Подскажите, хватит ли одного сертификата для сайта?

Сертификат привязывается к доменному имени и не зависит от порта, так что да, одного хватит.

Сертификат привязывается к доменному имени и не зависит от порта, так что да, одного хватит.

Спасибо!

А Вы не знаете, можно ли, вообще, закрыть прямой доступ к onlyoffice из интернет?

Вроде, когда я использовал ту же связку но в docker, мне не пришлось docker onlyoffice делать доступным из интернет.

Увы, не знаю. Я активно использую Nextcloud, но у меня он настроен прямо на хосте, не в контейнере. OnlyOffice не использую.

Нет, это же js. Т.е. соединение идет от браузера клиента к офису. Другое дело, что надо прикручивать авторизацию, чтобы твоим сервером весь интернет не пользовался. Ну а за использование веб сервисов на нестандартных портах - убиват. Сделай 2 сертификата или один wildcard.

за nat, nextcloud nextcloud и onlyoffice lxc контейнеры

Вариант:

• делаешь ещё одно доменное имя третьего уровня office.mysite.com
• ставишь nginx как реверс прокси для обоих сайтов
• выпускаешь certbot’ом либо два отдельных сертификата, либо если есть доступ записям доменных имён то один вилдкарт сертификат для *.mysite.com, mysite.com

Или вариант с traefik, там может быть будет проще, если разобраться с сетевыми делами.

В контейнере nextcloud установлен NGINX

Попробуй traefik, вместе с docker-compose сертификаты прикручиваются одной строчкой.

Ну а за использование веб сервисов на нестандартных портах - убиват. Сделай 2 сертификата или один wildcard.

Хм… Возможно за использование нестандартных портов для общедоступного web сервиса и стоило бы вынести порицание, но я, как раз, хочу оградить onlyoffice от интернет!

В идеале, onlyoffice могут использовать использовать лишь пользователи nextcloud. В любом случае, юзвери даже не видят порт в адресной строке браузера, когда открывают через nextcloud открывают документ на редактирование в onlyoffice.

Попробуй traefik, вместе с docker-compose сертификаты прикручиваются одной строчкой.

Я ненавижу docker.

Был вынужден его, очень ограниченно, использовать на старом сервере, но сейчас все установил сам в lxc контейнерах.

Вот от lxc я в телячьем восторге!

Изумительно удобная штука.

Ты мимо везде. Видят, не огородишь. Еще раз, JS из браузера должен иметь доступ к офису. Попробуй головой. И да, в документации все расписано.

хочу оградить onlyoffice от интернет!

Не выйдет, только проверять авторизацию.

По хорошему nginx должен выступать в качестве reverse-proxy и не придется использовать нестандартные порты.

Я ненавижу docker

Это эмоции, они не продуктивны. Не надо так.

мне не пришлось docker onlyoffice делать доступным из интернет.

Там поди был nginx в качестве реверс прокси, через который доступны и офис и некстклауд.

Ок, но в целом и для nginx настроить получение сертификатов через acme не проблема, хоть wildcard, хоть для каждого поддомена.

Не выйдет, только проверять авторизацию.

Я, хоть убей, не представляю как сделать авторизацию в onlyoffice.

Да и как это скажется для пользователей при попытке редактировать документ из nextcloud?

Можно, конечно, извратиться и присобачить авторизацию по сертификату в nginx, но это окажется страшно неудобно. Пропадает основной плюс данного решения: доступ из любого места с любого устройства, на котором есть браузер.

Но, мне так и не ответили, чем плох способ доступа через одно доменное имя, просто на нестандартный порт для onlyoffice, как это реализовано у меня сейчас?

Для пользователя все эти извращения все равно не видны. Ему ни чего не нужно у себя настраивать. Все настройки сделаны в nextcloud и пользователей они ни как не касаются.

Для пользователя все эти извращения все равно не видны.

Пока браузер не пожалуется на нестандартный порт и не заблокирует соединение. А преимуществ это не дает. Домен с реверс прокси можно использовать один.

Я, хоть убей, не представляю как сделать авторизацию в onlyoffice.

Не знаком с интеграцией онлиофиса. Если всё как ты говоришь (у клиента должен быть доступ до самого онлиофиса, доступа к нему с некстклауда недостаточно), то нужно разбираться с авторизацией в самом онлиофисе. Можно еще повесить логин/пасс на nginx, но это уже извращение.