C'est tout à fait différent.
J'ai un FW qui tourne OPNsense, sur lequel j'ai un reverse proxy qui envoie le sous-domaine nextcloud de mon ndd vers le serveur NC. Ça me permet de ne pas exposer directement le NC, grâce au reverse proxy. Dans le FW, je décide des IPs qui peuvent rentrer (par exemple, uniquement les belges pour limiter les scans).
Il faut quand même être prudent, car NC demande que le port 443 soit relayé.
Le seul truc que je dois garder à peu près à jour, c'est le FW.
Mon serveur NC tourne sur une VM Debian, sur mon Syno. Pas optimum point de vue ressources, mais ça permet une grande flexibilité: je peux faire tourner des scripts de backup hors de NC. Et je préférais ne pas exposer un port du Syno directement, d'où la VM. J'ai commencé il y a plusieurs années, les conteneurs n'étaient pas au point.
En parallèle, j'ai un serveur OpenVPN sur le FW, mais c'est indépendant de NC, c'est plutôt pour le reste, pour pouvoir accéder à mon LAN depuis dehors. NC n'a pas besoin du VPN pour fonctionner.
