システム設定とメンテナンス
システム設定 には、動作モード、トンネルリソース、証明書ツール、ゲートウェイ、セッション、機能スイッチ、メンテナンス操作がまとめられています。タブは動作モードとデプロイ環境の対応機能に応じて動的に表示されます。目的のタブが見つからない場合は、ページを繰り返し更新するのではなく、現在のプラットフォームと動作モードを先に確認してください。
デプロイ環境による対応機能の違い
| 機能 | FNOS ネイティブ FPK | Docker | OpenWrt | Linux サービス | macOS | Synology DSM 7 SPK | Windows x86_64 |
|---|---|---|---|---|---|---|---|
| 直接接続モードとホストのファイアウォール | 対応。プロセスにホスト管理権限が必要 | 非対応 | 非対応 | 非対応 | 非対応 | 非対応 | 非対応 |
| スマート接続 | 対応 | 非対応 | 非対応 | 非対応 | 非対応 | 非対応 | 非対応 |
| Web ターミナル | リモート SSH + オプションのローカル PTY | リモート SSH のみ | リモート SSH + オプションのローカル PTY | リモート SSH + オプションのローカル PTY | リモート SSH + オプションのローカル PTY | リモート SSH のみ | リモート SSH のみ |
| 組み込み FRP / Cloudflared | 対応 | 対応 | 対応 | 対応 | 対応 | 対応 | 非対応 |
| SSH セキュリティ | 対応 | 非対応 | 非対応 | 非対応 | 非対応 | 非対応 | 非対応 |
| 自動 HTTPS | 対応 | 非対応 | 非対応 | 対応。利用可能なポート 80 が必要 | 対応。ファイアウォールと受信経路を手動で開通させる必要がある | 非対応 | 対応。ただし Windows の受信経路を別途開通させる必要がある |
| ACME DNS-01 | 対応 | 対応 | 対応 | 対応 | 対応 | 対応 | 対応。組み込みクライアントを使用 |
| システム時刻の同期 | 対応 | 非対応 | 対応 | 非対応 | 非対応 | 非対応 | 非対応 |
| FNOS SSL 証明書同期 | 対応 | 非対応 | 非対応 | 非対応 | 非対応 | 非対応 | 非対応 |
| アップデートのインストール | Web 画面内で更新 | 新しいイメージを取得 | ファームウェアに合う IPK / APK をインストール | インストール方法に応じて手動更新 | sudo knock update | DSM パッケージセンターで SPK をインストール | Windows Manager を使用 |
| 独立した管理パネルパスワード | FNOS / CGI エントリーポイントを使用 | 対応 | 対応 | 対応 | 対応。管理用エントリーポイントはローカルの 127.0.0.1 のみ | DSM デスクトップの CGI エントリーポイントを使用 | 対応。管理用エントリーポイントはローカルの 127.0.0.1 のみ |
上表では、サーバーから提供されるランタイムの対応機能を基準にしています。一部の機能は利用不可の理由とともに表示され、別の機能は入口自体が非表示になります。OpenWrt は直接接続、ホストファイアウォール管理、スマート接続に対応しなくなりました。Host ルーティング、プロトコルマッピング、内蔵トンネルは引き続き利用できますが、ポート許可は OpenWrt のファイアウォールで管理します。Windows は直接接続、組み込み FRP / Cloudflared、スマート接続、SSH セキュリティに対応していません。ゲートウェイの 7999 はデフォルトですべてのインターフェースをリッスンしますが、インターネットから到達できるかどうかは、ファイアウォールルール、NAT、ネットワークポリシーによって決まります。Synology DSM 7 SPK も、直接接続、ホストのファイアウォール、スマート接続、SSH セキュリティには対応していません。完全な標準 FPK、OpenWrt、Linux サービス、macOS の Web ターミナルではローカル PTY を有効にできますが、デフォルトでは無効です。Docker、Synology、Windows、Lite、開発環境はリモート SSH だけを提供します。
fnOS 機器のアプリ名が Knock Lite の場合、それはネイティブの非 root 簡易パッケージで、上表の完全版 FPK とは異なります。Host プロキシ、認証、DDNS、証明書、WAF、組み込みトンネル、監視、リモート SSH Web ターミナルには対応しますが、ローカル PTY、ダイレクトモードとホストのファイアウォール、ネットワーク最適化、fnOS 証明書ストア同期、アプリ内更新には対応しません。完全なホスト連携が必要な場合は、Lite のバックアップをエクスポートして Lite を停止し、公式サイトの標準 FPK をインストールしてからインポートしてください。2 つのインスタンスで同じポートを使用しないでください。
