fnOS アプリストア Lite と標準 FPK の違い
Knock Lite は fnOS アプリストアで配布されるネイティブパッケージです。Docker 版でも期間限定の試用版でもありません。Lite は公式サイトの標準 FPK と同じ中核的なゲートウェイ機能と管理機能を備えていますが、専用の非 root パッケージアカウントで動作します。
主な違いは、リバースプロキシ、認証、WAF が使えるかどうかではなく、fn-knock が fnOS ホストを直接変更できるかどうかです。Lite は非 root の権限境界を維持するため、ホストのファイアウォール変更、システムのネットワーク調整、特権ポートの待ち受けを提供しません。標準 FPK は root で動作し、これらのホスト統合を提供します。
どちらを選ぶか
次の用途には、通常はアプリストア版 Lite が適しています。
- Host またはパスベースのリバースプロキシを主に利用する。
- TOTP、ユーザー名とパスワード、Passkey、OIDC などの認証が必要。
- DDNS、証明書、ACME DNS-01、WAF、リクエストログ、監視が必要。
- 内蔵 FRP または Cloudflared を使い、fn-knock にホストのファイアウォールを変更させる必要がない。
- パッケージを非 root の権限境界内で動かしたい。
次のいずれかが明確に必要な場合は、公式サイトの標準 FPK を選んでください。
- ログイン後に機器の元ポートを動的に開放するダイレクトモード。
- ホストファイアウォールの自動管理。
- スマート接続、SSH セキュリティ、システム時刻同期、fnOS ネットワーク最適化。
- Web ターミナル、fnOS 証明書ストア同期。
- FN Connect トラフィックの WAF 経由化。
- アプリ内更新。
- 公開ポート
80 / 443に到達できる環境での標準ポート直結と自動 HTTPS。
機能比較
| 機能 | アプリストア Lite | 標準 FPK | 説明 |
|---|---|---|---|
| Host / パスのリバースプロキシ | 対応 | 対応 | どちらもゲートウェイから内部 Web サービスへリクエストを転送できます |
| 認証とアクセス制御 | 対応 | 対応 | TOTP、ユーザー名とパスワード、Passkey、OIDC、セッション、サービススコープを含みます |
| DDNS | 対応 | 対応 | グローバル IPv4 / IPv6 に対応する DNS レコードを更新できます |
| TLS 証明書と ACME DNS-01 | 対応 | 対応 | Lite でも HTTPS 証明書の取得、アップロード、管理、利用ができます |
| WAF、リクエストログ、監視 | 対応 | 対応 | Lite でも中核的な HTTP 保護機能と可観測性を利用できます |
| 内蔵 FRP / Cloudflared | 対応 | 対応 | トンネルは外向き接続であり、ホストファイアウォールの管理を必要としません |
| ダイレクトモード | 非対応 | 対応 | 認証済み送信元に合わせてホストファイアウォールを動的に変更します |
| ホストファイアウォール管理 | 非対応 | 対応 | Lite は fnOS のファイアウォールルールを追加、リセット、削除しません |
| スマート接続 | 非対応 | 対応 | ホストの dnsmasq と LAN 向け DNS 分岐を管理する必要があります |
| SSH セキュリティ | 非対応 | 対応 | SSH ログ検出、送信元ブロック、ルール同期にはホストログとファイアウォール権限が必要です |
| システム時刻同期 | 非対応 | 対応 | Lite は fnOS ホストの時刻を変更しません |
| 自動 HTTPS | 非対応 | 対応 | 公開 80 / 443 に到達できる場合の標準ポート直結支援です。Lite が HTTPS 非対応という意味ではありません |
| fnOS 証明書ストア同期 | 非対応 | 対応 | Lite 内の証明書は fnOS の証明書レコードへ自動反映されません |
| fnOS ネットワーク最適化 | 非対応 | 対応 | BBR や TCP MTU プロービングにはホストの sysctl 変更が必要です |
