Setup:
- DS716+ mit DSM 6.2.2-24922
- Nextcloud 16.0.2 über PHP 7.2 und Apache 2.4
- Hauptdomain ("meinedomain.de") mit externer Weiterleitung auf die DDNS Subdomain ("www.meinedomain.de").
- DDNS Subdomain in Router 1 (x.x.1.x) konfiguriert; Portweiterleitungen von Router 1 auf Router 2 (x.x.2.x) und von Router 2 zur Diskstation. Statische Route von Router 1 auf Router 2.
- Let's Encrypt Zertifikat für "meinedomain.de"
- Nextcloud Data Ordner außerhalb vom Webserver
- Individuelle Ports für alle Dienste (soweit möglich)
Vorgeschichte:
Nachdem mich der Funktionsumfang von den Synology-Programmen zunehmend eingeschränkt hat, habe ich mich dazu entschieden Nextcloud auf dem Webserver zu hosten. Funktioniert alles auch soweit und ich hab sie schon grundlegend eingerichtet.
Momentan mache ich mich an die Security Guidelines https://docs.nextcloud.com/server/16/admin_manual/installation/harden_server.html .
Hier ist meine Fragestellung verankert:
Nextcloud schreibt in seiner Dokumentation: "Administrators are encouraged to install Nextcloud on a dedicated domain such as cloud.domain.tld instead of domain.tld to gain all the benefits offered by the Same-Origin-Policy."
Sie empfehlen also eine Subdomain, damit der Host und damit die Herkunft anders ist. Bis jetzt war Nextcloud eben unter "meinedomain.de/nextcloud" erreichbar und in Zukunft soll Sie nur noch über "nextcloud.meinedomain.de" erreichbar sein. Klingt erstmal logisch. Nach Stunden des Suchens und der Konfiguration hab ich es aber immer noch nicht hinbekommen. Ich hab mich durch einen Informationsdschungel von vhosts, subdomains, cname, etc.pp. durchgeschlagen und einfach keine Lösung gefunden.
Momentan habe ich folgendes im Kopf: Eine Subdomain erstellen (z.B. "nextcloud.meinedomain.de"). Danach soll ein CNAME Eintrag bei meiner Domainverwaltung (STRATO) eingerichtet werden, der in etwa so aussieht:
"nextcloud.meinedomain.de CNAME www.meinedomain.de.". Als nächstes noch ein vhost der namensbasiert von "nextcloud.meinedomain.de" auf /web/nextcloud weiterleitet mit Custom Port.
Erfüllt dieses Setup die Same-Origin-Policy und funktioniert es? Im Grunde ist ein CNAME doch einfach nur eine Weiterleitung auf die ursprüngliche Domain und deshalb verstehe ich nicht, was der Zugewinn an Sicherheit sein soll. Im Grunde bleibt ja immer noch die Domain "www.meinedomain.de" bestehen, die auch für alle anderen Dienste, etc. benutzt wird, es wird halt nur von der Subdomain darauf weitergeleitet. Oder bleibt sozusagen im Browser, also für den Client-PC "nextcloud.meinedomain.de" als Alias bestehen, der Client kennt die DDNS-Domain "www.meinedomain.de" gar nicht und dadurch ist jeder Zugriff auf etwas, das nicht unter diese Nextcloud-Subdomain fällt, verwehrt?
Andersherum gedacht: Wie bekomme ich es als nächsten Schritt dann überhaupt hin, dass Nextcloud, bzw. mein gesamter Webserver unter "www.meinedomain.de/nextcloud" nicht mehr erreichbar ist, also dass wirklich nur noch mit der Eingabe von der Adresse "nextcloud.x.x" auf die Website zugegriffen werden kann? Ich kann den vhost auf einen Custom HTTPS Port einstellen und den Port 443 nicht weiterleiten. Das wäre meine Idee den Webserver bis auf diese Ausnahme zu blockieren.
Wie ihr seht, viel Verwirrung um so einen kleinen Satz. Bevor ich irgendwas mit CNAMEs einstelle, will ich dass mir irgendwie bestätigt wird, dass ich so zum gewünschten Ergebnis komme, bzw. dass mir (als absoluter Neuling) verständlich erklärt werden kann wie ich es hinbekomme, dass Nextcloud eine eigene Subdomain und damit Same-Origin-Protection für die Website herrscht und mein Webserver ansonsten auch nicht von außen erreichbar ist, es also nur den einen Weg gibt.
Ich habe verschiedene Seiten angezapft, vom Anfänger-Tutorial bis zu Foreneinträgen wo ich nur jeden zweiten Satz verstehe und die meistens nichts mit meinem konkreten Fall zu tun haben. Sich daraus ne Lösung zusammenzubasteln ist sehr schwer für mich.
Danke schonmal für eure Hilfe
Dieses Forum hat mich schon erfolgreich durch so viele Probleme geleitet.
