Remove or de-emphasize global ip_unprivileged_port_start=0 guidance

[stoertebeker]

Summary

The README recommends setting net.ipv4.ip_unprivileged_port_start=0 system-wide so non-root processes can bind privileged ports.

Evidence

• README.md:137-149 documents the sysctl change as part of setup guidance.

Risk

This weakens host isolation for every unprivileged process on the machine, not just this stack.

Suggested Remediation

• Prefer a reverse proxy, rootless port-forwarding pattern, socket activation, or a documented host-level alternative that does not globally lower the privileged-port boundary.
• If the sysctl remains documented, mark it clearly as a last-resort tradeoff rather than a normal setup step.

[stoertebeker]

Danke fuer den Einwand. Ich wollte mit dem Finding nicht sagen, dass ein rootless/non-root Setup ohne Zusatzmassnahmen direkt Host-Ports 80/443 binden kann. Das geht unter Linux schlicht nicht. Mein Punkt ist enger: net.ipv4.ip_unprivileged_port_start=0 hebt diese Grenze systemweit fuer alle unprivilegierten Prozesse auf und ist deshalb aus Security-Sicht eine relativ grobe Host-weite Ausnahme.

Wenn bereits ein lokaler Reverse Proxy vorhanden ist, waere aus meiner Sicht die sauberere Standardloesung:

• Der Nextcloud-Stack bleibt rootless und lauscht nur auf unprivilegierten Ports, z. B. 8080/8443, idealerweise nur lokal bzw. nur fuer den vorgeschalteten Proxy erreichbar.
• Der lokale Reverse Proxy ist der einzige ingress-nahe Dienst, der 80/443 bedient und auf 8080/8443 weiterleitet.
• Falls auch der Reverse Proxy selbst non-root laufen soll, braucht es dort ebenfalls eine gezielte Host-seitige Loesung, z. B. Port-Redirect/NAT, systemd socket activation oder einen bewusst privilegierten Ingress-Dienst, aber eben nicht zwingend die globale sysctl fuer alle Prozesse.

Mein Vorschlag waere daher, die Doku so zu staffeln:

1. Standardpfad: rootless Podman + lokaler Reverse Proxy auf 80/443 + Weiterleitung auf High Ports.
2. Alternative: Host-seitiger Port-Redirect bzw. socket activation.
3. Optionaler Tradeoff: net.ipv4.ip_unprivileged_port_start=0, klar als systemweite Sicherheitsausnahme gekennzeichnet und nicht als bevorzugter Default.

Dann bleibt das Projekt Podman-/rootless-freundlich, aber die Doku empfiehlt standardmaessig die engere Ausnahme statt der globalen Lockerung.