Włącz szyfrowanie po stronie serwera Nextcloud z mierzalnym wpływem

Jeśli rozważasz szyfrowanie po stronie serwera Nextcloud, ponieważ pliki znajdują się na zewnętrznych serwerach, włącz je dopiero po potwierdzeniu, że SSE rozwiązuje Twój model zagrożenia. Nie ma ustawienia gwarantującego szyfrowanie bez strat wydajności: serwer musi szyfrować i deszyfrować zawartość plików, więc transfery i obciążenie procesora mogą się zmieniać. Możesz kontrolować wpływ na środowisko, testując reprezentatywne pliki, włączając szyfrowanie dla pamięci masowej, która tego wymaga, i planując każdą konwersję zbiorczą na okres ciszy.

Aktualny podręcznik administratora Nextcloud 35, z 10 października 2026 r., opisuje wbudowane szyfrowanie po stronie serwera (SSE) przede wszystkim jako ochronę plików przechowywanych w pamięci zewnętrznej. Nie ukrywa ono nazw plików ani struktur folderów i nie chroni plików przed atakiem na serwer Nextcloud ani złośliwym administratorem. W przypadku dysków lokalnych lub kradzieży fizycznej, szyfrowanie dysku systemu operacyjnego może być lepszym rozwiązaniem; aby uniemożliwić administratorowi serwera odczyt danych, należy rozważyć szyfrowanie kompleksowe.

Przed włączeniem szyfrowania

Zaplanuj klucze i odzyskiwanie przed zmianą ustawień. Utwórz kopię zapasową konfiguracji Nextcloud i danych kluczy szyfrujących oraz upewnij się, że kopia zapasowa jest przechowywana oddzielnie z kontrolą dostępu. Materiał klucza jest przechowywany w katalogu danych; utrata kluczy szyfrujących lub tajnego klucza instancji może uniemożliwić odzyskanie zaszyfrowanych danych. Przeprowadź sprawdzoną procedurę odzyskiwania, a nie tylko kopię bazy danych.

Zapisz również dane wyjściowe sprzed zmiany: przetestuj czas wysyłania i pobierania reprezentatywnych plików, obserwuj aktywność procesora i pamięci masowej oraz zanotuj ewentualne opóźnienia występujące u użytkowników. Powtórz te same testy po aktywacji. To pokaże, czy zmiana jest akceptowalna dla Twojego sprzętu, zamiast polegać na ogólnych zapewnieniach dotyczących wydajności.

Włącz domyślny moduł szyfrowania NextCloud

1. Zaloguj się jako administrator Nextcloud i otwórz sekcję Szyfrowanie po stronie serwera w ustawieniach administracyjnych.
2. Wybierz opcję Włącz szyfrowanie po stronie serwera . Jeśli NextCloud zgłosi, że żaden moduł szyfrowania nie jest załadowany, otwórz stronę Aplikacje i włącz domyślny moduł szyfrowania , a następnie wróć do ustawień szyfrowania.
3. Przed kontynuacją sprawdź tryb szyfrowania. Domyślny tryb klucza głównego jest zalecany w przypadku większości wdrożeń, ale administratorzy mogą odszyfrowywać pliki. Tryb klucza użytkownika ma dodatkowe ograniczenia dotyczące zgodności i odzyskiwania i nie jest optymalizacją wydajności.
4. Wyloguj się i zaloguj ponownie, aby zainicjować klucze szyfrujące zgodnie z instrukcjami interfejsu. Sprawdź status szyfrowania z poziomu wiersza poleceń:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:status

Zastąp przykładową ścieżkę i użytkownika HTTP tymi używanymi przez Twoją instalację. Nextcloud wymaga, aby OCC działało jako użytkownik HTTP, aby zachować prawidłowe uprawnienia do plików. W Dockerze, AIO, Snap lub hostingu zarządzanym użyj obsługiwanej powłoki i użytkownika danego wdrożenia, zamiast dosłownie kopiować to polecenie hosta. Szczegóły dotyczące wykonywania poleceń znajdziesz w oficjalnym przewodniku OCC .

