Nextcloud yalnızca VPN ile: önce her girişi envanterleyin

Yalnızca VPN üzerinden çalışan Nextcloud planı, tarayıcıyı koruyup eşitleme istemcisini unuttuğunda başarısız olur. Web sayfası, masaüstü eşitleme motoru, mobil yüklemeler, WebDAV araçları ve paylaşılan bağlantı alıcıları hepsi aynı hizmete giden bir yola ihtiyaç duyar ve her biri farklı bir giriş açığa çıkarabilir. Herhangi bir şeyi kapatmadan önce onları envanterleyin. O liste gerçek çevre çizgisidir.

Kontrol listesini sırayla işleyin. İlk madde bu dağıtım için özel olanın ne anlama geldiğini tanımlar; sonraki maddeler dağıtımın gerçekten bu tanıma uyup uymadığını sınar.

Çevre çizgisini değiştirmeden önce özel olanı tanımlayın

Gereksinimi tek cümleyle yazın: her kullanıcı uygulamaya ulaşmadan önce VPN'e katılmalıdır veya uygulama herkese açık kalabilir ve kaynağı özel kalır. Bunlar farklı tasarımlardır ve özel bir tünele ileten herkese açık ters proxy yalnızca ikincisini karşılar.

Özel bir backend adresi uygulamayı özel yapmaz. Herkese açık bir eşleme, ikinci bir ana bilgisayar adı veya bir IPv6 dinleyicisi hâlâ aynı Nextcloud örneğine ulaşıyorsa, backend nerede olursa olsun giriş vardır. Hizmeti özel ilan etmeden önce her adı dışarıdan test edin. Eksik bir DNS kaydı kapalı bir bağlantı noktasıyla aynı şey değildir.

Hedef kitleyi de kararlaştırın: çalışanlar, bir hane, bir iş ortağı kuruluş veya hesapların bir alt kümesi. Yanıt, herkese açık bir paylaşım bağlantısının özellik mi çelişki mi olduğuna karar verir. Bu kitleyi erişim planına yazın. Bu, izleyen her istisna için testtir.

Her girişi ve her adı envanterleyin

Herkese açık adres eşlemelerini, ters proxy'leri, alternatif ana bilgisayar adlarını, IPv6 dinleyicilerini ve hizmete ulaşan her tünel veya mesh adresini listeleyin. Bu adreslere çözülen adları da ekleyin, çünkü unutulan bir DNS kaydı dostça etiketli bir giriştir.

Proxy yapılandırmasını iletilen başlıklar ve alternatif sunucu blokları açısından kontrol edin. Başka bir uygulama için eklenen proxy, aynı upstream'i bir yol veya kalan bir sanal ana bilgisayar üzerinden açığa çıkarabilir. Amaçlanan diyagramı değil gerçek yapılandırmayı okuyun. İkisi en sık bir uygulama taşındıktan sonra ayrışır.

Sonra seçmediğiniz girişleri engelleyin. Herkese açık ön yüze sahip özel bir backend yalnızca VPN tasarımı değildir ve yalnızca IPv4'ü kapsayan bir güvenlik duvarı kuralı IPv6 dinleyicisini açık bırakır. Her iki aileyi ve her iki adı aynı değişiklikte kapatın.

Her istemciye tek bir hizmet adı verin

Özel DNS'i hizmete yönlendirin, o adı VPN üzerinden yönlendirin ve onun için sertifika düzenleyin. Ad, özel yoldan çözülmeli ve uyarı olmadan doğrulanmalıdır. Doğrudan IP'ye ulaşan bir istemci de adın çalışmasına ihtiyaç duyar.

İlgisiz bir IP adresiyle bağlanan istemciler, tasarım çalışsın diye sertifika hatalarını yok saymak zorunda kalmamalıdır. Kararlı bir ad, adres değiştiğinde eşitleme istemcilerinin yinelenen sunucu girdileri oluşturmasını da engeller. Özel hizmet ile özel IP arasındaki fark budur.

