fnOS ネイティブ FPK のインストールと初期設定
このページでは、fnOS で動作するネイティブ版 fn-knock FPK だけを扱います。Docker Compose は Docker へのデプロイ、ルーター向けの OpenWrt パッケージは OpenWrt へのデプロイ、一般的な Linux ホストは Linux へのデプロイ（systemd / OpenRC）、Synology DSM 7 は Synology DSM 7 へのデプロイ、Windows ホストは Windows x86_64 へのデプロイを参照してください。
インストール前の確認
次のリンクから、fn-knock 公式ダウンロードサービスが配布する最新のネイティブ FPK を直接ダウンロードできます。説明ページではなく .fpk ファイルのダウンロードが始まるため、fnOS 機器のアーキテクチャに合うリンクを選んでください。
| fnOS 機器のアーキテクチャ | 選ぶパッケージ |
|---|---|
| x86-64（Intel / AMD） | x86_64 ネイティブ FPK をダウンロード |
ARM64（aarch64） | ARM64 ネイティブ FPK をダウンロード |
公式サイトのネイティブ FPK を推奨
公式サイトの標準 fnOS FPK は、fn-knock の最も機能が充実したバージョンです。インストール済みアプリの名前が
Knock Liteの場合、それは Docker 版ではなく、ネイティブの非 root 簡易パッケージです。リバースプロキシ、認証、DDNS、証明書、WAF、組み込みトンネル、監視には対応しますが、ダイレクトモードとホストのファイアウォール、ネットワーク最適化、fnOS 証明書ストア同期、Web ターミナル、FN Connect WAF 接続、アプリ内更新には対応しません。Lite でも証明書と HTTPS は利用できます。Lite にない「自動 HTTPS」は、公開 TCP80 / 443に到達できる場合の標準ポート直結支援機能です。移行するには、Lite から.knockをエクスポートして Lite を停止またはアンインストールし、機器のアーキテクチャに合う標準 FPK をインストールしてからインポートします。ポートが競合するため、両方を同時に実行しないでください。完全な比較はアプリストア Lite と標準 FPK の違いを参照してください。
ARM64 パッケージは 32 ビット ARM 機器にはインストールできません。また、他のデプロイ方式向けパッケージをネイティブ FPK としてインストールしないでください。セットアップウィザードでは 4 つのポートを指定します。競合がなければデフォルト値のままで構いません。4 つの値はいずれも 1～65535 の範囲で、互いに異なる番号にする必要があります。
| デフォルトポート | ウィザードでの項目名 | 用途 |
|---|---|---|
7998 | 管理バックエンドポート | fnOS のデスクトップアイコンから、ローカルプロキシ経由で接続する管理バックエンド |
7997 | 認証ポート | ログイン、ログアウト、パスキーなどの認証画面を提供するサービス |
7996 | Go 管理ポート | ゲートウェイと管理バックエンド間の内部 gRPC チャネル |
7999 | Go プロキシポート | ゲートウェイ入口。外部からサービスへアクセスするときは、通常このポートを通ります |
7998、7997、7996 をインターネット側の入口として転送してはいけません。サービスを公開するときに設計するのは、ゲートウェイポートとそのドメインだけです。具体的な公開方法は選択した動作モードによって異なります。
Lite のデフォルトポートは 8998 / 8997 / 8996 / 8999 で、セットアップウィザードでは 1024～65535 だけを使用できます。このページの以降の手順とデフォルトの 799x ポートは、公式サイトの標準 FPK を対象としています。トラブルシューティング前にアプリ名を確認し、対応するポートを使用してください。
fnOS にインストールする
- fnOS のアプリセンターを開き、手動インストール画面でダウンロード済みの
.fpkファイルを選びます。 - ポート設定の画面で 4 つのポートを確認します。既存サービスと競合する場合だけ変更してください。
- インストールを完了し、アプリの状態が「実行中」になるまで待ちます。
- fnOS デスクトップへ戻り、fn-knock アイコンを開きます。
デスクトップアイコンから開くのは管理画面であり、外部の利用者が使うゲートウェイ入口ではありません。アプリ設定でポートを変更すると、新しい値を反映するためアプリが再起動します。
初期設定の順序
1. アクセス構成を選ぶ
システム設定 → モード を開き、実際のネットワーク環境に合わせて選択します。
- 外部から到達できるグローバル IP とドメインがあり、主に Web サービスを公開する：サブドメインモードを優先します。
- FRP や Cloudflared などのトンネルが必要：リバースプロキシモードを使います。新規構成ではサブドメインマッピングを選び、パスマッピングは旧構成との互換目的に限ります。
- ログイン後に機器の元ポートへ直接接続する必要がある：この場合に限り、直接接続モードを検討します。
動作モードで決まるのは、トラフィックがどこから入り、どうルーティングされるかです。管理画面の URL が変わるわけではありません。選択前にアクセス構成を選ぶを確認してください。
2. ログイン用の認証情報を作成する
認証 で少なくとも 1 つの TOTP を登録してから、外部向けの入口を設定します。TOTP のシークレットは、普段使う端末とは別の信頼できる機器、またはオフラインのバックアップにも保管してください。スマートフォン 1 台だけに保存すると、機種変更や紛失時にログインできなくなります。
ユーザー名とパスワード、パスキー、QQ、その他の外部アカウントでログインする場合は、先に基本となる認証情報を用意してから、各ページの手順へ進みます。
3. 証明書と入口を設定する
マッピング、DDNS、トンネルを作成する前に、どの機器やサービスからゲートウェイ入口を公開するか決めます。HTTPS が必要な場合は、SSL 証明書 で既存の証明書、ACME、またはテスト用証明書を設定します。証明書、DNS、ポートフォワーディングは、すべて同じ入口経路を指す必要があります。
インストールを確認する
インストール後は、まず次の 2 点を確認します。
- fnOS デスクトップから fn-knock を開き、管理画面へ入れること。
- 最小構成のマッピングを 1 件作成し、モバイル回線など実際の外部ネットワークからゲートウェイのドメインまたは
7999へアクセスして、想定した認証とルーティング処理へ進むこと。
LAN 内でデスクトップアイコンから開けることは、アプリが起動した証明にしかなりません。ポートフォワーディング、DDNS、証明書、インターネット側からの認証が正しいことまでは確認できません。
よくある問題
デスクトップアイコンを開くとバックエンドへ接続できない
まずアプリセンターで fn-knock が実行中であることを確認し、4 つのポートが他のアプリと競合していないか調べます。ポートを変更した後は、アプリの再起動が完了するまで待ってください。それでも復旧しない場合は、アプリログの起動エラーを確認します。
管理画面は使えるが外部からアクセスできない
通信経路を順に切り分けます。ゲートウェイのポートまたはドメインへ到達できるか、現在の動作モードが構成と合っているか、DNS/DDNS が正しいか、証明書がアクセス先ドメインをカバーしているか、上流のトンネルまたはポートフォワーディングが 7999 を指しているかを確認してください。管理画面へアクセスできることを、インターネット側からの検証の代わりにしてはいけません。
セキュリティ上の境界
fn-knock は公開口の集約と前段認証を担うものであり、fnOS のシステム更新、バックアップ、最小権限の原則、サービス自体のアカウント保護を置き換えるものではありません。サブドメインまたはトンネルによるルーティングで、管理ポートやサービス本来のポートをインターネットへ直接公開すると、ゲートウェイを迂回してしまいます。直接接続を使う場合に限り、fn-knock のファイアウォールルールから、許可済みの送信元 IP に対して元のポートを一時的に開放します。
次に読むページ：