Cum se dezactivează telemetria și conexiunile externe în Collabora CODE

Răspuns scurt: Collabora Online Development Edition (CODE) nu oferă un comutator general de telemetrie pe care administratorii trebuie să îl dezactiveze pentru analize de rutină. Collabora spune că Online-ul auto-găzduit nu necesită apeluri inverse de telemetrie sau analiză. Activitatea de ieșire care merită controlată este separată: verificări periodice ale actualizărilor, integrări opționale, monitorizarea endpoint-urilor și funcții ale documentelor care preiau date la distanță. Dezactivați funcțiile opționale pe care nu le utilizați, apoi impuneți o listă de permisiuni de ieșire, păstrând în același timp conexiunea WOPI la serverul de stocare.

Acest lucru se aplică CODE-ului auto-găzduit, cum ar fi o instanță integrată cu Nextcloud sau ownCloud. Blocarea completă a traficului de ieșire poate întrerupe încărcarea și salvarea documentelor, deoarece CODE trebuie să ajungă la gazda sa WOPI. Numele configurațiilor de mai jos au fost verificate în raport cu șablonul din amonte al Collabora pe 6 octombrie 2026; pachetele și valorile implicite pot varia în funcție de versiune.

Ce se consideră telemetrie sau o conexiune externă?

Telemetria înseamnă de obicei utilizarea produsului sau datele de diagnosticare trimise unui furnizor. Collabora declară că produsul său online auto-găzduit nu necesită telemetrie, apeluri inverse de analiză sau conectivitate la servicii externe. coolwsd.xmlȘablonul din amonte nu afișează un colector global de telemetrie sau un comutator „telefon acasă”.

Afișează o verificare periodică a versiunii: fetch_update_checkimplicit la 10 ore. Setați la 0pentru a dezactiva verificarea. allow_update_popupcontrolează dacă notificările de actualizare apar în editor; setarea la falseascunde notificarea, dar nu înlocuiește dezactivarea verificării în sine. Dacă versiunea dvs. acceptă ambele opțiuni, setați-le pe ambele.

Alte conexiuni sunt bazate pe funcționalități. Acestea pot include un monitor extern configurat, servicii de ortografie sau gramatică la distanță, traducere DeepL, furnizori de inteligență artificială, configurare de fonturi la distanță și date externe solicitate de un document. Șablonul din amonte spune că API-urile LanguageTool sau Duden la distanță sunt dezactivate în mod implicit; DeepL este, de asemenea, dezactivat în mod implicit. Folosește setările livrate împreună cu versiunea CODE exactă atunci când examinezi opțiunile de inteligență artificială sau integrare.

Pasul 1: Identificați destinațiile esențiale și opționale

Cartografiați modul în care funcționează editarea înainte de a schimba rețeaua. De exemplu, să presupunem că Nextcloud este la cloud.example.comși CODE este la office.example.com. Browserul încarcă editorul din CODE, în timp ce serverul CODE comunică și cu Nextcloud prin WOPI pentru a prelua și salva documentul. Păstrați ruta server-la-server, schema și portul utilizate de instalarea dvs. și orice servicii DNS sau proxy necesare implementării dvs.

Apoi, inventariați serviciile opționale în configurația efectivă. Căutați <monitors>adrese de monitorizare configurate explicit. Verificați verificarea ortografică la distanță, DeepL, AI, configurația fonturilor la distanță și adresele URL de configurare la distanță. Eliminați punctele finale personalizate care nu fac parte dintr-un flux de lucru aprobat. Dacă este necesar unul, documentați numele gazdei și scopul acestuia înainte de a crea excepția de rețea corespunzătoare.

Examinați și lok_allow. Acesta controlează ce gazde pot utiliza documentele editate ca surse de date externe, inclusiv adrese URL utilizate pentru grafice inserate sau funcții de foi de calcul, cum ar fi WEBSERVICE(). Nu este un firewall universal. Notele de configurare din amonte care permiteau gazde WOPI și POST pot fi, de asemenea, tratate ca surse de date permise, așadar păstrați această politică distinctă de controalele de ieșire din rețea.

Pasul 2: Dezactivați verificările periodice ale actualizărilor

Pentru containerul Collabora CODE, setați opțiunile prin extra_paramsvariabila sa de mediu. Îmbinați-le cu valoarea existentă; păstrați orice setări curente de terminare TLS, reverse-proxy sau gazdă de care depinde instalarea. Fixați o etichetă de imagine CODE aprobată pentru mediul dvs. în loc să vă bazați pe o latestetichetă mobilă.

services:
  collabora:
    image: collabora/code:<approved-tag>
    environment:
      extra_params: >-
        --o:fetch_update_check=0
        --o:allow_update_popup=false

Acesta este un fragment ilustrativ Docker Compose, nu o implementare completă. Păstrați restricțiile de domeniu existente, acreditările de administrator, setările TLS și configurația proxy. În Kubernetes, diagrama Helm din amonte expune collabora.extra_paramsși acceptă coolwsd.xmlconținut personalizat; utilizați fișierul cu valori și instrucțiunile pentru versiunea de diagramă instalată.

Dacă gestionați direct fișierul XML, puneți valorile în <config>elementul său principal:

<fetch_update_check>0</fetch_update_check>
<allow_update_popup>false</allow_update_popup>

Nu vă bazați pe o editare manuală în interiorul unui container care rulează, cu excepția cazului în care fișierul respectiv este persistent. O repornire, o actualizare a imaginii sau o implementare a orchestrației o pot înlocui. Schimbați sursa de configurare persistentă Compose, Helm sau montată și recreați sau lansați CODE folosind procedura obișnuită.

