Ограничить доступ к ONLYOFFICE в Nextcloud

Схема интеграции Nextcloud с ONLYOFFICE

Коротко: чтобы ограничить доступ к редакторам ONLYOFFICE, используйте либо IP‑фильтр на Document Server, либо включите JWT‑токены. IP‑фильтр закрывает доступ по адресам, JWT — защищает сервис токенами, удобнее при публичном доступе. Ниже — пошаговые команды, чеклисты, сценарии отладки и рекомендации по безопасности.

О чём эта инструкция

Nextcloud с интегрированным ONLYOFFICE позволяет держать документы на своём сервере. По умолчанию Document Server может быть доступен публично. Если нужен доступ только для одного экземпляра Nextcloud — примените один из двух способов:

Настроить IP‑фильтр на Document Server.
Оставить публичный доступ и включить JWT‑аутентификацию (токены).

Ниже — пошаговые инструкции, когда что выбирать, checklist для админа и отладка.

Настройка IP‑фильтра

Откройте файл /etc/onlyoffice/documentserver/default.json в любом текстовом редакторе и добавьте/измените секцию ipfilter. Пример конфигурации в файле:

"ipfilter": {  
 "rules": [  
 {  
 "address": "ip_address",  
 "allowed": true  
 },  
 {  
 "address": "*",  
 "allowed": false  
 }  
 ],  
 "useforrequest": true,  
 "errorcode": 403  
}

Пояснения по полям:

address — адрес клиента, которому разрешён или запрещён доступ. Поддерживаются:
- IPv4 в формате X.X.X.X (например, 192.0.2.1),
- IPv6 в стандартном шестнадцатеричном формате с двоеточиями (например, 2001:db8::1),
- DNS‑имя (example.com),
- символ “*” как подстановочный знак для любого адреса.
allowed — true разрешает доступ для указанного address; false — запрещает.
useforrequest — включает проверку для входящих запросов.
errorcode — HTTP‑код при отказе (по умолчанию 403).

После редактирования сохраните файл и примените изменения:

supervisorctl restart all

Важно

IP‑фильтр хорош, если у вашего Nextcloud статический IP или вы контролируете сеть.
Если Nextcloud находится за балансировщиком или прокси, указывайте IP прокси/балансировщика или настраивайте корректную передачу X‑Forwarded‑For.

Включение JWT‑токена

Если вы хотите оставить Document Server общедоступным (например, для мобильных клиентов), но ограничить использование редакторов только доверенными экземплярами Nextcloud, включите JWT‑токены.

Откройте /etc/onlyoffice/documentserver/default.json и найдите секцию CoAuthoring. Пример заполнения:

{  
 "services": {  
 "CoAuthoring": {  
 "secret": {  
 "inbox": {  
 "string": "mysecret"  
 },  
 "outbox": {  
 "string": "mysecret"  
 },  
 },  
 "token": {  
 "enable": {  
 "browser": true,  
 "request": {  
 "inbox": true,  
 "outbox": true  
 }  
 }  
 }  
 }  
 }  
}

Измените значение “mysecret” на вашу сильную секретную фразу. Сохраните файл и перезапустите сервисы:

supervisorctl restart all

Далее откройте административную панель Nextcloud, перейдите в раздел ONLYOFFICE и введите тот же секрет в поле Дополнительные параметры сервера. Сохраните изменения — JWT станет обязательным для взаимодействия с Document Server.

Поле для ввода JWT‑токена в настройках ONLYOFFICE Nextcloud

Как выбрать: IP‑фильтр или JWT

Используйте IP‑фильтр, если:
- Nextcloud и Document Server находятся в одной фиксированной подсети; и
- вы можете указать надёжные IP‑адреса.
Используйте JWT, если:
- Document Server должен быть доступен публично; или
- у пользователей меняющиеся IP (мобильный доступ, динамические провайдеры); или
- вы хотите аутентифицировать каждый запрос.

Совет: комбинируйте оба механизма для усиления защиты — например, разрешить доступ только с ограниченного набора IP и дополнительно требовать JWT.

Мини‑методология внедрения (шаги)

Подготовьте резервную копию /etc/onlyoffice/documentserver/default.json.
Выберите метод: IP или JWT (или оба).
Внесите изменения в конфигурацию и сохраните файл.
Перезапустите процессы supervisorctl.
В Nextcloud в разделе ONLYOFFICE настройте совпадающие параметры (токен или URL).
Проверьте доступность редактора с клиентской машины и из внешних сетей.
Мониторьте логи на предмет отказов и конфигурационных ошибок.

Роль‑ориентированный чеклист

Администратор сервера:

Сделать резервную копию конфигурации;
Указать корректные IP/маски;
Перезапустить supervisorctl;
Проверить логи Document Server.

Сетевой инженер:

Подтвердить список исходящих/входящих IP;
Убедиться, что прокси корректно передаёт X‑Forwarded‑For.

Инженер по безопасности:

Подобрать длину секретов (JWT) и обеспечить хранение в безопасном хранилище;
Настроить регламент ротации токенов;
Включить HTTPS для Document Server.

Отладка и частые ошибки

После включения JWT появляется ошибка аутентификации — проверьте совпадение секретов в Nextcloud и Document Server.
После настройки IP‑фильтра редактор недоступен — проверьте, не блокирует ли доступ прокси/балансировщик или VPN.
В логах 403 — ipfilter отклонил запрос; проверьте адреса и порядок правил (первое совпадение работает первой).
Если используется облачный балансировщик, передавайте реальные IP через заголовки и настройте доверенные прокси в Nextcloud.

Когда эти методы не подойдут

Если вы используете многоразовые публичные интеграции с разными поставщиками: IP‑фильтр неудобен.
Если Document Server обслуживает множество разных доменов и у них разные требования — необходима централизованная система управления токенами или API‑gateway.

Критерии приёмки

ONLYOFFICE недоступен из внешних сетей, кроме указанных IP (если применимо).
При включённом JWT доступ возможен только при корректном токене и совпадающем секрете в Nextcloud.
Логи не показывают повторяющихся ошибок аутентификации после корректной настройки.

Итог

Оба подхода решают задачу ограничения доступа. IP‑фильтр прост и ясен, но статичен; JWT гибче и безопаснее при публичном доступе. Для максимальной защиты комбинируйте методы и следуйте контрольному списку по безопасности.

Важно: перед внесением изменений тестируйте конфигурацию в staging‑среде и храните резервные копии конфигурационных файлов.