Wyłącz sprawdzanie aktualizacji kodu Collabora i niechciane połączenia

Aby uniemożliwić Collabora Online Development Edition (CODE) wykonywanie zaplanowanego sprawdzania wersji, ustaw wartości fetch_update_checki 0na allow_update_popup. falseW przypadku wdrożenia, które nie może kontaktować się z niezatwierdzonymi usługami zewnętrznymi, należy również wyłączyć nieużywane integracje i wymusić listę dozwolonych połączeń wychodzących na granicy sieci; samo ukrycie powiadomień o aktualizacjach nie blokuje ruchu sieciowego.

Wiedz, co wyłączasz

Od października 2026 roku Collabora utrzymywała coolwsd.xml.inw dokumentach interwał sprawdzania aktualizacji wynoszący 10 godzin oraz osobną kontrolę powiadomień o aktualizacjach. Nie ma w niej jednak ani jednego uniwersalnego przełącznika oznaczonego jako „wyłącz telemetrię”. Żądanie aktualizacji, opcjonalna edycja wspomagana chmurą, lokalne dzienniki diagnostyczne i niezbędne połączenie WOPI z serwerem przechowywania dokumentów to dwie różne rzeczy. Traktowanie ich jako jednego ustawienia może spowodować, że połączenia pozostaną aktywne lub że edycja dokumentu zostanie przerwana.

Niniejsze instrukcje dotyczą głównie samodzielnego collabora/codewdrożenia Dockera. Instalacje pakietów korzystają z tych samych koncepcji konfiguracji, ale zazwyczaj wymagają edycji /etc/coolwsd/coolwsd.xmli ponownego uruchomienia coolwsdusługi. Wbudowane instalacje CODE zarządzane przez inny produkt mogą ponownie generować opcje uruchamiania; należy je zmienić w produkcie zarządzającym, zamiast łatać pliki przejściowe.

1. Zidentyfikuj ustawienia bieżące i zachowaj kopię zapasową

Najpierw ustal, czy usługa CODE jest skonfigurowana za pomocą Docker Compose, docker runpolecenia, czy pakietu natywnego. W przypadku Dockera sprawdź kontener i jego bieżące środowisko, nie publikując danych wyjściowych, ponieważ zmienne środowiskowe mogą zawierać dane uwierzytelniające:

docker ps --format 'table {{.Names}}	{{.Image}}'
docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' code

Zastąp rzeczywistą nazwą kontenera. Przed zmianą codezapisz bezpieczną kopię pliku wdrożenia lub istniejącego pliku . Jeśli konfiguracja Compose obejmuje już zakończenie TLS, uprawnienia hosta WOPI lub parametry uwierzytelniania, zachowaj te wartości.coolwsd.xml

2. Wyłącz połączenie okresowej aktualizacji

Dla Docker Compose

Dodaj te opcje do istniejącej extra_paramswartości w bloku usługi CODE environment. To jest fragment, a nie kompletny plik zastępczy Compose:

services:
  code:
    environment:
      extra_params: >-
        --o:fetch_update_check=0
        --o:allow_update_popup=false

Połącz obie flagi z istniejącymi extra_paramsflagami zamiast je nadpisywać. Następnie utwórz ponownie tylko usługę CODE za pomocą docker compose up -d --no-deps --force-recreate code, używając swojej prawdziwej nazwy usługi Compose. Podczas docker runwdrażania uwzględnij te same opcje w extra_paramszmiennej środowiskowej podczas ponownego tworzenia kontenera.

Dla pakietów Linuksa

Edytuj /etc/coolwsd/coolwsd.xml. Zlokalizuj istniejące elementy i zmień ich wartości, zachowując ich oryginalne atrybuty:

<fetch_update_check>0</fetch_update_check>
<allow_update_popup>false</allow_update_popup>

Jeśli istniejące elementy zawierają atrybuty, zachowaj je i zmień tylko wartości tekstowe. Przed ponownym uruchomieniem sprawdź, czy plik jest prawidłowym plikiem XML; na przykład użyj polecenia xmllint --noout /etc/coolwsd/coolwsd.xmlif xmllintis installed. Uruchom ponownie za pomocą sudo systemctl restart coolwsd.

Ważne: allow_update_popup=false wyłącza powiadomienie edytora o aktualizacji; samo w sobie nie jest kontrolą wyjścia. To fetch_update_check=0ustawienie dotyczy zaplanowanego sprawdzenia. Twoja organizacja nadal musi śledzić aktualizacje zabezpieczeń w ramach standardowego procesu konserwacji.

3. Wyłącz usługi opcjonalne, które mogą kontaktować się z innymi hostami

Sprawdź aktywną konfigurację integracji zdalnych. W obecnej konfiguracji nadrzędnej zdalna korekta LanguageTool lub Duden jest domyślnie wyłączona, a przełączniki AI i DeepL na całym serwerze są również domyślnie wyłączone. Administrator lub integracja mogły je włączyć. Jeśli te opcje są dostępne w zainstalowanej wersji CODE, wyłącz je, jeśli ich nie potrzebujesz:

--o:languagetool.enabled=false
--o:ai.enabled=false
--o:deepl.enabled=false

Uwzględnij tylko opcje obsługiwane przez zainstalowaną wersję i scal je, extra_paramszamiast tworzyć drugą, sprzeczną wartość. Te same efekty można skonfigurować w odpowiednich sekcjach <languagetool>, <ai>, i <deepl>natywnej instalacji XML.

