システム設定とメンテナンス
システム設定 には、動作モード、トンネルリソース、証明書ツール、ゲートウェイ、セッション、機能スイッチ、メンテナンス操作がまとめられています。タブは動作モードとデプロイ環境の対応機能に応じて動的に表示されます。目的のタブが見つからない場合は、ページを繰り返し更新するのではなく、現在のプラットフォームと動作モードを先に確認してください。
デプロイ環境による対応機能の違い
| 機能 | FNOS ネイティブ FPK | Docker | OpenWrt | Linux サービス | Synology DSM 7 SPK | Windows x86_64 |
|---|---|---|---|---|---|---|
| 直接接続モードとホストのファイアウォール | 対応。プロセスにホスト管理権限が必要 | 非対応 | 対応。プロセスに root 権限が必要 | 非対応 | 非対応 | 非対応 |
| スマート接続 | 対応 | 非対応 | 対応。既存の dnsmasq と /etc/dnsmasq.d/ の読み込み設定が必要で、ページの apt-get 自動インストールは使用不可 | 非対応 | 非対応 | 非対応 |
| Web ターミナル | 対応 | 非対応 | 非対応 | 対応。tmux が必要 | 非対応 | 非対応 |
| 組み込み FRP / Cloudflared | 対応 | 対応 | 対応 | 対応 | 対応 | 非対応 |
| SSH セキュリティ | 対応 | 非対応 | 非対応 | 非対応 | 非対応 | 非対応 |
| 自動 HTTPS | 対応 | 非対応 | 非対応 | 対応。利用可能なポート 80 が必要 | 非対応 | 対応。ただし Windows の受信経路を別途開通させる必要がある |
| ACME DNS-01 | 対応 | 対応 | 対応 | 対応 | 対応 | 対応。組み込みクライアントを使用 |
| システム時刻の同期 | 対応 | 非対応 | 対応 | 非対応 | 非対応 | 非対応 |
| FNOS SSL 証明書同期 | 対応 | 非対応 | 非対応 | 非対応 | 非対応 | 非対応 |
| アップデートのインストール | Web 画面内で更新 | 新しいイメージを取得 | ファームウェアに合う IPK / APK をインストール | インストール方法に応じて手動更新 | DSM パッケージセンターで SPK をインストール | Windows Manager を使用 |
| 独立した管理パネルパスワード | FNOS / CGI エントリーポイントを使用 | 対応 | 対応 | 対応 | DSM デスクトップの CGI エントリーポイントを使用 | 対応。管理用エントリーポイントはローカルの 127.0.0.1 のみ |
上表では、サーバーから提供されるランタイムの対応機能を基準にしています。一部の機能は利用不可の理由とともに表示され、別の機能は入口自体が非表示になります。Windows は直接接続、組み込み FRP / Cloudflared、スマート接続、Web ターミナル、SSH セキュリティに対応していません。ゲートウェイの 7999 はデフォルトですべてのインターフェースをリッスンしますが、インターネットから到達できるかどうかは、ファイアウォールルール、NAT、ネットワークポリシーによって決まります。Synology DSM 7 SPK も、直接接続、ホストのファイアウォール、スマート接続、Web ターミナル、SSH セキュリティには対応していません。
fnOS 機器のアプリ名が Knock Lite の場合、それはネイティブの非 root 簡易パッケージで、上表の完全版 FPK とは異なります。Host プロキシ、認証、DDNS、証明書、WAF、組み込みトンネル、監視には対応しますが、ダイレクトモードとホストのファイアウォール、ネットワーク最適化、fnOS 証明書ストア同期、Web ターミナル、アプリ内更新には対応しません。完全なホスト連携が必要な場合は、Lite のバックアップをエクスポートして Lite を停止し、公式サイトの標準 FPK をインストールしてからインポートしてください。2 つのインスタンスで同じポートを使用しないでください。
設定タブの一覧
| タブまたは領域 | 表示条件と管理内容 | 詳細 |
|---|---|---|
モード | 常に表示。直接接続モード、リバースプロキシモード、サブドメインモードとルーティング方式を選択 | 実行モードを選ぶ |
FRP、Cloudflared | リバースプロキシモードで、プラットフォームが対応する場合に表示。トンネル実行ファイルをダウンロードして管理 | NAT 越えとトンネル |
