セッション・送信元 IP 許可・IP 変更
セッションとセキュリティ には、セッション、ログイン試行制限、スキャナーのブラックリスト、共通ブラックリスト がまとめられています。セッション タブはリバースプロキシモードとサブドメインモードでのみ表示されます。直接接続モードでも残り 3 種類のセキュリティ記録は管理できますが、主なアクセス制御点は IP ホワイトリストとホストのファイアウォールです。
セッション一覧
各セッションには、ログイン方法、関連付けられた認証情報、現在および過去の送信元 IP、ログイン時間、有効期限、ブラウザー情報、備考が含まれます。FNOS クイック認証を使用した場合は、セッションの紐付け状態も表示されます。
利用できる操作は次のとおりです。
- 詳細：送信元、ブラウザー識別子、時刻情報を確認します。
- 備考：デバイスや用途を識別しやすい名前を付けます。
- 強制終了：セッションを直ちに無効にします。TOTP、Passkey、アカウントは削除されません。
- 追跡：セッションが異なる送信元 IP 間で継続された記録を確認します。
期限切れまたは存在しないセッション Cookie は、後続のリクエストで消去されるため、訪問者は再度ログインする必要があります。ログイン後のリダイレクトに問題がある場合は、元のサービス用 Host から入り直してください。認証コールバックのアドレスをコピーしたり、繰り返し更新したりしないでください。
セッション期間と IP アクセス許可
システム設定 → セッション では、通常ログイン、ログイン状態を保持、ログイン後の IP アクセス許可を個別に設定できます。通常ログインとログイン状態の保持はいずれも 60 秒以上にする必要があり、ログイン状態の保持期間を通常ログインより短くすることはできません。カスタム IP アクセス許可も 60 秒以上必要です。期間と許可方式が影響するのは、以後 TOTP または Passkey で作成される新しいセッションだけです。発行済みの Cookie、Redis セッション、ログイン後の IP アクセス許可が遡って書き換えられることはありません。
| ログイン後の IP アクセス許可 | 動作 |
|---|---|
| セッションに連動 | 現在の IP に対する自動許可が、セッションのライフサイクルに連動します |
| IP を自動的に許可しない | ブラウザーセッションだけを作成し、自動 IP 記録を追加しません |
| カスタム | 現在の IP に指定期間のアクセス許可を付与し、ログアウト時に取り消します |
手動のホワイトリストはセッションとは独立しており、ログアウトしても削除されません。
認証情報が カスタム範囲 の場合、任意の Host または元のポートを開ける共通の IP 自動許可は作成されません。範囲に認証が有効なプロトコルマッピングが含まれる場合は、上表の期間設定を使い、現在の送信元 IP に正確な TCP/UDP + 外部ポート のアクセス許可を作成します。ログイン後の IP アクセス許可を無効にすると、このプロトコル用許可も作成されません。
ログイン後の IP アクセス許可を無効にした場合、Host ルートは主にブラウザー Cookie に依存します。ルートドメインを設定すると、同じ親ドメイン配下にある互換性のある Host でログイン状態を共有できます。共有 Cookie ドメインに含まれない Host では、個別にログインが必要です。ページには互換性のない Host が表示されるため、ルートドメインまたは認証 Host を変更した後は再確認してください。
IP 変更
モバイルネットワーク、上流プロキシ、Wi-Fi とモバイル回線の切り替えでは、送信元 IP が変わります。セッションで複数の IP を許可 を有効にすると、同じセッションで直近の一定期間に使用された複数の IP が信頼済みアクセス元として扱われます。信頼期間は 1 分～24 時間に設定でき、セッション自体の有効期限は変わりません。追跡ページには、ログイン作成とその後の復旧イベントが記録されます。
これは、どのようなネットワーク切り替えでも継続できることを保証するものではありません。継続するには、新しいリクエストに有効なセッションが含まれ、再び fn-knock を通過する必要があります。前段のプロキシも実クライアント IP を転送しなければなりません。直接接続モードでは、元のポートへの後続接続はゲートウェイを再び通過しないため、IP が変わった場合は通常、ゲートウェイのエントリーポイントへ戻ってログインし直す必要があります。
トラブルシューティングの順序
- セッション一覧でセッションがまだ有効か、認証情報のサービススコープで対象 Host が許可されているかを確認します。
- リクエストログに記録されたクライアント IP が正しいか確認します。
- 追跡に復旧イベントがあるか、発生時刻が信頼期間内かを確認します。
- 自動または手動のホワイトリストがまだ有効か確認します。
- 直接接続モードでは、ゲートウェイのエントリーポイントで再認証してから元のポートをテストします。
ログイン試行制限
ログイン試行制限は、送信元 IP ごとに直近 1 時間の失敗回数を集計し、制限の有無と残りの待ち時間を秒数で表示します。自分の入力ミスであり、送信元 IP も正しいと確認できた場合は、個別の IP の制限を解除できます。この操作で消去されるのはログイン失敗による制限だけで、共通ブラックリスト、スキャナーのブラックリスト、セッション、認証情報は削除されません。
複数人で同じインターネット出口を共有している場合、1 人の連続したログイン失敗によって、同じグローバル IP を使う他の利用者にも影響が及ぶ可能性があります。制限を解除する前に、失敗の発生元を確認してください。ページに表示される IP が CDN またはリバースプロキシのノードである場合は、先に実クライアント IP の転送を修正します。