Zabezpečená Nextcloud Infrastruktura

Proč jsem to stavěl

Chtěl jsem si vyzkoušet, co obnáší provozovat službu, na kterou se dá spolehnout — ne jen ji rozběhnout, ale postarat se o ni. Nextcloud byl dobrá volba, protože je to reálná aplikace s reálnými nároky: databáze, souborové úložiště, uživatelé, přístupová práva.

Škola mi dala teorii k sítím a zabezpečení. Tohle je místo, kde si ověřuji, jestli jí rozumím i mimo učebnu.

Jak je to postavené

Server běží na Linuxu, jednotlivé části aplikace v kontejnerech, takže je můžu aktualizovat odděleně a vrátit zpátky, když se něco pokazí. Provoz zvenčí jde přes reverzní proxy s certifikátem, takže na server nevede žádný nešifrovaný port.

Administrativní přístup není vystavený do internetu vůbec — dostanu se k němu jen přes VPN. Neúspěšné pokusy o přihlášení se automaticky blokují.

Zálohy a co jsem se naučil

Zálohy běží pravidelně a mimo samotný server, protože záloha na stejném stroji není záloha. Zkoušel jsem si i obnovení ze zálohy, což je ta část, kterou většina lidí odloží a pak zjistí, že nefunguje.

Nejužitečnější poznatek nebyl technický: většina práce na zabezpečení není nastavení, ale rozhodnutí, co vůbec vystavit ven a co ne.