Ich möchte meineMfg zuhause auf einem kleinen Ubuntu Server laufende Nextcloud nur noch lokal laufen lassen um mich soweit wie möglich zu schützen.
Router ist eine Fritzbox 7490. Reicht es da in der Konfiguration der Nextcloud Port 443 und die zugehörigen DNS Zugriffe zu entfernen/sperren und in der Fritzbox den Internetzugang zu sperren?
Mfg
Axel
I want to restrict my Nextcloud—currently running on a small home Ubuntu server—to local access only, in order to maximize my security.
My router is a FritzBox 7490. Is it sufficient to remove or block port 443 and the associated DNS access in the Nextcloud configuration, and to block internet access for the server within the FritzBox settings?
Das ist pauschal nicht zu beantworten. Nutzt du z.B. Lets Encrypt Zertifikate für die Anmeldung via https müssen diese regelmäßig erneuert werden. Das setzt einen offenen Port tcp 80 voraus.
Auch das ist wieder so eine Pauschalfrage. Mein nginx redirected automatisch alle eingehenden Anfragen von tcp 80 auf tcp 443. Würde ich dann keine gültigen Zeritifikate mehr beziehen, wäre das ein Problem.
Es kommt also wie so häufig bei NC auf deinen spezifische Konfiguration an und die kenne ich nicht.
Generell finde ich die von mir gewählte Lösung aber besser. Würde ich in meiner Firewall tcp 443 schließen, aber tcp 80 offen lassen, wäre von extern zum NC-Server kein Verbindungsaufbau möglich, weil ja alles auf 443 redirected wird und 443 eben dicht ist. tcp 80 ist zwar offen, aber die NC reagiert ja nicht drauf. Lediglich Lets Encrypt kann alle 60 Tage neue Zertifikate erzeugen.
Auch sehe ich keinen guten Grund innerhalb des LAN’s statt https http zu nutzen. Firefox meckert http immer als unsicher an und will per default lieber https nutzen.
PS: und so weit ich weiß verlangen die Clients für Android und iOS ohnehin https und verweigern http.
Nachtrag: natürlich kann man statt einer http auch eine DNS-01 Challenge nutzen. Dann können theoretisch alle Ports dicht sein.
Ich nutze apache2 und das redirected auch auf von 80 auf 443.
Ich wollte halt dauerhaft im Heimnetz bleiben, da ich nur über VPN (Wireguard) auf NC zugreife. Die Möglichkeit über die dynamische Myfritz Adresse habe ich schon vor längerem eingestellt, weil da immer irgendwelche Problemchen bei den externen Zugriffe (PC oder Android Smartphone) aufgetreten sind und ich dann immer mit irgendwelchen Zertifikaten, die bei Updates angepasst werden mussten zu tun hatte.
Insgesamt scheint es dann doch nicht so einfach zu sein, da ich dann ja auch keine Updateinformationen mehr bekomme. Vielleicht versuche ich erst einmal damit im Router den Internetzugriff zu unterbinden, das ist mit einem Klick erledigt.
Da ich die Updateabfrage auch aus cron rausnehmen und manuell ausführen kann und bei letsencrypt geht das ja auch. Da könnte ich dann temporär den Zugang zum Internet öffnen und die nötigen Updates durchführen.
Wenn du also die NC-Client-App für Android nutzt brauchst du https.
Dann mach 443 dicht und lass 80 offen. Kann ja nix passieren.
Mir allerdings wäre es zu umständlich, wenn ich immer eine bestehende Wireguard-VPN brauchen würde, wenn mein Android Kalender und Adressbuch oder die Photos synchronisieren will.
Der “Witz” daran, eine eigene Nextcloud zu hosten ist doch gerade der, dass ich diese Daten eben nicht weiter bei Alphabet Inc. auf deren Server haben will.
Darum war mein Ansatz ein ganz anderer. Fritteuse weg in den eGeräte-Himmel und stattdessen eine richtige Firewall, die auch auch vLAN’s kann. Ich hab mich für pfsense entschieden. Gibt aber auch andere gute Alternativen, wie die OPNsense. Mit so einer richtigen Firewall (da sollte man dann aber auch wissen, was man tut) hab ich den NC-Server un ich einem eigenen Netzwerksegment (oft DMZ genannt) abgeschottet vom eigentlichen LAN und WLAN mit Notebooks, Smartphones und NAS, etc. Und wenn man schon mal dabei ist hab ich der sense auch noch ein weiteres eigenes Netzwerksegment spendiert für die IoT-Geräte, wie smarthes TV. Steuerung der Heizung und so. Gerade erst hab ich gelesen, dass die Smart-TV eines namhaften Koreanischen Herstellers ganze Netzwerke kartieren und ausspähen um die Besitzer dieser Geräte mit personalisierter Werbung zu beglücken. Da könnte dieser Hersteller (ich hab kein Gerät dieser Marke) bei mir nicht viel sehen, weil sauber per Firewall vom Rest des LAN’s und eben auch vom NC-Server isoliert.
Mit einer Fritteuse bekommt man so etwas natürlich nicht wirklich hin. Bestenfalls könnte man so einen Daten sammelnden Fernseher ins Gast-WLAN verbannen.
Ja könnte man machen, ist aber nicht wirklich toll. Irgendwann vergisst man es und wenn die Zertifikate dann ablaufen, kann sich kein Client mehr verbiden. Und das passiert nach Murphy’s Law immer im dümmsten Moment, wo man dann gerade keine Zeit oder Zugang hat zumn Server/Router, um das Problem sofort zu behebn
Die Lösung für dein Problem heisst „DNS-01 Challenge”. Das hat ein paar Voraussetzungen, wie einen DNS-Provider mit API-Zugang, lässt sich dann aber vollständig automatisieren und benötigt keine offenen Ports.
Auf dem Smartphone Wireguard-VPN an oder aus ist ein Klick. Die Synchronisation von Kalender, Adressen und Notizen (CalDAV, Joplin) erfolgt manuell, da sind keine anderen Server hinterlegt.
Deine Argumentation mit den IoT und dem Smart-TV sind natürlich schlüssig, der Abschied von der FB ist für mich schwierig, weil ich da noch einen Teil Retro-Telefone dran hängen habe, da müsste ich dann einen anderen Router vorschalten. Die Frage wäre dann ob für meine Verhältnisse nicht auch ein OpenWRT Router reicht. Die TUYA Wlan Geräte sind ohnehin ein Problem für sich, bei den Shellys kann man ja auch ohne Cloud zugreifen und bei wichtigen Funktionen sind die auch per LAN im Heimnetz.
nun lass uns eine Antwort auf deinen Wunsch in etwa so zusammenfassen:
ursprünglich ist die Nextcloud nicht für einen local-only Betrieb vorgesehen. Aber klar, mit eingen Handgriffen und deutlichem Mehraufwand kannst du dir das schon so konfigurieren, wie du dir das vorstellst. in der AiO-Anleitung gibt es da sicher ein paar erhellende Hinweise. Wobei nie grantiert ist, dass das auch ohne Ruckeln funktioniert und die Fehlersuche eher noch schwieriger wird, wenn man was nicht so arbeitet, wie du es dir vorstellst. Der lokale Betrieb bleibt eben eine Art Laufen mit Krücken.
Ich persönlich würde das nicht so machen, denn es geht meiner Meinung nach mit erheblichen Nutzungseinbußen vonstatten. Aber das muss ja jeder für sich selbst entscheiden.