ACME | 対応プラットフォームかつ Windows 以外で表示。acme.sh リソースとデフォルトの認証局を管理 | TLS 証明書と HTTPS |
IP 位置情報 | IP ジオロケーションサービスと CIDR アドレスデータベースを設定 | IP ジオロケーション |
FNOS | FNOS 共有リンクのパススルー、ポートアイコンの引き継ぎ、利用可能なネットワーク最適化、標準 FPK の FN Connect WAF 接続を管理 | fnOS 共有リンクのパススルー、WAF |
ブロック | スキャナーファイアウォール、トリガーウィンドウ、しきい値、除外設定 | 自動スキャンの遮断 |
機能 | ダッシュボードのエントリーポイント状態、Passkey 登録案内、自動 HTTPS、SSH セキュリティ、プロトコルマッピング、サイドバーの並び順、スマート接続の入口 | 各機能のドキュメント |
ゲートウェイ | 認証キャッシュ、リバースプロキシのレート制限、クローラーブロック、ポータル、公開範囲、Host 単位の転送オプション | このページの後半 |
WAF、ログ | HTTP ルールによる保護と構造化リクエストログ | WAF、リクエストログ |
ターミナル | Web ターミナルに対応し、Synology 以外の場合に表示 | Web ターミナル |
セッション | 通常セッション、ログイン状態の保持、ログイン後の IP アクセス許可、IP 変更 | セッション・送信元 IP 許可・IP 変更 |
パネル | Docker、OpenWrt、Linux、Windows で表示。独立した管理パネルパスワードを変更またはリセット | このページの後半 |
チャレンジ | ログイン前に PoW または Cloudflare Turnstile を使用 | ログイン前のボット対策 |
メンテナンス | 自動バックアップ、手動エクスポート、インポート、データ消去 | このページの後半 |
サイドバーメニューの並び順
システム設定 → 機能 → サイドバーメニューの並び順 で項目をドラッグすると、このインスタンスの左ナビゲーションの表示順を変更できます。ドラッグを終了すると自動的に保存されます。すべてのカスタム順序を解除するには、デフォルトの順序に戻す を選択します。
並び替えページには、現在の動作モードと機能設定で表示中の項目だけが並びます。一時的に非表示の項目も完全な順序内の位置を保持するため、機能を再度有効にするかモードを切り替えると、元の相対位置へ戻ります。末尾へ無条件に追加されることはありません。この設定で変わるのはナビゲーションの順序だけで、機能の有効化、無効化、権限付与は行いません。
ゲートウェイの基本設定
システム設定 → ゲートウェイ の上部にある設定は、Go ゲートウェイへ直接同期されます。Host 単位の編集機能は、Host ルーティングを使用するサブドメインモードでのみ利用でき、認証サービスの Host は編集対象の一覧に表示されません。
| 設定 | 動作と注意事項 |
|---|---|
認証成功時のキャッシュ期間 | 同じクライアントと同じ認証対象の成功結果をキャッシュする。0 の場合はリクエストごとにリアルタイムで検証 |
失敗した認証のキャッシュ期間 | 認証失敗の結果をキャッシュする。0 の場合は拒否結果を再利用しない。変更直後の権限を調査する場合は、以前の失敗結果がまだ有効な可能性を考慮する |
ゲートウェイのリバースプロキシにレート制限を適用 | クライアント IP ごとに 1 秒あたりのリクエスト数とバースト許容量でトラフィックを制御し、上限超過後は設定期間中、接続を直ちに切断 |
クローラーリクエストをブロック | ゲートウェイが識別したクローラーのアクセスをブロックする。WAF の代わりにはならず、ゲートウェイを迂回するリクエストも防げない |
一致しないルート | エラーページを表示 は案内ページを返し、接続をリセット はどのルートにも一致しないリクエストを直ちに終了 |
アップストリーム障害時にエラー情報を表示 | デフォルトは 少なく表示。アップストリーム IP、ポート、内部接続エラーを隠す。詳しく表示 は調査時だけ一時的に使用 |
ポータル設定 | ログイン後に表示するアプリ切り替え用の入口を制御 |
公開範囲 | 地域または CIDR に基づいて、ゲートウェイへ到達できる送信元を制限 |
プロキシヘッダー | 指定した Target へ X-Forwarded-* を送信するかを制御 |
Host ヘッダー | 指定した Target へ訪問者のリクエストの Host を維持するかを制御 |
パス別応答 | サービス用 Host に、パス単位のリバースプロキシまたは固定レスポンスを追加 |