設定タブの一覧
| タブまたは領域 | 表示条件と管理内容 | 詳細 |
|---|---|---|
モード | 常に表示。直接接続モード、リバースプロキシモード、サブドメインモードとルーティング方式を選択 | 実行モードを選ぶ |
FRP、Cloudflared | リバースプロキシモードで、プラットフォームが対応する場合に表示。トンネル実行ファイルをダウンロードして管理 | NAT 越えとトンネル |
ACME | 対応プラットフォームかつ Windows 以外で表示。acme.sh リソースとデフォルトの認証局を管理 | TLS 証明書と HTTPS |
IP 位置情報 | IP ジオロケーションサービスと CIDR アドレスデータベースを設定 | IP ジオロケーション |
FNOS | FNOS 共有リンクのパススルー、ポートアイコンの引き継ぎ、利用可能なネットワーク最適化、標準 FPK の FN Connect WAF 接続を管理 | fnOS 共有リンクのパススルー、WAF |
ブロック | スキャナーファイアウォール、トリガーウィンドウ、しきい値、除外設定 | 自動スキャンの遮断 |
機能 | 日時表示、ダッシュボードのエントリーポイント状態、fnOS コンソールのアプリバー、Passkey 登録案内、自動 HTTPS、SSH セキュリティ、プロトコルマッピング、Wake-on-LAN、サイドバーの並び順、スマート接続の入口 | Wake-on-LANと各機能のドキュメント |
ゲートウェイ | 認証キャッシュ、リバースプロキシのレート制限、クローラーブロック、ポータル、公開範囲、Host 単位の転送オプション | このページの後半 |
WAF、ログ | HTTP ルールによる保護と構造化リクエストログ | WAF、リクエストログ |
ターミナル | すべての配布パッケージで表示。リモート SSH ターゲットとセッションを管理し、対応プラットフォームではローカル PTY を有効化 | Web ターミナル |
セッション | 通常セッション、ログイン状態の保持、ログイン後の IP アクセス許可、IP 変更 | セッション・送信元 IP 許可・IP 変更 |
パネル | Docker、OpenWrt、Linux、Windows で表示。独立した管理パネルパスワードを変更またはリセット | このページの後半 |
チャレンジ | ログイン前に PoW または Cloudflare Turnstile を使用 | ログイン前のボット対策 |
メンテナンス | 自動バックアップ、手動エクスポート、インポート、データ消去 | このページの後半 |
サイドバーメニューの並び順
システム設定 → 機能 → サイドバーメニューの並び順 で項目をドラッグすると、このインスタンスの左ナビゲーションの表示順を変更できます。ドラッグを終了すると自動的に保存されます。すべてのカスタム順序を解除するには、デフォルトの順序に戻す を選択します。
並び替えページには、現在の動作モードと機能設定で表示中の項目だけが並びます。一時的に非表示の項目も完全な順序内の位置を保持するため、機能を再度有効にするかモードを切り替えると、元の相対位置へ戻ります。末尾へ無条件に追加されることはありません。この設定で変わるのはナビゲーションの順序だけで、機能の有効化、無効化、権限付与は行いません。
日時の表示形式
システム設定 → 機能 → 日時の表示形式 は、管理画面で共通表示コンポーネントを使う時刻欄を制御します。
わかりやすい表示がデフォルトで、「数分前」「昨日」などの相対時刻を表示します。マウスを合わせるか、タッチデバイスでタップすると完全な日時を確認できます。完全な日時はローカライズされた日時を直接表示し、マウスを合わせるかタップすると相対時刻を補足します。
選択内容はインスタンス設定に保存され、管理画面全体へ適用されます。サーバーのタイムゾーン、システム時計、ログの元のタイムスタンプ、プロトコルマッピングのスケジュールは変更しません。スケジュール処理の調査では、引き続きサーバーの時刻とタイムゾーンを基準にしてください。
fnOS コンソールのアプリバー
標準 fnOS FPK と Knock Lite では、システム設定 → 機能 の コンソール上部にアプリ一覧を表示 を有効にできます。デフォルトは無効です。有効にすると、管理コンテンツの上部に横スクロール可能なショートカットバーが表示され、各ゲートウェイアプリを新しいタブで開きます。Docker、OpenWrt、Linux、Synology、Windows にはこのスイッチが表示されません。
Host ルーティングでは、有効な認証用以外の Host マッピングを一覧にし、ポータルのアプリ名、アイコン表示設定、グループ順を引き継ぎます。対象となる Host がない場合、パスモードでは保存済みのパスマッピングを入口として表示します。リンクは現在の管理ページのプロトコルと設定済みの公開入口ポートから生成されます。これはショートカットであり、DNS、ポート転送、証明書設定を代行しません。
