Windows へデプロイ（x86_64）
Windows 版はネイティブインストーラーによってシステム全体のサービスとして導入され、fn-knock Windows 管理アプリ とシステムトレイから管理できます。対応するのは 64 ビット x86_64 Windows のみで、インストールには管理者権限が必要です。
管理画面は常にローカルのループバックアドレスだけで提供されます。一方、ゲートウェイの 7999 はデフォルトで全 IPv4 / IPv6 インターフェースを待ち受けます。そのため、Windows をグローバル IP から直接公開するゲートウェイや、自前で管理するトンネルのオリジンにできます。ただし、実際に外部から到達できるかどうかは、Windows ファイアウォール、ルーター / NAT、ISP の着信制限、その他のセキュリティソフトにも依存します。Windows 版には、直接接続の IP 許可、FRP、Cloudflared は内蔵されていません。
ネイティブ実装と独立した Windows サービス
Windows 版はネイティブ実装で、WebView や WebView2 に依存せず、デスクトップアプリ内にブラウザーエンジンを常駐させることもありません。ゲートウェイ、認証、管理バックエンドなどの主要機能は FnKnock Windows サービスがバックグラウンドで実行するため、デスクトップ管理アプリを常時起動しておく必要はありません。
デスクトップショートカットから起動するのは軽量な管理アプリだけです。サービス状態の確認、ポート変更、管理画面の表示、管理パスワードの消去、更新のインストールに使用し、実行中のメモリ使用量は約 2 MB です。fn-knock を設定するときは、アプリ内に Web ページを埋め込むのではなく、システムのデフォルトブラウザーでローカル管理画面を開きます。
設定後は、管理アプリをいつ終了しても構いません。システムトレイから完全に終了しても、FnKnock サービスはバックグラウンドで動作を続け、既存の認証、マッピング、ゲートウェイアクセスには影響しません。サービスが停止するのは、FnKnock サービスを明示的に停止した場合か、fn-knock をアンインストールした場合だけです。
インストール前の確認
- 64 ビット Windows で、現在のアカウントが UAC による昇格を行えること。
- デフォルトの
7991、7998、7997、7996、7999が他のアプリに使われていないこと。インストール後に管理アプリから変更できます。 - 管理画面はインストール先のローカルマシン専用です。LAN、VPN、リバースプロキシ経由で開く構成にはしないでください。
- LAN またはインターネットからゲートウェイへアクセスする場合は、Windows のネットワークプロファイル、ファイアウォール、ルーター / NAT、ISP の着信ポリシーを先に確認し、管理ポートは公開しないこと。
Windows インストーラーをダウンロードする
fn-knock Windows ダウンロードページから、公式の Windows インストーラーをダウンロードします。
チャットグループ、オンラインストレージ、第三者のダウンロードサイトからインストーラーを入手しないでください。fnOS FPK、Linux、OpenWrt 向けのパッケージも使用できません。今後のバージョン更新も、公式サイトと Windows 管理アプリに表示される公式チャネルを利用します。
インストールと初回アクセス
公式サイトからダウンロードした Windows インストーラーをダブルクリックし、UAC の確認画面で管理者権限を許可してインストールを完了します。
インストール後、Windows 管理アプリを起動します。スタートメニューから起動しても構いません。
管理アプリでサービスの状態が「準備完了」になっていることを確認し、「管理画面を開く」をクリックします。デフォルトでは次の URL が開きます。
texthttp://127.0.0.1:7991/画面の案内に従って管理パネルのパスワードを設定し、認証、マッピング、証明書を設定します。
管理パネルのパスワードが保護するのはローカル管理入口だけです。利用者がゲートウェイで使う TOTP、ユーザー名とパスワード、パスキーとは別の認証情報です。
デフォルトポートと待ち受け範囲
| ポート | 新規インストール時の待ち受け範囲 | 用途 |
|---|---|---|
7991 | ローカルループバック（IPv4 / IPv6） | 管理パネル |
7998 | ローカルループバック（IPv4 / IPv6） | Rust 管理バックエンド |
7997 | ローカルループバック（IPv4 / IPv6） | 認証サービス |
7996 | ローカルループバック（IPv4 / IPv6） | Go ゲートウェイ内部の gRPC |
7999 | 全 IPv4 / IPv6 インターフェース（0.0.0.0、::） | ゲートウェイ入口 |
fn-knock Windows 管理アプリ では、この 5 ポートを変更できます。保存後にサービスを再起動して新しいポートを確認し、起動に失敗した場合は元の設定へ戻します。5 つのポートにはそれぞれ異なる番号が必要です。7998、7997、7996 は外部向けの入口ではありません。
