Nextcloud sa pamamagitan lamang ng VPN: i-inventaryo muna ang bawat pasukan

Nabibigo ang planong Nextcloud na VPN lamang kapag pinoprotektahan nito ang browser at nakakalimutan ang sync client. Ang web page, desktop sync engine, mobile upload, WebDAV tool at tatanggap ng shared link ay lahat nangangailangan ng landas patungo sa parehong serbisyo, at bawat isa ay maaaring maglantad ng ibang pasukan. I-inventaryo ang mga ito bago isara ang anuman. Ang listahang iyon ang tunay na perimeter.

Sundin ang checklist sa pagkakasunod-sunod. Ang unang item ay tumutukoy kung ano ang ibig sabihin ng pribado para sa deployment na ito; ang mga susunod na item ay sumusubok kung talagang tumutugma ang deployment sa kahulugang iyon.

Tukuyin ang pribado bago baguhin ang perimeter

Isulat ang pangangailangan sa isang pangungusap: dapat sumali ang bawat user sa VPN bago maabot ang application, o maaaring manatiling pampubliko ang application habang pribado ang pinagmulan nito. Magkaibang disenyo ang mga ito, at ang pampublikong reverse proxy na nagpapasa sa pribadong tunnel ay tumutugon lamang sa pangalawa.

Hindi ginagawang pribado ng pribadong backend address ang application. Kung ang pampublikong mapping, pangalawang hostname o IPv6 listener ay umaabot pa rin sa parehong Nextcloud instance, umiiral ang pasukan kahit saan pa naroon ang backend. Subukan ang bawat pangalan mula sa labas bago ideklarang pribado ang serbisyo. Ang nawawalang DNS record ay hindi katulad ng saradong port.

Pagkasunduan din ang nilalayong audience: mga empleyado, isang sambahayan, isang partner organization o isang subset ng account. Ang sagot ang magpapasya kung ang pampublikong share link ay tampok o kontradiksyon. Isulat ang audience na iyon sa access plan. Ito ang pagsubok sa bawat pagbubukod na susunod.

I-inventaryo ang bawat pasukan at bawat pangalan

Ilista ang pampublikong address mapping, reverse proxy, alternatibong hostname, IPv6 listener at anumang tunnel o mesh address na umaabot sa serbisyo. Isama ang mga pangalang nagsasalin sa mga address na iyon, dahil ang nakalimutang DNS record ay pasukang may magiliw na label.

Suriin ang proxy configuration para sa forwarded header at alternatibong server block. Ang proxy na idinagdag para sa ibang application ay maaaring maglantad ng parehong upstream sa pamamagitan ng landas o ng natirang virtual host. Basahin ang aktwal na configuration hindi ang planong diagram. Madalas magkaiba ang dalawa pagkatapos ilipat ang isang application.

Pagkatapos, harangan ang mga pasukang hindi mo pinili. Ang pribadong backend na may pampublikong front ay hindi disenyong VPN lamang, at ang firewall rule na sumasaklaw lamang sa IPv4 ay nag-iiwan sa IPv6 listener na bukas. Isara ang parehong pamilya at parehong pangalan sa isang pagbabago.

Bigyan ang bawat client ng isang pangalan ng serbisyo

Ituro ang pribadong DNS sa serbisyo, rutahen ang pangalang iyon sa VPN at ilabas ang certificate para dito. Dapat magsalin ang pangalan sa pribadong landas at ma-validate nang walang babala. Ang client na direktang umaabot sa IP ay kailangan pa rin ng gumaganang pangalan.

Ang mga client na kumokonekta sa hindi kaugnay na IP address ay hindi dapat kailangang itakwil ang certificate error para gumana ang disenyo. Pinipigilan din ng matatag na pangalan ang mga sync client na gumawa ng dobleng server entry kapag nagbago ang address. Iyon ang pagkakaiba ng pribadong serbisyo at pribadong IP.

Iwanang naka-enable ang certificate validation. Binabawasan ng pribadong network ang exposure ngunit hindi ginagawang katanggap-tanggap ang hindi na-validate na TLS connection, at ang client na nasanay nang balewalain ang babala ay babalewalain din ang mga ito sa ibang network.

Limitahan ang network access, hindi ang buong LAN

Payagan ang mga rehistradong user na maabot ang Nextcloud service at ang mga kinakailangang dependency nito, at panatilihin ang server administration sa hiwalay na landas. Ang VPN na pinapasok ang isang client sa buong home o office network ay nagbibigay sa client na iyon ng higit pa sa kailangan ng application.

Hindi pinapalitan ng VPN admission ang Nextcloud account, permission o karagdagang authentication. Nagpapasya pa rin ang application kung sinong user ang makakabasa ng aling file, at ang network layer ay hindi dapat maging tanging kontrol.

Itala ang aprubadong source range at ang service port. Kailangan ng may-ari ng target ang naobserbahang source, at maaaring isulat muli ito ng NAT o proxy bago maabot ang application.

Suriin ang bawat workflow sa labas ng browser

Ang desktop sync at mobile upload ay nagbubukas ng sarili nilang koneksyon sa sarili nilang oras. Kailangan nila ang aprubadong pribadong landas kapag kumokonekta, at maaaring mag-iba ang pag-uugali kapag wala ang VPN: subukang muli, i-pause o magpakita ng error. Subukan ang bawat isa, hindi lamang ang browser.

Ang WebDAV tool at calendar o contact client ay hiwalay na integration na may sariling configuration. Ang client na nag-cache ng pampublikong URL ay patuloy na sinusubukan ang URL na iyon pagkatapos ng pagbabago ng perimeter, at ang kabiguan ay mukhang problema ng application.

Ang shared link ay nararapat sa malinaw na desisyon. Hindi nagbibigay ng VPN access ang link sa tatanggap nito, kaya sa tunay na VPN-only na disenyo ay hindi ito magagamit ng panlabas na tatanggap kahit valid ang link. Kung kailangan ang pagbabahagi palabas, iyon ay sinadyang pagbubukod na may sariling access path, hindi kapabayaang matutuklasan mamaya.

Ang federation at server-to-server integration ay nangangailangan ng parehong pagtrato. Ito ay mga relasyon ng pag-abot sa pagitan ng mga installation, at ang pribado lamang na deployment ay dapat magsabi kung sinusuportahan ang mga ito.

Tanggapin ang parehong pinapayagan at tinatanggihang kaso

Mula sa aprubadong client, suriin ang web interface at isang ordinaryong file upload o download. Pagkatapos suriin ang sync client at isang workflow sa labas ng browser. Ang tagumpay sa browser lamang ay hindi pagtanggap.

Mula sa hindi aprubadong landas, kumpirmahin na hindi maabot ang application sa bawat pasukan sa inventory. Subukan ang alternatibong hostname at IPv6 address, hindi lamang ang pangunahing URL.

Sa huli, suriin ang mga setting ng application na madaling malito sa network policy. trusted_domains ay naglilista ng mga pangalang tinatanggap ng instance; hindi ito allowlist ng client IP. Kung ang reverse proxy ay nagbibigay ng address information, trusted_proxies ay dapat pangalanan ang aktwal na proxy, at ang forwarded header ay dapat tanggapin lamang mula rito.

Ipagpatuloy ang karaniwang hardening kasabay ng pagbabago sa network: ilayo ang data at backup sa hindi sinasadyang web path, i-patch ang application, protektahan ang administrator access at panatilihing magagamit ang recovery. Tinatanggal ng VPN ang isang entrada surface; hindi nito ginagawang mapagkakatiwalaan ang rehistradong client.