リバースプロキシのレート制限は、初期設定ではクライアント IP ごとに 1 秒あたり 100 リクエスト、200 のバースト許容量、上限超過時のブロックが 30 秒です。レート制限によって直接切断されたリクエストはリクエストログへ記録されません。クライアントが切断されても対応するログがない場合は、この層も確認してください。ページの Host 単位のスイッチは、最終的に Target 単位でコンパイルされます。複数の Host が完全に同じ Target を参照する場合は、プロキシヘッダーと Host 維持の動作を共有します。
一致しないルートとアップストリームエラー
一致しないルートはデフォルトで エラーページを表示 を使用し、案内、選択、またはエラーページを返します。接続をリセット にすると、HTTP/1.x の接続をリセットし、HTTP/2 では現在のストリームを中止します。デフォルトドメインへのフォールバックも一時的に無効になりますが、保存済みの設定は維持され、エラーページへ戻すと再開します。リクエストログでは、この種のリクエストを一致しないドメインのブロックとして記録します。
アップストリーム障害時にエラー情報を表示 のデフォルトは 少なく表示 です。訪問者にはアップストリームが利用できないことだけを伝え、内部 IP、ポート、接続失敗理由は表示しません。詳しく表示 は完全な接続エラーを返すため、ネットワーク構成が漏れる可能性があります。管理された環境で短時間の調査にだけ使用し、終了後は 少なく表示 へ戻してください。
設定変更後の検証手順
- まず LAN 内に利用可能な管理用エントリーポイントを 1 つ確保します。
- 動作モード、Host、証明書、ゲートウェイ設定を変更した後は、実行状態の同期完了がページに表示されるまで待ちます。
- シークレットウィンドウで認証フローを検証し、その後、実際の外部ネットワークからサービス用 Host を検証します。
- リクエストログでクライアント IP、ルート種別、認証結果、アップストリームの Target を確認します。
- イベントセンターで、同期、証明書、トンネル、通知のエラーを確認します。
ゲートウェイのレート制限、WAF、スキャナーの遮断は、まず監視目的の設定または余裕のある設定から始めてください。ヘルスチェック、外部サービスからのコールバック、アプリケーション更新、クライアントの長時間接続に影響する可能性があります。
バックアップと復元
メンテナンスページで自動または手動生成される .knock には、設定、証明書の秘密鍵、TOTP seed、多種類のサービス認証情報が含まれるため、平文の秘密情報を含むバックアップとして扱ってください。自動バックアップはデフォルトで無効です。有効にすると、設定した間隔と保持期間でサーバーのデータディレクトリへ保存されます。現在のデータと同じディスクまたはコンテナボリュームにある場合、別機器へのバックアップの代わりにはなりません。インポートはマージではありません。現在の fn-knock アプリケーションデータを置き換え、その後ゲートウェイ、WAF、SSL などの実行状態を同期します。同期警告が発生しても、全体が自動的にロールバックされることはありません。
アーカイブの安全性、バージョン、128 MiB の上限、プラットフォームごとの入口、復元後の完全な検証、失敗時の対応については、バックアップ・復元・データ消去を参照してください。アプリケーションのバックアップは、ファイルシステムやコンテナボリュームのバックアップとは異なり、外部 DNS、ホストのファイアウォール、アップストリームアプリケーションのデータも含みません。
すべてのデータを消去
システム設定 → メンテナンス → クリーンアップ → すべてのデータを消去 は、現在のインスタンスを完全に初期化するための操作です。確認のため すべてのデータを消去 と入力する必要があります。実行すると、サーバーの設定、アカウント、セッション、ログ、その他のアプリケーションデータが消去され、現在のブラウザーのローカルデータも消去された後、ページが再読み込みされます。
データベース構造やエクスポート済みのバックアップファイルだけでは、内容は自動復元されません。この操作は元に戻せないため、検証済みのバックアップがあり、インスタンスを再初期化することが明確な場合にだけ実行してください。
管理パネルパスワード
Docker、OpenWrt、Linux、Windows の管理パネルパスワードは、訪問者がゲートウェイへのログインに使用する認証情報とは別です。パネルパスワードを忘れた場合は、対応するデプロイドキュメントのリセットコマンドまたは管理プログラムを使用してください。リセットで消去されるのは、パネルパスワード、パネルセッション、ログイン試行制限だけです。サービス用マッピングや証明書設定は削除されません。