Zdecyduj, co i kiedy szyfrować

Po włączeniu SSE nowe i zmienione pliki są szyfrowane. Istniejące pliki nie są automatycznie konwertowane tylko dlatego, że to ustawienie zostało włączone. Jeśli chcesz zaszyfrować istniejącą bibliotekę plików, NextCloud udostępnia następujące polecenie OCC:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-all

Przed uruchomieniem upewnij się, że kopie zapasowe są aktualne i zaplanuj okno konserwacji. Operacja przetwarza pliki dla wszystkich użytkowników, wyświetla postęp i może zająć dużo czasu i zasobów na dużej instancji. Nextcloud zaleca, aby użytkownicy nie uzyskiwali dostępu do plików podczas tego procesu. Nie uruchamiaj jej w godzinach szczytu ani nie traktuj jej jako nieszkodliwego przełączenia. Jeśli tylko konkretny zewnętrzny punkt montowania wymaga SSE, skonfiguruj opcję szyfrowania tego punktu montowania, zamiast niepotrzebnie inicjować konwersję na całym serwerze.

Niektóre dane pozostają poza zakresem szyfrowania zawartości plików. Aktualny podręcznik zawiera listę nazw plików i struktur folderów, istniejących plików w koszu, historycznych wersji plików, miniatur i podglądów obrazów oraz indeks wyszukiwania pełnotekstowego wśród elementów niezaszyfrowanych przez SSE. Udostępnianie plików zaszyfrowanych na zewnętrznej pamięci masowej musi odbywać się za pośrednictwem NextCloud; nie można ich udostępniać bezpośrednio od dostawcy pamięci masowej.

Zmniejsz i zmierz wpływ na wydajność

Zamiast szyfrować wszystko na raz, zastosuj kontrolę etapową:

• Zacznij od małego zestawu testowego lub nowo zamontowanej zewnętrznej pamięci masowej, w której będzie można określić zakres opcji szyfrowania.
• Porównaj czasy przesyłania i pobierania, użycie procesora i opóźnienia widoczne dla użytkownika w stosunku do wartości bazowych przy podobnym obciążeniu.
• Powtórz test w przypadku większych plików i typowych przepływów pracy, takich jak przesyłanie i pobieranie plików przez klienta synchronizującego, ponieważ szyfrowanie odbywa się na serwerze.
• Rozszerz zakres tylko wtedy, gdy zmierzony wpływ będzie akceptowalny, a proces tworzenia kopii zapasowej i odzyskiwania klucza zostanie zweryfikowany.

Nextcloud nie gwarantuje zerowego obciążenia, a rzeczywisty wpływ zależy od sprzętu, rozmiarów plików, pamięci masowej, współbieżności i obciążenia. SSE może również nieznacznie zwiększyć rozmiar przechowywanych plików; aktualna instrukcja podaje około 1% dla nowszych wersji, w porównaniu z większym obciążeniem w starszych wersjach. Nie należy zakładać, że stare szacunki wydajności mają zastosowanie do Twojej wersji.

Sprawdź wynik i zachowaj bezpieczną ścieżkę wycofania

Po włączeniu SSE sprawdź occ encryption:statusi przetestuj przesyłanie, pobieranie, udostępnianie i synchronizację z plikiem niekrytycznym. Upewnij się, że dane na docelowym nośniku są możliwe do odczytu przez NextCloud i że zmierzone opóźnienia są akceptowalne. W przypadku istniejących plików nie zakładaj, że są zaszyfrowane, dopóki operacja zbiorcza nie zostanie zakończona.

Jeśli później zdecydujesz się wyłączyć SSE, nie wyłączaj aplikacji ani modułu, dopóki pliki pozostają zaszyfrowane. Udokumentowana sekwencja działań w NextCloud polega na najpierw odszyfrowaniu plików, a następnie wyłączeniu szyfrowania; polecenie decrypt może przejść w tryb konserwacji i powinno być również uruchamiane z utworzonymi kopiami zapasowymi:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-all

Przed zmianą ustawień szyfrowania upewnij się, że operacja została zakończona i zweryfikuj dostęp do pliku. Jeśli zmierzony narzut jest zbyt wysoki, zawęź zakres szyfrowanego magazynu lub wybierz ochronę warstwy magazynu dopasowaną do Twojego modelu zagrożenia. Utrzymuj klucze i instancję w tajnej kopii zapasowej tak długo, jak długo istnieją zaszyfrowane dane.

Oficjalne źródła

• NextCloud 35 Szyfrowanie po stronie serwera: konfiguracja, ograniczenia, kopie zapasowe i polecenia OCC
• Szczegóły i typy kluczy szyfrowania po stronie serwera Nextcloud
• Odwołanie do poleceń Nextcloud OCC