Sertifika doğrulamasını etkin bırakın. Özel bir ağ maruziyeti azaltır ama doğrulanmamış bir TLS bağlantısını kabul edilebilir yapmaz ve uyarıları yok saymaya alışmış bir istemci onları başka ağlarda da yok sayar.

Ağ erişimini sınırlayın, tüm LAN'ı değil

Kayıtlı kullanıcıların Nextcloud hizmetine ve gerekli bağımlılıklarına ulaşmasına izin verin ve sunucu yönetimini ayrı bir yolda tutun. Bir VPN ki bir istemciyi tüm ev veya ofis ağına sokar o istemciye uygulamanın gerektirdiğinden çok daha fazlasını verir.

VPN'e kabul, Nextcloud hesaplarının, izinlerinin veya ek kimlik doğrulamanın yerini almaz. Hangi kullanıcının hangi dosyayı okuyabileceğine uygulama karar vermeye devam eder ve ağ katmanı tek kontrol olmamalıdır.

Onaylanan kaynak aralığını ve hizmet bağlantı noktalarını kaydedin. Hedefin sahibi gözlemlenen kaynağa ihtiyaç duyar ve NAT veya proxy istek uygulamaya ulaşmadan önce onu yeniden yazabilir.

Tarayıcı dışındaki her iş akışını gözden geçirin

Masaüstü eşitleme ve mobil yüklemeler bağlantılarını kendi zamanlarında açar. Bağlanırken onaylanan özel yola ihtiyaç duyarlar ve VPN yokken farklı davranabilirler: yeniden denemek, duraklatmak veya hata göstermek. Her birini test edin, yalnızca tarayıcıyı değil.

WebDAV araçları ve takvim veya kişi istemcileri kendi yapılandırmalarına sahip ayrı entegrasyonlardır. Herkese açık bir URL'yi önbelleğe alan istemci, çevre değişikliğinden sonra da o URL'yi denemeye devam eder ve hata uygulama sorunu gibi görünür.

Paylaşılan bağlantılar açık bir kararı hak eder. Bağlantı, alıcısına VPN erişimi vermez, bu yüzden gerçekten yalnızca VPN olan bir tasarımda dışarıdaki alıcı bağlantı geçerli olsa bile onu kullanamaz. Dışarıya paylaşım gerekiyorsa bu, kendi erişim yolu olan bilinçli bir istisnadır, sonradan keşfedilecek bir gözden kaçırma değildir.

Federasyon ve sunucudan sunucuya entegrasyonlar aynı muameleyi gerektirir. Bunlar kurulumlar arası erişilebilirlik ilişkileridir ve yalnızca özel dağıtım bunların desteklenip desteklenmediğini söylemelidir.

İzin verilen ve reddedilen durumu da kabul edin

Onaylı bir istemciden web arayüzünü ve sıradan bir dosya yükleme veya indirmeyi kontrol edin. Ardından bir eşitleme istemcisini ve tarayıcı dışı bir iş akışını kontrol edin. Yalnızca tarayıcıdaki başarı kabul değildir.

Onaylanmamış bir yoldan uygulamanın listedeki her girişten ulaşılamaz olduğunu doğrulayın. Alternatif ana bilgisayar adını ve IPv6 adresini test edin, yalnızca birincil URL'yi değil.

Son olarak ağ politikasıyla kolayca karıştırılan uygulama ayarlarını gözden geçirin. trusted_domains örnek, kabul ettiği adları listeler; bu, istemci IP'lerinin izin listesi değildir. Ters proxy adres bilgisi sağlıyorsa, trusted_proxies gerçek proxy'yi adlandırmalıdır ve iletilen başlıklar yalnızca ondan kabul edilmelidir.

Ağ değişikliğiyle birlikte olağan sertleştirme çalışmasını sürdürün: verileri ve yedekleri istenmeyen web yollarının dışında tutun, uygulamaya yama uygulayın, yönetici erişimini koruyun ve kurtarmayı kullanılabilir tutun. VPN bir giriş yüzeyini kaldırır; kayıtlı bir istemciyi güvenilir yapmaz.