Nextcloud само преко VPN-а: прво попишите све улазе

План за Nextcloud само преко VPN-а пропада када штити прегледач и заборавља клијента за синхронизацију. Веб страница, мотор за синхронизацију на рачунару, мобилна отпремања, алати WebDAV и примаоци дељених линкова свима је потребна путања до истог сервиса, и сваки од њих може открити различит улаз. Пописшите их пре него што било шта затворите. Та листа је прави периметар.

Прођите кроз контролну листу редом. Прва ставка одређује шта приватно значи за ово распоређивање; следеће ставке проверавају да ли распоређивање заиста одговара тој дефиницији.

Дефинишите приватно пре него што промените периметар

Запишите захтев у једној реченици: сваки корисник мора да се придружи VPN-у пре него што стигне до апликације, или апликација може остати јавна док њено порекло остаје приватно. То су различити пројекти, а јавни обрнути прокси који прослеђује у приватни тунел испуњава само други.

Приватна адреса backend-а не чини апликацију приватном. Ако јавно мапирање, друго име домаћина или IPv6 слушалац и даље стижу до исте Nextcloud инстанце, улаз постоји без обзира где се backend налази. Тестирајте свако име споља пре него што сервис прогласите приватним. Запис DNS који недостаје није исто што и затворен порт.

Договорите и циљну публику: запослени, домаћинство, партнерска организација или подскуп налога. Одговор одлучује да ли је јавни линк за дељење функција или противречност. Запишите ту публику у план приступа. То је тест за сваки изузетак који следи.

Пописшите сваки улаз и свако име

Наведите јавна мапирања адреса, обрнуте проксије, алтернативна имена домаћина, IPv6 слушаоце и сваку адресу тунела или mesh мреже која стиже до сервиса. Укључите имена која се разрешавају на те адресе, јер је заборављени DNS запис улаз са пријатном ознаком.

Проверите конфигурацију проксија за прослеђена заглавља и алтернативне блокове сервера. Прокси додат за другу апликацију може открити исти upstream кроз путању или преостали виртуелни домаћин. Читајте стварну конфигурацију, а не планирани дијаграм. Њих две се најчешће разилазе после премештања апликације.

Затим блокирајте улазе које нисте изабрали. Приватни backend са јавним фронтом није пројект само за VPN, а правило заштитног зида које покрива само IPv4 оставља IPv6 слушаоца отвореним. Затворите обе фамилије и оба имена у истој измени.

Дајте сваком клијенту једно име сервиса

Усмерите приватни DNS на сервис, спроведите то име кроз VPN и издајте сертификат за њега. Име мора да се разреши кроз приватну путању и потврди без упозорења. Клијенту који директно стигне до IP-а и даље је потребно име које ради.

Клијенти који се повезују преко неповезане IP адресе не би требало да морају да одбаце грешке сертификата да би пројект радио. Стабилно име такође спречава клијенте за синхронизацију да праве дупле записе сервера када се адреса промени. То је разлика између приватног сервиса и приватне IP адресе.

Оставите верификацију сертификата укључену. Приватна мрежа смањује изложеност, али не чини неверификовану TLS везу прихватљивом, а клијент навикнут да игнорише упозорења игнорисаће их и на другим мрежама.

Ограничите мрежни приступ, а не цео LAN

Дозволите регистрованим корисницима да достигну сервис Nextcloud и његове потребне зависности, а администрацију сервера држите на одвојеној путањи. VPN који пушта клијента у целу кућну или канцеларијску мрежу даје том клијенту много више него што апликација захтева.

Приступ VPN-у не замењује налоге, дозволе или додатну аутентикацију Nextcloud-а. Апликација и даље одлучује који корисник сме да чита који фајл, а мрежни слој не би требало да буде једина контрола.

Забележите одобрени опсег извора и портове сервиса. Власнику циља је потребан посматрани извор, а NAT или прокси могу га преписати пре него што захтев стигне до апликације.

Прегледајте сваки ток рада ван прегледача

Синхронизација на рачунару и мобилна отпремања отварају сопствене везе у сопствено време. Потребна им је одобрена приватна путања када се повезују, и могу се понашати другачије када VPN недостаје: поново покушати, паузирати или приказати грешку. Тестирајте сваки, не само прегледач.

Алати WebDAV и клијенти календара или контаката су одвојене интеграције са сопственом конфигурацијом. Клијент који кешира јавни URL наставља да покушава тај URL после промене периметра, а неуспех изгледа као проблем апликације.

Дељени линкови заслужују изричиту одлуку. Линк не даје примаоцу приступ VPN-у, па у пројекту заиста само преко VPN-а спољни прималац не може да га користи иако је линк важећи. Ако је дељење према споља потребно, то је намерни изузетак са сопственом путањом приступа, а не пропуст који ће се открити касније.

Федерација и интеграције сервер-са-сервером захтевају исти третман. То су односи достижности између инсталација, а распоређивање само приватно мора да каже да ли су подржане.

Прихватите и дозвољени и одбијени случај

Са одобреног клијента проверите веб интерфејс и уобичајено отпремање или преузимање фајла. Затим проверите клијента за синхронизацију и један ток рада ван прегледача. Успех само у прегледачу није прихватање.

Са неодобрене путање потврдите да је апликација недоступна кроз сваки улаз на листи. Тестирајте алтернативно име домаћина и IPv6 адресу, не само главни URL.

На крају прегледајте подешавања апликације која се лако мешају са мрежном политиком. trusted_domains наводи имена која инстанца прихвата; то није листа дозвољених IP адреса клијената. Ако обрнути прокси доставља информације о адреси, trusted_proxies мора да наведе стварни прокси, а прослеђена заглавља треба прихватати само од њега.

Наставите уобичајено очвршћивање упоредо са мрежном изменом: држите податке и резервне копије ван нежељених веб путања, ажурирајте апликацију, заштите приступ администратора и одржите опоравак употребљивим. VPN уклања једну улазну површину; не чини регистрованог клијента поузданим.