Calogero Scarnà Insegnare. Programmare. Costruire il domani.
CALOGERO SCARNÀ

La mia configurazione Nextcloud

Cloud personale, collaborazione e servizi integrati nella mia infrastruttura.

NEXTCLOUD · SELF-HOSTED · HARDENING

La mia configurazione Nextcloud

Nextcloud è ospitato sulla mia infrastruttura Raspberry Pi 5, con stack Nginx + PHP-FPM e protezione multilivello integrata nel server.

L’istanza è inserita nello stesso modello di hardening del resto dei servizi: firewall, GeoIP, Fail2ban, ModSecurity, Suricata, AppArmor, backup e monitoraggio dell’integrità.

Architettura
Sicurezza

Profilo Nextcloud

Host
Raspberry Pi 5 + storage NVMe

Sistema operativo
Debian / Raspberry Pi OS Hardened

Web stack
Nginx + PHP-FPM

Difesa
UFW + GeoIP, Fail2ban, ModSecurity, Suricata, AppArmor

ARCHITETTURA

Come è inserito Nextcloud nel server

Applicazione

  • Nextcloud self-hosted
  • Servizio web eseguito sullo stesso host hardened
  • Integrazione con i controlli di sicurezza dell’infrastruttura

Web stack

  • Nginx
  • PHP-FPM
  • Storage NVMe
  • Debian / Raspberry Pi OS Hardened

Servizi affiancati

  • WordPress
  • Roundcube
  • Postfix / Dovecot
  • Altri servizi web gestiti da Nginx

Protezione infrastrutturale

  • UFW + GeoIP
  • ModSecurity WAF
  • Suricata IDS/IPS
  • Fail2ban e AppArmor

SICUREZZA NEXTCLOUD

Difesa applicativa e controllo accessi

Fail2ban · jail Nextcloud

La configurazione prevede una jail dedicata a Nextcloud, con ban persistente e soglia di tentativi limitata.

[nextcloud]
enabled = true
port = http,https
filter = nextcloud
logpath = /var/www/nextcloud/data/nextcloud.log
bantime = -1
maxretry = 3
action = %(action_mw)s
         telegram

ModSecurity

  • OWASP CRS attivo in modalità paranoia 2
  • Regole personalizzate per Nextcloud
  • Integrazione con Fail2ban per i ban automatici
SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess Off
SecDefaultAction "phase:1,log,deny,status:403"

Firewall e GeoIP

  • Policy predefinita deny in ingresso
  • Solo le porte necessarie rimangono esposte
  • Rate limit per i servizi esposti
  • Filtri geografici e liste VPN/Tor aggiornate periodicamente

Suricata

  • IDS configurato con af-packet
  • Feed Emerging Threats
  • Limite RAM dedicato di 512 MB
  • Alert periodici tramite Telegram

AppArmor

Nextcloud rientra nell’architettura hardened del server, che include AppArmor come ulteriore livello di contenimento.

Monitoraggio ban

  • Notifiche Telegram in tempo reale per ban e sblocco
  • Report periodici con gli indirizzi bloccati
  • Sblocco manuale quando il ban è permanente

BACKUP E INTEGRITÀ

Protezione dei dati e controllo delle modifiche

Backup

  • Backup settimanali
  • Timeshift
  • Supporti di backup montati in sola lettura quando previsto

AIDE

  • Database di integrità aggiornato settimanalmente
  • Report via email sui file modificati
  • Esecuzione automatica tramite cron

TESTING

Verifiche dedicate

Brute-force Nextcloud

Il test di brute-force su Nextcloud deve produrre il ban dell’indirizzo da parte di Fail2ban.

Monitoraggio rete

Suricata controlla il traffico dell’host e genera alert secondo le regole IDS configurate.

WAF

ModSecurity applica le regole personalizzate dedicate a Nextcloud prima che le richieste raggiungano l’applicazione.

NEXTCLOUD

Nextcloud fa parte della stessa infrastruttura hardened del server.

Per una vista completa dell’host, dei servizi e delle misure di sicurezza consulta la configurazione server.

Configurazione server Contattami