在 VPS 上自托管 Nextcloud。
您自己的 Google Drive、Photos、Contacts 和 Office。

Nextcloud 于 2016 年作为 ownCloud 的分支诞生，现已成为全球部署最广泛的自托管生产力套件。核心是一个处理文件同步的 PHP 应用，应用生态系统将其扩展至 Google 和 Microsoft 所售几乎所有相邻工作流。

它 1:1 替代的内容。 Google Drive（文件）、Google Photos（带人脸识别、地理标记、相册的照片）、Google Contacts 和 Google Calendar（通过 iOS 和 Android 原生支持的 CardDAV / CalDAV）、Dropbox 同步、基本 Office 365 文档编辑（基于 Collabora 的 Nextcloud Office）。对这些服务，迁移方式是批量导入现有数据，将设备指向新服务器，完成。

它有条件替代的内容。 Zoom（Nextcloud Talk 可轻松处理 1:1 和小组视频通话；大型网络研讨会需要 Talk 高性能后端）、WhatsApp 文件共享（Nextcloud Files 外部共享 + Talk 聊天）、Microsoft Teams（Talk + Office）、Notion（Deck 用于看板，Text 用于文档——不如 Notion 精致，但更持久）。

它无法替代的内容。 高端电子表格（Nextcloud Office 的表格大致相当于 Excel 2010）、Gmail（使用自托管邮件服务器——另有独立指南）、跨所有数据的搜索（Nextcloud 搜索是按应用分散的，非统一搜索）。对这些功能，应规划并行解决方案，而非仅依赖 Nextcloud。

启动全新 Debian 12 VPS，将 DNS A 记录（cloud.example.com）指向它，以 sudo 用户 SSH 登录。安装是一个单一的 docker run 命令，启动主容器，由其编排其余的技术栈。

1. 安装 Docker。 curl -fsSL https://get.docker.com | sh — 如果您将用户添加至 docker 组，请注销并重新登录。

2. 运行 AIO 主容器。 docker run -d --name nextcloud-aio-mastercontainer --restart always -p 80:80 -p 8080:8080 -p 8443:8443 -v nextcloud_aio_mastercontainer:/mnt/docker-aio-config -v /var/run/docker.sock:/var/run/docker.sock:ro nextcloud/all-in-one:latest — 容器在 https://your-server:8080 上公开管理 UI。

3. 打开管理员向导。 浏览至 https://<vps-ip>:8080，复制向导显示的一次性管理员密码，输入您的 cloud.example.com 域名，选择所需应用（Office、Talk、Memories、邮件桥接——选择相关项），启动部署。向导会拉取依赖容器，通过 Let's Encrypt 配置 TLS，运行初始数据库迁移，生成管理员账户凭据。

4. 首次登录。 约 10 分钟后（小型 VPS 可能更长），向导会显示 Nextcloud 本身的管理员密码。使用 admin + 该密码登录 https://cloud.example.com，立即更改密码，创建真实用户账户，逐一完成各应用的初始设置。

5. 将管理 UI 限制为仅你的 IP 可访问。 端口 8080 上的向导在您关闭前是公开可访问的。添加 ufw 规则：ufw allow from <your-home-ip> to any port 8080 && ufw deny 8080——管理界面从您的家庭地址可访问，其他地方不可见。

应用备份（AIO BorgBackup）。 AIO 内置 BorgBackup 集成。在管理 UI 中配置每日备份目标——通过 SSH 备份至第二台 VPS、通过 rclone 备份至 Backblaze B2 存储桶，或通过 WireGuard 备份至家庭 NAS。Borg 进行去重和加密；100 GB 的 Nextcloud 去重后通常仅需约 5 GB 备份空间。

快照备份（VPS 面板）。 NordBastion VPS 支持从面板进行文件系统快照——在任何 Nextcloud 大版本升级（28→29、29→30）前以及安装任何第三方应用前拍摄快照。回滚只需一次点击。快照是 Borg 备份的补充，而非替代——它们存在于同一数据中心。

静态加密。 Nextcloud 支持文件数据的服务器端加密，但加密密钥存在于同一服务器上——它防范离线磁盘查扣，而非实时 root 权限攻破。若需更强保障，请加密 VPS 根磁盘本身（LUKS + 通过 Tang/Clevis 远程解锁），并将服务器端加密视为纵深防御层。

端对端加密。 Nextcloud E2EE 在文件离开设备前加密客户端标记文件夹中的文件——服务器只保存密文。覆盖范围是局部的（不支持 Office、Photos 预览、Talk 附件），因此适用于敏感子集，而非整个存储库。