เปิดใช้งานการเข้ารหัสฝั่งเซิร์ฟเวอร์ของ Nextcloud พร้อมวัดผลกระทบ

หากคุณกำลังพิจารณาใช้การเข้ารหัสฝั่งเซิร์ฟเวอร์ของ Nextcloud เนื่องจากไฟล์ของคุณจัดเก็บอยู่บนพื้นที่จัดเก็บข้อมูลของบุคคลที่สาม โปรดเปิดใช้งานหลังจากยืนยันแล้วว่าการเข้ารหัสฝั่งเซิร์ฟเวอร์นั้นสามารถรับมือกับภัยคุกคามที่คุณคาดการณ์ไว้ได้ ไม่มีการตั้งค่าใดที่รับประกันการเข้ารหัสโดยไม่มีผลกระทบต่อประสิทธิภาพการทำงาน: เซิร์ฟเวอร์ต้องทำการเข้ารหัสและถอดรหัสเนื้อหาไฟล์ ดังนั้นการถ่ายโอนข้อมูลและการใช้งาน CPU อาจเปลี่ยนแปลงได้ คุณสามารถควบคุมผลกระทบได้โดยการทดสอบไฟล์ตัวอย่าง เปิดใช้งานการเข้ารหัสสำหรับพื้นที่จัดเก็บข้อมูลที่จำเป็น และกำหนดเวลาการแปลงไฟล์จำนวนมากในช่วงเวลาที่ไม่ยุ่งยาก

คู่มือการดูแลระบบ Nextcloud 35 ฉบับปัจจุบัน (ตรวจสอบเมื่อวันที่ 10 ตุลาคม 2026) อธิบายว่าการเข้ารหัสฝั่งเซิร์ฟเวอร์ (SSE) ในตัวนั้นมีไว้เพื่อป้องกันไฟล์ที่จัดเก็บอยู่บนอุปกรณ์จัดเก็บข้อมูลภายนอกเป็นหลัก มันไม่ได้ซ่อนชื่อไฟล์หรือโครงสร้างโฟลเดอร์ และไม่ได้ป้องกันไฟล์จากเซิร์ฟเวอร์ Nextcloud ที่ถูกบุกรุกหรือผู้ดูแลระบบที่เป็นอันตราย สำหรับดิสก์ภายในเครื่องหรือการโจรกรรมทางกายภาพ การเข้ารหัสดิสก์ของระบบปฏิบัติการอาจเหมาะสมกว่า สำหรับการทำให้ข้อมูลอ่านไม่ได้สำหรับผู้ดูแลระบบเซิร์ฟเวอร์ ควรพิจารณาการเข้ารหัสแบบ end-to-end แทน

ก่อนเปิดใช้งานการเข้ารหัส

วางแผนเรื่องคีย์และการกู้คืนก่อนเปลี่ยนแปลงการตั้งค่า สำรองข้อมูลการกำหนดค่า Nextcloud และข้อมูลคีย์การเข้ารหัส และตรวจสอบให้แน่ใจว่าได้จัดเก็บไฟล์สำรองไว้แยกต่างหากพร้อมการควบคุมการเข้าถึง ข้อมูลคีย์จะถูกจัดเก็บไว้ในไดเร็กทอรีข้อมูล การสูญเสียคีย์การเข้ารหัสหรือรหัสลับของอินสแตนซ์อาจทำให้ข้อมูลที่เข้ารหัสไม่สามารถกู้คืนได้ เก็บขั้นตอนการกู้คืนที่ผ่านการทดสอบแล้ว ไม่ใช่แค่สำเนาของฐานข้อมูล

ก่อนทำการเปลี่ยนแปลง ควรบันทึกข้อมูลพื้นฐานด้วย เช่น ทดสอบเวลาในการอัปโหลดและดาวน์โหลดไฟล์ตัวอย่าง สังเกตการทำงานของ CPU และพื้นที่จัดเก็บข้อมูล และจดบันทึกความล่าช้าที่ผู้ใช้พบเจอ ทำการทดสอบซ้ำอีกครั้งหลังจากเปิดใช้งานแล้ว วิธีนี้จะแสดงให้เห็นว่าการเปลี่ยนแปลงนั้นเหมาะสมกับฮาร์ดแวร์ของคุณหรือไม่ แทนที่จะอ้างอิงจากประสิทธิภาพโดยรวมเพียงอย่างเดียว