Pasul 3: Dezactivați integrările neutilizate și restricționați preluările de documente

Lăsați <monitors>câmpul gol dacă nu utilizați un serviciu de monitorizare extern. Fișierul din amonte conține un monitor eșantion comentat; o intrare comentată este un exemplu, nu o conexiune activă. Eliminați intrările de monitor activ care au fost adăugate local dacă nu mai sunt necesare.

Păstrați dezactivate verificarea ortografică și gramaticală la distanță, DeepL și funcțiile furnizorului de inteligență artificială, cu excepția cazului în care utilizatorii se bazează pe ele. Verificarea lingvistică la distanță poate trimite textul selectat al documentului către serviciul configurat, așadar activarea acesteia are consecințe atât asupra conectivității, cât și asupra gestionării datelor. Dacă este necesară o integrare, permiteți doar endpoint-ul aprobat prin politica de ieșire.

Pentru conținutul la distanță solicitat de documente, eliminați gazdele publice <lok_allow>și păstrați doar destinațiile de care au nevoie utilizatorii. Nu eliminați ruta WOPI pentru a realiza acest lucru. WOPI este conexiunea de stocare necesară pentru editarea normală. De asemenea, rețineți că intrările largi de rețea privată pot permite preluarea documentelor către mai multe gazde interne decât este intenționat; restrângeți-le acolo unde permit configurația rețelei și versiunea CODE.

Pasul 4: Aplicarea regulilor de ieșire în afara CODULUI

Setările aplicației dezactivează anumite comportamente; acestea nu garantează că sistemul de operare sau procesul nu poate deschide nicio altă conexiune. Pentru o limită mai puternică, aplicați reguli de ieșire la nivelul firewall-ului gazdă, al rețelei de containere, al Kubernetes NetworkPolicy sau al unui firewall extern. Folosiți opțiunea de refuz implicit pentru CODE, apoi permiteți doar destinația WOPI și dependențele aprobate explicit. Permiteți DNS prin serviciul de rețea utilizat de platforma dvs.

În exemplul de mai sus, este posibil ca CODE să aibă permisiunea de a accesa cloud.example.comschema și portul configurate pentru WOPI, în timp ce destinațiile publice fără legătură sunt refuzate. Evitați să vă bazați pe o adresă IP codificată fix atunci când gazda de stocare se află în spatele unui echilibrator de încărcare sau are adrese în schimbare. Un grup de destinații întreținut sau un proxy de ieșire controlat este mai ușor de gestionat. Asigurați-vă că orice proxy este configurat în mod consecvent pentru container.

Păstrați căile de intrare și de ieșire separate. Browserul trebuie să poată ajunge la punctul final CODE publicat, iar serverul de stocare poate avea nevoie să ajungă la CODE pentru sesiuni de descoperire sau de documente. O politică de ieșire care permite CODE să apeleze WOPI nu stabilește acele rute de intrare. De asemenea, modificarea lok_allownu dezactivează fiecare tip de conexiune de ieșire.

Pasul 5: Reporniți și verificați politica

Reporniți sau lansați CODE astfel încât configurația efectivă să fie încărcată. Verificați jurnalele de pornire pentru valorile de configurare încărcate și avertismentele despre setările ignorate. Apoi deschideți un document de test editabil prin integrarea normală a spațiului de stocare, faceți o modificare, salvați-l, închideți-l și redeschideți-l. Documentul ar trebui să păstreze modificarea.

• Verificați jurnalele de firewall, proxy sau politici de rețea în timpul pornirii și editării. Traficul WOPI așteptat ar trebui să fie permis.
• Confirmați că destinațiile externe pe care intenționați să le blocați sunt refuzate. Un jurnal silențios nu dovedește în sine că toate rutele posibile sunt blocate.
• După ce a trecut intervalul anterior de verificare a actualizărilor, verificați dacă containerul CODE a încercat o căutare de actualizări. Confirmați că fereastra pop-up de actualizare lipsește dacă și aceasta a fost dezactivată.
• Testați orice funcții de care au nevoie utilizatorii, inclusiv fonturi la distanță, traducere, ajutoare lingvistice, linkuri la documente și formule care preiau date externe. Restaurați doar destinația specifică aprobată de care are nevoie o funcție obligatorie.

Dacă documentele nu se deschid sau nu se salvează, verificați mai întâi DNS-ul și ruta WOPI server-to-server. Dacă eșuează doar o imagine externă sau o formulă de foaie de calcul, verificați lok_allowseparat politica firewall. Blocarea unei surse de date publice în timp ce WOPI continuă să funcționeze este rezultatul dorit; blocarea salvărilor înseamnă că politica de ieșire este prea largă.

Ce poate și ce nu poate garanta dezactivarea acestor conexiuni

Dezactivarea verificării actualizărilor și a integrărilor neutilizate reduce activitatea de ieșire așteptată din CODE. O politică de rețea de tip „reject-by-default” oferă limita de aplicare. Niciuna dintre acestea nu guvernează traficul separat de la gazdă, runtime-ul containerului, platforma de orchestrare, proxy-ul invers sau agentul de monitorizare. Dacă cerința acoperă întregul server, auditați și acele componente.

Valorile implicite de configurare se pot modifica între versiuni, iar integrările pot adăuga setări. Comparați șablonul livrat cu imaginea fixată cu șablonul curent din amonte înainte de lansare și testați-l în staging. Referințele principale sunt șablonul de configurare coolwsd.xml din amonte al Collabora , valorile oficiale ale diagramei Helm și declarația sa privind implementările auto-găzduite și serviciile externe .