët që lidhen përmes një adrese IP të palidhur nuk duhet të duhet të hedhin poshtë gabimet e certifikatës që dizajni të funksionojë. Një emër i qëndrueshëm gjithashtu i pengon klientët e sinkronizimit të krijojnë hyrje të dyfishta serveri kur një adresë ndryshon. Ky është ndryshimi midis një shërbimi privat dhe një IP private.

Lëre validimin e certifikatave të aktivizuar. Një rrjet privat ul ekspozimin por nuk e bën të pranueshme një lidhje TLS të pavlerësuar, dhe një klient i mësuar të injorojë paralajmërimet do t'i injorojë ato edhe në rrjetet e tjera.

Kufizo aksesin në rrjet, jo të gjithë LAN-in

Lejo përdoruesit e regjistruar të arrijnë shërbimin Nextcloud dhe varësitë e tij të nevojshme, dhe mbaj administrimin e serverit në një rrugë të veçantë. Një VPN që lejon një klient të hyjë në të gjithë rrjetin e shtëpisë ose zyrës i jep atij klienti shumë më tepër sesa kërkon aplikacioni.

Pranimi në VPN nuk zëvendëson llogaritë, lejet ose vërtetimin shtesë të Nextcloud. Aplikacioni vendos ende cili përdorues mund të lexojë cilin skedar, dhe shtresa e rrjetit nuk duhet të jetë kontrolli i vetëm.

Regjistro intervalin e miratuar të burimit dhe portat e shërbimit. Pronari i destinacionit ka nevojë për burimin e vëzhguar, dhe NAT ose proxy mund ta rishkruajnë atë përpara se kërkesa të arrijë aplikacionin.

Rishiko çdo rrjedhë pune jashtë shfletuesit

Sinkronizimi i desktopit dhe ngarkimet mobile hapin lidhjet e tyre në kohët e tyre. Kanë nevojë për rrugën private të miratuar kur lidhen, dhe mund të sillen ndryshe kur VPN mungon: rit provo, pauzo ose shfaq një gabim. Testo secilin, jo vetëm shfletuesin.

Mjetet WebDAV dhe klientët e kalendarit ose kontakteve janë integrime të veçanta me konfigurimin e tyre. Një klient që ruan në cache një URL publike vazhdon të provojë atë URL pas ndryshimit të perimetrit, dhe dështimi duket si problem i aplikacionit.

Lidhjet e ndara meritojnë një vendim të qartë. Një lidhje nuk i jep marrësit akses në VPN, prandaj në një dizajn vërtet vetëm përmes VPN një marrës i jashtëm nuk mund t'i përdorë ato edhe pse lidhja është e vlefshme. Nëse ndarja drejt jashtë kërkohet, është një përjashtim i qëllimshëm me rrugën e vet të aksesit, jo një lëshim që zbulohet më vonë.

Federacioni dhe integrimet server-me-server kanë nevojë për të njëjtin trajtim. Janë marrëdhënie arritshmërie midis instalimeve, dhe një vendosje vetëm private duhet të thotë nëse mbështeten.

Prano si rastin e lejuar ashtu edhe atë të refuzuar

Nga një klient i miratuar, kontrollo ndërfaqen web dhe një ngarkim ose shkarkim të zakonshëm skedari. Më pas kontrollo një klient sinkronizimi dhe një rrjedhë pune jashtë shfletuesit. Suksesi vetëm në shfletues nuk është pranim.

Nga një rrugë e pamiratuar, konfirmo se aplikacioni është i paarritshëm përmes çdo hyrjeje në inventar. Testo emrin alternativë të hostit dhe adresën IPv6, jo vetëm URL-në kryesore.

Së fundmi, rishiko cilësimet e aplikacionit që ngatërrohen lehtë me politikën e rrjetit. trusted_domains liston emrat që instanca pranon; nuk është listë e lejuar e IP-ve të klientëve. Nëse një proxy invers ofron informacion adrese, trusted_proxies duhet të emërojë proxy-n aktuale, dhe header-at e përçuar duhet të pranohen vetëm prej tij.

Vazhdo punën e zakonshme të forcimit krahas ndryshimit të rrjetit: mbaj të dhënat dhe kopjet rezervë jashtë rrugëve web të paqëllimshme, përditëso aplikacionin, mbro aksesin e administratorit dhe mbaj rikuperimin të përdorshëm. Një VPN heq një sipërfaqe hyrjeje; nuk e bën të besueshëm një klient të regjistruar.