เปิดใช้งานโมดูลการเข้ารหัสเริ่มต้นของ Nextcloud

1. ลงชื่อเข้าใช้ในฐานะผู้ดูแลระบบ Nextcloud และเปิดส่วนการเข้ารหัสฝั่งเซิร์ฟเวอร์ในการตั้งค่าการดูแลระบบ
2. เลือกเปิดใช้งานการเข้ารหัสฝั่งเซิร์ฟเวอร์หาก Nextcloud แจ้งว่าไม่มีโมดูลการเข้ารหัสโหลดอยู่ ให้เปิดหน้าแอป แล้วเปิดใช้งานโมดูลการเข้ารหัสเริ่มต้นจากนั้นกลับไปที่การตั้งค่าการเข้ารหัส
3. โปรดตรวจสอบโหมดการเข้ารหัสก่อนดำเนินการต่อ โหมดมาสเตอร์คีย์ซึ่งเป็นค่าเริ่มต้นนั้นแนะนำสำหรับการใช้งานส่วนใหญ่ แต่ผู้ดูแลระบบสามารถถอดรหัสไฟล์ได้ โหมดคีย์ผู้ใช้มีข้อจำกัดด้านความเข้ากันได้และการกู้คืนเพิ่มเติม และไม่ใช่การเพิ่มประสิทธิภาพการทำงาน
4. ออกจากระบบแล้วเข้าสู่ระบบอีกครั้งเพื่อเริ่มต้นใช้งานคีย์การเข้ารหัสตามคำแนะนำในอินเทอร์เฟซ ตรวจสอบสถานะการเข้ารหัสจากบรรทัดคำสั่ง:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:status

แทนที่พาธตัวอย่างและผู้ใช้ HTTP ด้วยข้อมูลที่ใช้ในการติดตั้งของคุณ Nextcloud ต้องการให้ OCC ทำงานในฐานะผู้ใช้ HTTP เพื่อรักษาสิทธิ์การเข้าถึงไฟล์ที่ถูกต้อง ใน Docker, AIO, Snap หรือโฮสติ้งแบบจัดการ ให้ใช้เชลล์และผู้ใช้ที่รองรับของการใช้งานนั้นๆ แทนที่จะคัดลอกคำสั่งโฮสต์นี้โดยตรง ดูรายละเอียดการเรียกใช้คำสั่งได้ในคู่มือ OCC อย่างเป็นทางการ

ตัดสินใจว่าจะเข้ารหัสอะไรและเมื่อใด

หลังจากเปิดใช้งาน SSE แล้ว ไฟล์ใหม่และไฟล์ที่เปลี่ยนแปลงจะถูกเข้ารหัส ไฟล์ที่มีอยู่แล้วจะไม่ถูกแปลงโดยอัตโนมัติเพียงเพราะเปิดใช้งานการตั้งค่า หากคุณต้องการเข้ารหัสไลบรารีไฟล์ที่มีอยู่แล้ว Nextcloud มีคำสั่ง OCC นี้ให้ใช้งาน:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-all

ก่อนดำเนินการ โปรดตรวจสอบให้แน่ใจว่าการสำรองข้อมูลเป็นปัจจุบัน และกำหนดช่วงเวลาสำหรับการบำรุงรักษา การดำเนินการนี้จะประมวลผลไฟล์สำหรับผู้ใช้ทั้งหมด แสดงความคืบหน้า และอาจใช้เวลาและทรัพยากรจำนวนมากบนอินสแตนซ์ขนาดใหญ่ Nextcloud แนะนำว่าผู้ใช้ไม่ควรเข้าถึงไฟล์ในระหว่างกระบวนการนี้ อย่าดำเนินการในช่วงเวลาที่มีการใช้งานสูงสุด หรือใช้เป็นการเปิดใช้งานที่ไม่เป็นอันตราย หากมีเพียงการเชื่อมต่อภายนอกเฉพาะที่ต้องการ SSE ให้กำหนดค่าตัวเลือกการเข้ารหัสของการเชื่อมต่อดังกล่าวแทนที่จะเริ่มการแปลงทั่วทั้งเซิร์ฟเวอร์โดยไม่จำเป็น

ข้อมูลบางส่วนอยู่นอกเหนือขอบเขตของการเข้ารหัสเนื้อหาไฟล์ คู่มือฉบับปัจจุบันแสดงรายการชื่อไฟล์และโครงสร้างโฟลเดอร์ ไฟล์ในถังขยะที่มีอยู่ เวอร์ชันไฟล์ในอดีต รูปภาพขนาดย่อและภาพตัวอย่าง และดัชนีการค้นหาข้อความเต็มรูปแบบ ในกลุ่มรายการที่ไม่ได้รับการเข้ารหัสโดย SSE การแชร์ไฟล์ที่เข้ารหัสบนพื้นที่จัดเก็บข้อมูลภายนอกต้องผ่าน Nextcloud เท่านั้น ไม่สามารถแชร์โดยตรงจากผู้ให้บริการพื้นที่จัดเก็บข้อมูลได้

ลดและวัดผลกระทบด้านประสิทธิภาพ

ใช้วิธีตรวจสอบทีละขั้นตอนแทนการเข้ารหัสทุกอย่างพร้อมกัน:

• เริ่มต้นด้วยชุดข้อมูลทดสอบขนาดเล็ก หรือตำแหน่งจัดเก็บข้อมูลภายนอกที่ติดตั้งใหม่ ซึ่งสามารถกำหนดขอบเขตของตัวเลือกการเข้ารหัสได้
• เปรียบเทียบเวลาในการอัปโหลดและดาวน์โหลด การใช้งาน CPU และความล่าช้าที่ผู้ใช้มองเห็นได้ กับค่าพื้นฐานภายใต้ภาระงานที่คล้ายคลึงกัน
• ทำการทดสอบซ้ำสำหรับไฟล์ขนาดใหญ่และขั้นตอนการทำงานทั่วไป เช่น การอัปโหลดและดาวน์โหลดไฟล์ผ่านไคลเอ็นต์ เนื่องจากกระบวนการเข้ารหัสเกิดขึ้นบนเซิร์ฟเวอร์
• ขยายขอบเขตงานก็ต่อเมื่อผลกระทบที่วัดได้เป็นที่ยอมรับ และกระบวนการสำรองข้อมูลและกู้คืนข้อมูลที่สำคัญได้รับการตรวจสอบแล้ว

Nextcloud ไม่ได้สัญญาว่าจะไม่มีค่าใช้จ่ายเพิ่มเติม และผลกระทบที่แท้จริงขึ้นอยู่กับฮาร์ดแวร์ ขนาดไฟล์ พื้นที่จัดเก็บ การทำงานพร้อมกัน และปริมาณงาน SSE อาจทำให้ขนาดไฟล์ที่จัดเก็บเพิ่มขึ้นเล็กน้อย คู่มือฉบับปัจจุบันระบุว่าประมาณ 1% สำหรับเวอร์ชันใหม่ เมื่อเทียบกับค่าใช้จ่ายเพิ่มเติมที่มากกว่าในเวอร์ชันเก่า อย่าคิดว่าการประมาณประสิทธิภาพแบบเก่าจะใช้ได้กับเวอร์ชันของคุณ

ตรวจสอบผลลัพธ์และรักษาเส้นทางการย้อนกลับที่ปลอดภัย

หลังจากเปิดใช้งาน SSE แล้ว ให้ตรวจสอบocc encryption:statusและทดสอบการอัปโหลด ดาวน์โหลด แชร์ และซิงค์ข้อมูลด้วยไฟล์ที่ไม่สำคัญ ตรวจสอบให้แน่ใจว่าข้อมูลในพื้นที่จัดเก็บข้อมูลที่ต้องการสามารถอ่านได้ผ่าน Nextcloud และความล่าช้าที่วัดได้ยังอยู่ในระดับที่ยอมรับได้ สำหรับไฟล์ที่มีอยู่แล้ว อย่าสันนิษฐานว่าไฟล์เหล่านั้นได้รับการเข้ารหัสจนกว่าการดำเนินการแบบกลุ่มจะเสร็จสมบูรณ์

หากคุณตัดสินใจปิดใช้งาน SSE ในภายหลัง อย่าปิดแอปหรือโมดูลในขณะที่ไฟล์ที่เข้ารหัสยังคงอยู่ ลำดับขั้นตอนที่ Nextcloud แนะนำคือให้ถอดรหัสไฟล์ก่อน จากนั้นจึงปิดใช้งานการเข้ารหัส คำสั่งถอดรหัสอาจเข้าสู่โหมดบำรุงรักษา และควรเรียกใช้โดยมีข้อมูลสำรองอยู่ด้วย:

sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-all

ตรวจสอบให้แน่ใจว่าการดำเนินการเสร็จสมบูรณ์และตรวจสอบการเข้าถึงไฟล์ก่อนที่จะเปลี่ยนการตั้งค่าการเข้ารหัส หากค่าใช้จ่ายที่วัดได้สูงเกินไป ให้จำกัดขอบเขตการจัดเก็บข้อมูลที่เข้ารหัส หรือเลือกการป้องกันระดับการจัดเก็บข้อมูลที่เหมาะสมกับแบบจำลองภัยคุกคามของคุณ เก็บรักษาคีย์และข้อมูลลับของอินสแตนซ์ไว้เป็นความลับตราบเท่าที่ข้อมูลที่เข้ารหัสยังคงอยู่

ข้อมูลอ้างอิงอย่างเป็นทางการ

• การเข้ารหัสฝั่งเซิร์ฟเวอร์ Nextcloud 35: การตั้งค่า ข้อจำกัด การสำรองข้อมูล และคำสั่ง OCC
• รายละเอียดการเข้ารหัสฝั่งเซิร์ฟเวอร์และประเภทคีย์ของ Nextcloud
• คู่มืออ้างอิงคำสั่ง Nextcloud OCC