| Web ターミナル | 非対応 | 対応 | Lite はホストのシェルや tmux セッションを提供しません |
| FN Connect トラフィックの WAF 接続 | 非対応 | 対応 | この入口にはホストネットワークとファイアウォールの権限が必要です |
| アプリ内更新 | 非対応 | 対応 | Lite はアプリストアまたはパッケージの手動インストールで更新し、標準 FPK は管理画面から更新できます |
自動 HTTPS と HTTPS 対応は別のもの
表の「自動 HTTPS」は範囲の狭いホスト機能であり、エディション全体が HTTPS に対応しているかどうかを示すものではありません。
主に次の条件を満たす公開直結構成で利用します。
- ISP が受信 TCP ポート
80と443を遮断していない。 - ルーター、ファイアウォール、NAT が公開標準ポートを fn-knock へ転送している。
- 実際にアクセスするホスト名を含む有効な証明書が fn-knock に設定済み。
この条件を満たす場合、標準 FPK はホスト権限を使ってポート 80 を待ち受け、ゲートウェイ側で HTTP を HTTPS へリダイレクトし、設定済みの証明書を有効化できます。このスイッチは、ドメインの取得、ISP の受信制限解除、ルーターのポート転送作成、CDN オリジン設定を代行しません。
Lite は root 権限が必要なホストのポート 80 を直接バインドできないため、このスイッチを提供しません。ただし、次の機能は引き続き利用できます。
- Lite で証明書を取得、アップロード、管理する。
- ACME DNS-01 で証明書を取得、更新する。
- 設定済みの Lite ゲートウェイポートで HTTPS を提供する。
- ルーターで公開ポート
443を Lite のゲートウェイポートへ転送する。 - 前段のリバースプロキシ、CDN、エッジプラットフォーム、FRP、Cloudflared で公開 HTTPS を終端する。
ISP が 80 を遮断している場合、標準 FPK でも公開ポート 80 を使った自動リダイレクトはできません。443 にも到達できない場合は、公開標準ポートでの直接 HTTPS は利用できないため、別ポート、トンネル、またはエッジプラットフォームを使います。DNS-01 による証明書取得は公開ポート 80 に依存しません。
証明書と入口の詳細な境界については、TLS 証明書と HTTPSを参照してください。
実行方式の違い
| 項目 | アプリストア Lite | 標準 FPK |
|---|---|---|
| 実行アカウント | 専用の非 root パッケージアカウント fn-knock-lite | root |
| デフォルトポート | 8998 / 8997 / 8996 / 8999 | 7998 / 7997 / 7996 / 7999 |
| セットアップウィザードで指定できるポート | 1024～65535 | 1～65535 |
| 更新方法 | アプリストアまたはパッケージの手動インストール | 管理画面からのアプリ内更新に対応 |
| 初期 Redis 版からの移行 | 非対応 | 初期の Redis ベース版から移行可能 |
ポート範囲の制限は、Lite がホストの 1024 未満のポートを直接待ち受けられないことを意味します。ルーターで公開ポートを Lite の高位ゲートウェイポートへ転送することは妨げません。
Lite から標準 FPK へ移行する
両エディションは異なるデフォルトポートを使いますが、同時実行は推奨しません。次の順序で移行してください。
- Lite のメンテナンス画面から
.knockバックアップをエクスポートします。 - Lite を停止またはアンインストールし、使用していたポートが解放されたことを確認します。
- 機器のアーキテクチャに合う標準 FPK をインストールします。
- 標準 FPK を開き、
.knockをインポートします。 - ゲートウェイポート、証明書、外部ポート転送、トンネル、ホスト関連機能を再確認します。
- LAN とモバイルネットワークの両方から、認証 Host と業務 Host を確認します。
.knock は復元可能なアプリ設定を移行するためのものです。ホストファイアウォールの状態、外部 DNS レコード、上流アプリケーションのデータは含まれません。完全な範囲はバックアップ・復元・データ消去を参照してください。