Nextcloud di casaBASE — documentazione

_Ultimo aggiornamento: 2026-06-14 (sera) — MastroLindo_

Cloud/note di casa su **manG3**, in Docker, dietro l'nginx dell'host.

Note di vitti ed Elena + backup foto dai telefoni, raggiungibile da ovunque.

---

1. Indirizzi (URL)

| Uso | URL | Certificato |

|-----|-----|-------------|

| **Pubblico (da ovunque, telefoni/Obsidian)** | `https://cloud.casarosini.duckdns.org` | Let's Encrypt (verde) |

| LAN / wg_guard (PC di casa) | `https://cloud.mang3` | self-signed (CA propria) |

| LAN / FRITZ! / WireGuard | `https://manG3.fritz.box` | self-signed |

| Riserva | `https://192.168.1.21` | self-signed |

DuckDNS risolve i sottodomini: `cloud.casarosini.duckdns.org` → stesso IP pubblico.

**WebDAV** (Obsidian "Remotely Save", client esterni):

`https://cloud.casarosini.duckdns.org/remote.php/dav/files/<utente>/`

Autenticazione: utente (`vitti` / `lella`) + **app-password** (NON la password vera;

si crea da Impostazioni→Sicurezza o `occ user:add-app-password`).

In Obsidian: **Remote Base Directory = `Notes`** per vedere i taccuini.

---

2. Architettura

**nginx host** fa reverse-proxy verso il container app su `127.0.0.1:8080`.
vhost pubblico: `/etc/nginx/conf.d/cloud.duckdns.conf` (cert Let's Encrypt)
vhost LAN: `/etc/nginx/conf.d/cloud.mang3.conf` (cert self-signed `/etc/nginx/ssl/`)
**Docker** (progetto in `/srv/nextcloud/`, file `docker-compose.yml`):
`nextcloud-app-1` — nextcloud:stable (Apache) su `127.0.0.1:8080`
`nextcloud-db-1` — mariadb:11, database **`nextcloud`**
`nextcloud-redis-1` — redis:7
volumi Docker (sul disco di sistema): `db`, `redis`, `html`
**Dati utente / foto**: bind mount **`/srv/dati/nextcloud/data`** → `/data` nel container

(SSD dedicato `/srv/dati`, ~103 GB liberi). _Spostati qui dal disco di sistema il 14/06._

**Config + segreti**: `/srv/nextcloud/.env` (password DB/redis/admin), `docker-compose.yml`,

`cloud.mang3.nginx.conf`.

---

3. Comandi utili


cd /srv/nextcloud
docker compose ps                 # stato container
docker compose logs -f app        # log
docker compose restart app        # riavvio app
docker compose up -d              # applica modifiche al compose

# occ (amministrazione Nextcloud):
docker exec -u www-data nextcloud-app-1 php occ status
docker exec -u www-data nextcloud-app-1 php occ user:info vitti
docker exec -u www-data nextcloud-app-1 php occ maintenance:mode --on|--off
docker exec -u www-data nextcloud-app-1 php occ config:system:get trusted_domains

---

4. Utenti e quote

**vitti** (admin) e **lella** (Elena).
Quota: **40 GB a testa** (`occ user:setting <uid> files quota "40 GB"`).
Note in `Notes/` (taccuini = sottocartelle: Primo Taccuino, VittiJob, BANCHE…).
⚠️ **BANCHE** (PIN banca di Elena) è dentro `Notes/` e si sincronizza sui dispositivi:

dato sensibile, da valutare se isolare.

---

5. Backup (→ NAS)

Lo fa **`vv_backup_sacro.sh`** (cron root, 03:10), che chiama lo script dedicato

**`nextcloud_backup.sh`** (entrambi in `~/scripts/manage_web_projects/bin/backup/`).

Scrive sotto `/mnt/nas_backups/manG3/nextcloud/`:

`db/<STAMP>/nextcloud.sql.zst` — dump del DB dal container (dated, pruning 14)
`data/<STAMP>/` — file utente, snapshot incrementale Time-Machine (hardlink, pruning 7)
`config/<STAMP>/` — `.env`, compose, nginx (dated)

Mette Nextcloud in manutenzione durante il dump/rsync e la toglie a fine.

Ripristino (schema)

1. `docker compose up -d` (ricrea i container)

2. ripristina i dati in `/srv/dati/nextcloud/data` dall'ultimo `data/latest`

3. carica il DB: `zstd -dc nextcloud.sql.zst | docker exec -i -e MYSQL_PWD=<root> nextcloud-db-1 mariadb nextcloud`

4. `occ maintenance:mode --off`, `occ files:scan --all`

---

6. Backup foto dai telefoni

App **Nextcloud** sul telefono → "Caricamento automatico":

Xiaomi 13T → account **vitti**
iPhone 12 Elena → account **lella**

Le foto finiscono in `Photos/` (su `/srv/dati`) e rientrano nel backup notturno.

---

7. Certificati / rinnovo

Pubblico: Let's Encrypt (`certbot`), rinnovo automatico via `certbot-renew.timer`
deploy-hook `/etc/letsencrypt/renewal-hooks/deploy/nginx-reload.sh`.
LAN: self-signed con `basicConstraints = critical, CA:TRUE` (necessario perché i client

Qt/desktop si fidino dopo `update-ca-trust`).

---

8. TODO

[ ] **fail2ban** per il login Nextcloud (ora è pubblico).
[ ] Cancellare `/srv/nextcloud/data.OLD_premove_*` dopo conferma di Elena.
[ ] Valutare isolamento del taccuino BANCHE dai dispositivi mobili.