Sécurité des applications

[Albertdela]

Bonsoir.
Je viens d'installer Truenas core-13 et tout est paramétré et fonctionne parfaitement. Évidemment on en veut toujours plus...
Je viens de voir que l'application NextCloud est nativement intégrée. J'ai regardé vite fait les tutos, ça devrait normalement répondre aux attentes de ma femme.
Sauf que ! Si je regarde ce que l'on doit faire, on va mettre une appli dans un jail et faire un lien vers le nas dans le jail d'à côté. Du coup, sauf si j'ai raté un truc, on va en fait exposer le NAS à internet. Or, l'une des règles d'or avec les NAS c'est "jamais exposé directement".
Donc, je me demandais, si l'on met NextCloud dans une DMZ, TrueNAS sera aussi dans la DMZ. Alors, on peut dire c'est dans une jail donc ça va... En fait, pas sûr... Si l'on a un attaquant qui est capable de prendre la main sur NextCloud, il doit probablement avoir les moyens de sortir de la jail.
Du coup, ma question est de savoir si des admins de secu se sont posés la question ? En gros, on risque quoi à monter NextCloud en application plutôt qu'en dédié dans une DMZ.

A noter que je n'ai pas tout tout bien épluché ni même encore installé mais on peux peut-être couper la comm directe avec un firewall si les deux services ont bien deux IP distinctes (ce qui n'arrêtera pas un pirate mais au moins le retardera à essayer d'attaquer le firewall plutôt que la jail...)

Voilà, si certains ont une réponse à apporter... sinon par acquis de conscience, je me trouverai une autre machine pour aller en DMZ...
@+ et merci.

 

[Hcl28]

Salut,
La solution qui apporte le plus de sécurité est de passer par un solution de type : nginx et certificats https.
- installer nginx via une machine virtuelle ou autre
- installer la solutions Let’s Encrypt
Ouvrir les ports 80 et 443 vers nginx et configurer celui-ci pour qui aille vers iP de nextcloud
J'ai mis œuvre cette solution set cela fonctionne très bien, faut juste savoir utiliser Linux en ligne de commandes.
Pour les tuto, pas facile d'en trouver en Fr, il faut passer par Youtube.

Première solution : https://www.youtube.com/watch?v=hxSAGY5zRwQ&t=17s
Sinon plus simple :
https://www.youtube.com/watch?v=fTruxKi9qbs&t=607s (solution que j'ai mise en place)

@+

 

[Albertdela]

Bonsoir.
Merci pour le lien. J'avais vu le second lien mais effectivement, il me fallait beaucoup d'attention pour comprendre ce qu'il dit (en plus de comprendre ce qu'il fait b ;) ).
Je vais donc me concentrer sur cette solution.
En revanche, peux-tu me dire pourquoi il installe nginx sur truenas plutôt que sur une autre machine dans une dmz ?
Merci pour le temps que tu as pris pour me répondre et me conseiller.
@+

 

[Hcl28]

Salut,
Il est possible d'installer nginx sur une autre machine que le serveur Truenas, si c'est dans une DMZ, cela nécessite beaucoup plus sécurité car tous les ports sont ouverts sur le Net, sinon passer par un firewall + nginx.
@+