Sprawdź remote_config.remote_urlje remote_font_config.urlprzed ich usunięciem. Pusty adres URL zdalnej konfiguracji pozwala uniknąć opcjonalnego pobrania konfiguracji; zdalny adres URL czcionki może legalnie wskazywać na Twoją instalację Nextcloud. Jego usunięcie może wpłynąć na typografię dokumentu, dlatego należy go zachować, jeśli usługa czcionek jest zatwierdzona i wymagana. Sprawdź również wszystkie skonfigurowane adresy WebSocket do monitorowania i dodatkowe wtyczki, takie jak menedżer cytowań, zgodnie z potrzebami wdrożenia.

Rejestrowanie to osobna kwestia prywatności, a nie dowód zewnętrznej telemetrii. Sprawdź logging.docstats, logging.userstats, i , logging.anonymize.anonymize_user_datajeśli chcesz ograniczyć identyfikatory lokalne w diagnostyce. Zachowaj wystarczającą ilość logów bezpieczeństwa i operacyjnych, aby rozwiązywać problemy; zmiana szczegółowości logów nie blokuje gniazd wychodzących.

4. Ogranicz ruch wychodzący bez przerywania działania WOPI

Zmiana konfiguracji nie gwarantuje braku nieoczekiwanych połączeń wychodzących. Umieść CODE za zaporą sieciową lub serwerem proxy, który zezwala na określone miejsca docelowe i porty wymagane przez wdrożenie. Zazwyczaj oznacza to zatwierdzonego hosta pamięci masowej WOPI, wszelkie wewnętrzne usługi czcionek lub tożsamości, z których faktycznie korzystasz, oraz wymaganą infrastrukturę, taką jak wewnętrzny DNS. Zablokuj inne miejsca docelowe w Internecie, w tym niezatwierdzone punkty końcowe aktualizacji, dla obciążenia CODE.

Nie wyłączaj bezmyślnie obsługi sieci ani nie ustawiaj sieci Docker na internal: true: w zależności od architektury, może to uniemożliwić CODE dotarcie do serwera WOPI lub uniemożliwić działanie wymaganych integracji. Pamiętaj również, że przeglądarka użytkownika ładuje zasoby edytora i może wysyłać żądania niezależnie od serwera CODE; reguły zapory serwera nie mają wpływu na działanie przeglądarki.

W przypadku instalacji Docker Engine z wykorzystaniem zaplecza iptables, Docker dokumentuje DOCKER-USERłańcuch jako miejsce docelowe dla reguł przekierowania administratora. W przypadku zaplecza nftables zaimplementuj oddzielny łańcuch bazowy, zamiast zakładać DOCKER-USERjego istnienie. Zaprojektuj reguły dla swojej rzeczywistej sieci mostu lub kontenera, IPv4 i IPv6, DNS, stanu połączenia oraz legalnego ruchu WOPI; wklejenie ogólnej DROPreguły może uniemożliwić edycję w trybie offline. Przed wymuszeniem polityki zapoznaj się z poradnikiem Dockera dotyczącym iptables oraz poradnikiem Dockera dotyczącym nftables .

5. Sprawdź zmiany, w tym rzeczywistą aktywność sieciową

Po ponownym uruchomieniu lub odtworzeniu kontenera sprawdź logi uruchamiania pod kątem błędów konfiguracji oraz przetestuj otwieranie, edycję i zapisywanie dokumentu za pomocą standardowej integracji z pamięcią masową. Sam responsywny edytor nie jest dowodem na to, że wszystkie niezatwierdzone żądania zostały zatrzymane. Sprawdź działające parametry uruchamiania, a następnie przejrzyj logi DNS i połączeń wychodzących z zapory sieciowej, serwera proxy wychodzącego lub sieci kontenera podczas uruchamiania i edycji dokumentu.

docker logs --since 10m code
# Check configured flags without exposing unrelated environment secrets:
docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' code | grep '^extra_params='

W instalacjach natywnych należy używać sudo journalctl -u coolwsd --since '10 minutes ago'i sprawdzać lokalny plik XML. W przeglądarce należy otworzyć narzędzia programistyczne i przejrzeć kartę Sieć podczas otwierania dokumentu. Należy odróżniać żądania do własnych hostów CODE i WOPI od żądań do stron trzecich.

Kryteria sukcesu: CODE ładuje i zapisuje dokumenty normalnie; opcja sprawdzania aktualizacji jest ustawiona na zero; opcjonalne integracje z chmurą pozostają wyłączone, chyba że zostaną wyraźnie zatwierdzone; a monitorowanie sieci pokazuje tylko dozwolone miejsca docelowe w okresie obserwacji. Jeśli ładowanie dokumentu nie powiedzie się po przefiltrowaniu ruchu, należy tymczasowo sprawdzić odrzucone miejsca docelowe na zatwierdzonej liście WOPI i infrastruktury zamiast wyłączać weryfikację certyfikatu TLS lub otwierać nieograniczony ruch wychodzący.

Główne źródła: szablon konfiguracji serwera utrzymywany przez Collabora , konfiguracja kontenera Nextcloud All-in-One CODE oraz oficjalny opis obrazu CODE Docker . Dokumentują one odpowiednie ustawienia i wzorce wdrażania; nie zastępują one audytu sieciowego konkretnej instalacji.