このスイッチはマッピングを有効化、公開、変更せず、ログインやサービススコープも迂回しません。バーが空の場合は、現在のモードに利用可能なマッピングがあるか確認してください。リンクは開くが拒否される場合は、そのマッピングの認証と入口経路を調査します。
動作モード切り替えとスマート接続のフォールバック
動作モードの切り替えでは、候補設定を保存した後、スマート接続、ゲートウェイルート、プラットフォームの実行状態を順に同期し、同期処理同士の相互待機を避けます。切り替え中はページを閉じず、完了後に結果メッセージに従って新しい入口を確認してください。
スマート接続に対応する標準 fnOS FPK では、切り替え時にローカル IP または dnsmasq の同期が失敗しても、モード切り替え自体は完了します。ただし、DNS の分割処理失敗で操作全体が停止しないよう、スマート接続を自動的に無効化して警告を表示します。ローカル IP、ルートドメイン、dnsmasq の書き込み状態を確認してから、システム設定 → 機能 でスマート接続を再度有効にしてください。ゲートウェイルートやファイアウォールの適用自体が失敗した場合は、以前の設定へのロールバックを試みます。LAN またはコンソールの入口を維持し、エラーを確認して、複数のモードを連続して切り替えないでください。
標準 fnOS FPK の追加ファイアウォールポート
ホストファイアウォール機能を持つ標準 fnOS FPK では、システム設定 → モード → 操作 → 追加で許可するポート から、fn-knock の自動管理対象以外のポートを維持できます。Docker、OpenWrt、Linux、Synology、Windows、fn-knock Lite にはこの操作が表示されません。これらの環境では、ホスト、ルーター、クラウドファイアウォール側でポートを管理してください。
ダイアログには、現在のモードで自動的に許可されるゲートウェイ、プロトコルマッピング、スマート接続のポートと、利用者が追加したポートが分けて表示されます。追加リストには 1～65535 の重複しない整数を最大 128 件設定できます。各ポートでは TCP と UDP の両方が許可され、プロトコルごとには分けられません。ファイアウォール外部から本当にアクセスが必要なサービスだけを追加してください。
保存時の動作は、バックエンドに現在保存されている動作モードで決まります。
- 直接接続モードまたはサブドメインモードでは、
FN-KNOCK-FWを直ちに再構築し、自動ポートと追加ポートを統合します。 - リバースプロキシモードでは
FN-KNOCK-FWを作成せず、リストだけを保持します。直接接続モードまたはサブドメインモードへ切り替えた後に適用されます。 システムファイアウォールを自動管理を無効にした場合、サブドメインモードへの切り替え後は操作から手動で再設定する必要があります。直接接続モードでは引き続きファイアウォールを処理します。- ページ上の未保存のモード選択は今回の操作に影響しません。ダイアログの「現在保存済みのモード」が実際の基準です。
保存すると fn-knock の管理チェーン全体が再設定されます。ルーターのポート転送、クラウドのセキュリティグループ、アップストリームサービスの認証を置き換えるものではありません。追加ポートを削除する前に、リモート管理経路が依存していないことを確認してください。
ゲートウェイの基本設定
システム設定 → ゲートウェイ の上部にある設定は、Go ゲートウェイへ直接同期されます。Host 単位の編集機能は、Host ルーティングを使用するサブドメインモードでのみ利用でき、認証サービスの Host は編集対象の一覧に表示されません。
| 設定 | 動作と注意事項 |
|---|---|
認証成功時のキャッシュ期間 | 同じクライアントと同じ認証対象の成功結果をキャッシュする。0 の場合はリクエストごとにリアルタイムで検証 |
失敗した認証のキャッシュ期間 | 認証失敗の結果をキャッシュする。0 の場合は拒否結果を再利用しない。変更直後の権限を調査する場合は、以前の失敗結果がまだ有効な可能性を考慮する |
ゲートウェイのリバースプロキシにレート制限を適用 | クライアント IP ごとに 1 秒あたりのリクエスト数とバースト許容量でトラフィックを制御し、上限超過後は設定期間中、接続を直ちに切断 |
クローラーリクエストをブロック | ゲートウェイが識別したクローラーのアクセスをブロックする。WAF の代わりにはならず、ゲートウェイを迂回するリクエストも防げない |
一致しないルート | エラーページを表示 は案内ページを返し、接続をリセット はどのルートにも一致しないリクエストを直ちに終了 |
アップストリーム障害時にエラー情報を表示 | デフォルトは 少なく表示。詳しく表示、またはエラーページを返さない 接続を遮断 を選択可能 |
ポータル設定 | ログイン後に表示するアプリ切り替え用の入口を制御 |
公開範囲 | 地域または CIDR に基づいて、ゲートウェイへ到達できる送信元を制限 |
プロキシヘッダー | 指定した Target へ X-Forwarded-* を送信するかを制御 |