管理画面は常にローカルループバックからのアクセスだけを受け付け、7998、7997、7996 も外部へは公開しません。ゲートウェイの待ち受け範囲を切り替える設定はありません。旧バージョンから残った loopback 設定は、サービス起動時に現在の全インターフェース待ち受けへ自動移行されます。%ProgramData%\FnKnock\config\runtime.json を直接編集しないでください。
インストーラーは FnKnock Gateway という名前の受信プログラムルールを作成します。デフォルトで対象になるのは Windows の「ドメイン」と「プライベート」ネットワークプロファイルだけで、「パブリック」は対象外です。これはゲートウェイプログラムに一致する静的ルールであり、ログイン状態に応じてポートを動的に開閉するファイアウォール機能ではありません。外部公開では、Windows ファイアウォールまたは第三者製セキュリティソフト、ルーター / NAT のポートフォワーディング、IPv6 ファイアウォール、ISP の着信ポリシーを経路に沿って確認する必要があります。
同じ Windows ホストで別途動かすトンネルまたはリバースプロキシを外部向け入口にする場合も、ローカルでの不要な露出を減らすため、127.0.0.1:7999 をオリジンにすることを推奨します。このプロセスは fn-knock の管理対象外で、元の Host ヘッダーと実クライアント IP を保持する必要があります。Windows 版には システム設定 → FRP や システム設定 → Cloudflared のリソース / プロセス管理機能はありません。
日常管理、更新、データ
管理アプリのウィンドウを閉じると、システムトレイへ最小化されます。トレイメニューからアプリを完全に終了しても、FnKnock サービスは停止せず、ゲートウェイの動作にも影響しません。トレイメニューとメインウィンドウから、管理画面の表示、サービスの開始 / 停止 / 再起動、ポート変更、管理パスワードの消去、更新確認を行えます。
更新は fn-knock Windows 管理アプリ の「更新を確認」から行います。公式チャネルからインストーラーをダウンロードし、ファイルサイズと SHA-256 を検証してから起動します。Web 画面の バージョン情報 / 更新 では、バージョンとリリースノートの表示だけを行います。インストーラーによる更新中はサービスが短時間停止し、新バージョンが正常に起動しなければ以前のプログラムとデータを復元します。更新前にはアプリバックアップをエクスポートしてください。
| 場所 | 内容 |
|---|---|
%ProgramFiles% 配下のアプリディレクトリ | 管理アプリ、サービス、ゲートウェイプログラム |
%ProgramData%\FnKnock | 設定、SQLite、証明書、WAF、ログ、状態、ロールバックデータ |
アンインストールするとサービス、プログラムファイル、関連ルールは削除されますが、再インストールや復旧に備えて %ProgramData%\FnKnock は保持されます。このディレクトリには機密データが含まれます。復旧に不要であることを確認してから、管理者権限で別途削除してください。
アプリの .knock アーカイブと %ProgramData%\FnKnock ディレクトリのバックアップは、両方を計画してください。前者は設定の移行に向き、後者は SQLite、証明書、Windows 固有の実行データを保持します。インポート可能なバージョン範囲、機密データの扱い、復元後の確認手順はバックアップ・復元・データ消去を参照してください。
Windows 版の機能範囲
| 機能 | 対応状況 |
|---|---|
| サブドメインまたはパスマッピング | ローカル管理画面から設定可能 |
| ゲートウェイの外部向け入口 | 7999 はデフォルトで全インターフェースを待ち受けます。着信経路は、Windows の静的ルール、ネットワーク、ルーティング設定の組み合わせで決まります |
| 直接接続の IP 許可、ホストのファイアウォール管理 | 非対応。ログイン状態に応じてファイアウォールルールを動的に書き込みません |
| スマート接続、Web ターミナル、SSH セキュリティ | 非対応 |
| 内蔵 FRP、Cloudflared | 非対応。同じホスト上で別プロセスとして管理することは可能 |
| ACME 証明書 | 内蔵 DNS-01 に対応。詳しくは TLS 証明書と HTTPSを参照 |
| 更新のインストール | Windows 管理アプリで実行 |
管理パネルのパスワードを忘れた場合は、まず管理アプリの「管理パスワードを消去」を使用します。管理アプリを開けない場合は、管理者 PowerShell からコマンドを実行できます。
管理者権限で PowerShell を開き、アプリのインストールディレクトリで次のコマンドを実行します。
.\fn-knock-service.exe reset-panel-passwordこの操作はパネルのパスワード、パネルセッション、ログインバックオフの状態を消去します。マッピング、証明書、その他のゲートウェイデータは削除しません。
次に読むページ：