- DS716+ mit DSM 6.2.2-24922
- Nextcloud 16.0.2 über PHP 7.2 und Apache 2.4
- Hauptdomain ("meinedomain.de") mit externer Weiterleitung auf die DDNS Subdomain ("www.meinedomain.de").
- DDNS Subdomain in Router 1 (x.x.1.x) konfiguriert; Portweiterleitungen von Router 1 auf Router 2 (x.x.2.x) und von Router 2 zur Diskstation. Statische Route von Router 1 auf Router 2.
- Let's Encrypt Zertifikat für "meinedomain.de"
- Nextcloud Data Ordner außerhalb vom Webserver
- Individuelle Ports für alle Dienste (soweit möglich)
Vorgeschichte:
Nachdem mich der Funktionsumfang von den Synology-Programmen zunehmend eingeschränkt hat, habe ich mich dazu entschieden Nextcloud auf dem Webserver zu hosten. Funktioniert alles auch soweit und ich hab sie schon grundlegend eingerichtet.
Momentan mache ich mich an die Security Guidelines https://docs.nextcloud.com/server/16/admin_manual/installation/harden_server.html .
Hier ist meine Fragestellung verankert:
Nextcloud schreibt in seiner Dokumentation: "Administrators are encouraged to install Nextcloud on a dedicated domain such as cloud.domain.tld instead of domain.tld to gain all the benefits offered by the Same-Origin-Policy."
Sie empfehlen also eine Subdomain, damit der Host und damit die Herkunft anders ist. Bis jetzt war Nextcloud eben unter "meinedomain.de/nextcloud" erreichbar und in Zukunft soll Sie nur noch über "nextcloud.meinedomain.de" erreichbar sein. Klingt erstmal logisch. Nach Stunden des Suchens und der Konfiguration hab ich es aber immer noch nicht hinbekommen. Ich hab mich durch einen Informationsdschungel von vhosts, subdomains, cname, etc.pp. durchgeschlagen und einfach keine Lösung gefunden.
Momentan habe ich folgendes im Kopf: Eine Subdomain erstellen (z.B. "nextcloud.meinedomain.de"). Danach soll ein CNAME Eintrag bei meiner Domainverwaltung (STRATO) eingerichtet werden, der in etwa so aussieht:
"nextcloud.meinedomain.de CNAME www.meinedomain.de.". Als nächstes noch ein vhost der namensbasiert von "nextcloud.meinedomain.de" auf /web/nextcloud weiterleitet mit Custom Port.
Erfüllt dieses Setup die Same-Origin-Policy und funktioniert es? Im Grunde ist ein CNAME doch einfach nur eine Weiterleitung auf die ursprüngliche Domain und deshalb verstehe ich nicht, was der Zugewinn an Sicherheit sein soll. Im Grunde bleibt ja immer noch die Domain "www.meinedomain.de" bestehen, die auch für alle anderen Dienste, etc. benutzt wird, es wird halt nur von der Subdomain darauf weitergeleitet. Oder bleibt sozusagen im Browser, also für den Client-PC "nextcloud.meinedomain.de" als Alias bestehen, der Client kennt die DDNS-Domain "www.meinedomain.de" gar nicht und dadurch ist jeder Zugriff auf etwas, das nicht unter diese Nextcloud-Subdomain fällt, verwehrt?
Andersherum gedacht: Wie bekomme ich es als nächsten Schritt dann überhaupt hin, dass Nextcloud, bzw. mein gesamter Webserver unter "www.meinedomain.de/nextcloud" nicht mehr erreichbar ist, also dass wirklich nur noch mit der Eingabe von der Adresse "nextcloud.x.x" auf die Website zugegriffen werden kann? Ich kann den vhost auf einen Custom HTTPS Port einstellen und den Port 443 nicht weiterleiten. Das wäre meine Idee den Webserver bis auf diese Ausnahme zu blockieren.
Wie ihr seht, viel Verwirrung um so einen kleinen Satz. Bevor ich irgendwas mit CNAMEs einstelle, will ich dass mir irgendwie bestätigt wird, dass ich so zum gewünschten Ergebnis komme, bzw. dass mir (als absoluter Neuling) verständlich erklärt werden kann wie ich es hinbekomme, dass Nextcloud eine eigene Subdomain und damit Same-Origin-Protection für die Website herrscht und mein Webserver ansonsten auch nicht von außen erreichbar ist, es also nur den einen Weg gibt.
Ich habe verschiedene Seiten angezapft, vom Anfänger-Tutorial bis zu Foreneinträgen wo ich nur jeden zweiten Satz verstehe und die meistens nichts mit meinem konkreten Fall zu tun haben. Sich daraus ne Lösung zusammenzubasteln ist sehr schwer für mich.
Danke schonmal für eure Hilfe
Dieses Forum hat mich schon erfolgreich durch so viele Probleme geleitet. 