Host ヘッダー | 指定した Target へ訪問者のリクエストの Host を維持するかを制御 |
パス別応答 | サービス用 Host に、パス単位のリバースプロキシまたは固定レスポンスを追加 |
リバースプロキシのレート制限は、初期設定ではクライアント IP ごとに 1 秒あたり 100 リクエスト、200 のバースト許容量、上限超過時のブロックが 30 秒です。レート制限によって直接切断されたリクエストはリクエストログへ記録されません。クライアントが切断されても対応するログがない場合は、この層も確認してください。ページの Host 単位のスイッチは、最終的に Target 単位でコンパイルされます。複数の Host が完全に同じ Target を参照する場合は、プロキシヘッダーと Host 維持の動作を共有します。
一致しないルートとアップストリームエラー
一致しないルートはデフォルトで エラーページを表示 を使用し、案内、選択、またはエラーページを返します。接続をリセット にすると、HTTP/1.x の接続をリセットし、HTTP/2 では現在のストリームを中止します。デフォルトドメインへのフォールバックも一時的に無効になりますが、保存済みの設定は維持され、エラーページへ戻すと再開します。リクエストログでは、この種のリクエストを一致しないドメインのブロックとして記録します。
アップストリーム障害時にエラー情報を表示 のデフォルトは 少なく表示 です。訪問者にはアップストリームが利用できないことだけを伝え、内部 IP、ポート、接続失敗理由は表示しません。詳しく表示 は完全な接続エラーを返すため、管理された環境で短時間の調査にだけ使用してください。接続を遮断 を選ぶとエラーページを生成せず、HTTP/1.x の接続をリセットするか、現在の HTTP/2 ストリームを中止します。
設定変更後の検証手順
- まず LAN 内に利用可能な管理用エントリーポイントを 1 つ確保します。
- 動作モード、Host、証明書、ゲートウェイ設定を変更した後は、実行状態の同期完了がページに表示されるまで待ちます。
- シークレットウィンドウで認証フローを検証し、その後、実際の外部ネットワークからサービス用 Host を検証します。
- リクエストログでクライアント IP、ルート種別、認証結果、アップストリームの Target を確認します。
- イベントセンターで、同期、証明書、トンネル、通知のエラーを確認します。
ゲートウェイのレート制限、WAF、スキャナーの遮断は、まず監視目的の設定または余裕のある設定から始めてください。ヘルスチェック、外部サービスからのコールバック、アプリケーション更新、クライアントの長時間接続に影響する可能性があります。
バックアップと復元
メンテナンスページで自動または手動生成される .knock には、設定、証明書の秘密鍵、TOTP seed、多種類のサービス認証情報が含まれるため、平文の秘密情報を含むバックアップとして扱ってください。自動バックアップはデフォルトで無効です。有効にすると、設定した間隔と保持期間でサーバーのデータディレクトリへ保存されます。現在のデータと同じディスクまたはコンテナボリュームにある場合、別機器へのバックアップの代わりにはなりません。インポートはマージではありません。現在の fn-knock アプリケーションデータを置き換え、その後ゲートウェイ、WAF、SSL などの実行状態を同期します。同期警告が発生しても、全体が自動的にロールバックされることはありません。
アーカイブの安全性、バージョン、128 MiB の上限、プラットフォームごとの入口、復元後の完全な検証、失敗時の対応については、バックアップ・復元・データ消去を参照してください。アプリケーションのバックアップは、ファイルシステムやコンテナボリュームのバックアップとは異なり、外部 DNS、ホストのファイアウォール、アップストリームアプリケーションのデータも含みません。
すべてのデータを消去
システム設定 → メンテナンス → クリーンアップ → すべてのデータを消去 は、現在のインスタンスを完全に初期化するための操作です。確認のため すべてのデータを消去 と入力する必要があります。実行すると、サーバーの設定、アカウント、セッション、ログ、その他のアプリケーションデータが消去され、現在のブラウザーのローカルデータも消去された後、ページが再読み込みされます。
データベース構造やエクスポート済みのバックアップファイルだけでは、内容は自動復元されません。この操作は元に戻せないため、検証済みのバックアップがあり、インスタンスを再初期化することが明確な場合にだけ実行してください。
管理パネルパスワード
Docker、OpenWrt、Linux、Windows の管理パネルパスワードは、訪問者がゲートウェイへのログインに使用する認証情報とは別です。パネルパスワードを忘れた場合は、対応するデプロイドキュメントのリセットコマンドまたは管理プログラムを使用してください。リセットで消去されるのは、パネルパスワード、パネルセッション、ログイン試行制限だけです。サービス用マッピングや証明書設定は削除されません。