ユーザー名とパスワードによるログイン
ユーザー名とパスワードによるログインは、複数の利用者に個別の ID を割り当てる場合に適しています。Docker や OpenWrt の管理画面用パスワードとは関係ありません。ここで設定するのは、ゲートウェイサービスへアクセスするためのアカウントです。
ログインモードの切り替え
認証設定 → その他の操作 → ログインモードを切り替え で、パスワードログインモード を選択します。システムは最初に既存の TOTP を対応するアカウントへ反映し、作成されるアカウント、更新されるアカウント、パスワード未設定のアカウントを一覧表示します。反映されたすべてのアカウントにパスワードを設定すると、切り替えを確定できます。
切り替え後は、次のように動作します。
- ログインページにユーザー名とパスワードの入力欄が表示されます。
- パスキー、QQ、その他の外部アカウントによるログイン項目は表示されません。
- TOTP、パスキー、OIDC で作成された既存のセッションは破棄されるため、ユーザー名とパスワードで再度ログインする必要があります。
- アカウントのサービススコープは、Host または保護対象のプロトコルマッピングへのアクセス時に引き続き適用されます。
TOTP、パスキー、QQ、その他の OIDC を再び利用する場合は、TOTP ログインモード へ戻します。切り替える前に、各アカウントを既存の TOTP へ紐付ける必要があります。ユーザー名とパスワードで作成されたセッションは、切り替え時に無効になります。
アカウントの作成
認証設定 → パスワードログイン用アカウント でアカウントを作成し、パスワードと、必要に応じてアクセスできるサブドメインおよびプロトコルマッピングを設定します。
| フィールド | バックエンドのルール |
|---|---|
| ユーザー名 | 1～64 文字。保存時に小文字へ変換されます。使用できるのは ASCII 英字、数字、.、_、- だけで、空白は使用できません |
| パスワード | 1～128 文字。短いパスワードや強度の低いパスワードには画面上で警告が表示されますが、バックエンドで拒否されるのは空のパスワードと長すぎるパスワードだけです |
バックエンドが許可する最小文字数は、セキュリティ上の推奨値ではありません。十分に長い固有のパスワードを使用し、管理画面や他のサービスと使い回さないでください。
アカウントが一部の入口だけへアクセスする場合は、権限を カスタム範囲 に切り替え、必要な Host、組み込みの選択ページ、または認証が有効な TCP / UDP プロトコルマッピングだけを選択します。カスタム範囲が空の場合、保護対象の入口には一切アクセスできません。制限付きアカウントには共通のログイン後 IP 自動許可は付与されません。個別のプロトコルマッピングを選択し、ログイン後の IP アクセス許可が有効な場合は、現在の送信元 IP にそのプロトコルと外部ポートだけが許可されます。
アカウントを削除すると、紐付けられた TOTP、パスキー、外部アカウント、ログインセッションも削除されます。TOTP による復旧経路を残す必要がある場合は、パスワードだけを削除するつもりでアカウントを削除しないでください。
インポートとエクスポート
認証情報のエクスポートには、アカウント、パスワードハッシュ、紐付けられた TOTP secret、権限が含まれます。機密性の高いバックアップとして保管してください。インポート時は、ID、ユーザー名、ファイル内の重複項目に基づいてアカウントがマージされ、パスワードハッシュと紐付け先 TOTP のインポート結果が個別に集計されます。パスキーや外部アカウントの紐付けは復元されません。問題が発生した場合に元へ戻せるよう、インポート前に現在の設定をエクスポートしてください。
トラブルシューティング
切り替えがブロックされる：表示されたアカウントにパスワードを設定するか、使用しないアカウントを削除してから再試行します。
ログインページにユーザー名とパスワードの入力欄がない：現在も TOTP ログインモードになっていないか、正しい認証 Host へアクセスしているかを確認します。
ログインには成功するが、特定のサブドメインまたはプロトコルポートへアクセスできない：アカウントのカスタム範囲、ログイン後の IP アクセス許可、マッピングのアクセスポリシーを確認します。
ログイン失敗回数が増え続ける：
セッションとセキュリティ → ログイン試行制限で送信元 IP を確認します。共有の送信元や誤った実 IP ヘッダーが原因で、複数の利用者が同じ試行制限の記録を共有している可能性があります。