Nextcloud ネットワーク構成

// 最終更新: 2026-05-14 — NC本体を R640 から maguro へ全面移植、 R640 は DMZ SNI ルータに転換
【2026-08-26 実機照合による現況】このページの構成図は設計を示すもので、稼働状態とは一致していない。
  • hirame は撤去済み — 物理的に存在しない。 hirame 上の Collabora Online も消滅し、 Nextcloud のオフィス編集は現在利用できない
  • maguro は停止中 — 本体 192.168.10.31 は応答せず IPMI (192.168.10.30) のみ生存。 Nextcloud / mikyun-portal / WireGuard / SM ストレージはすべて停止
  • Mellanox 25G Fabric は全系統ダウン — R640 側 2 本とも DOWN で 173.0.0.x の IP 自体が未設定
  • 稼働中の物理サーバーは R640 のみ — nginx (katuocloud.com) とメール (postfix/dovecot) は active。 docker コンテナは 0 個
  • WAN は暫定構成 — OCN 固定IP を喪失し共有Wi-Fi 上流の二重NAT。 外部からの着信は全て不可。 VLAN40 は 192.168.41.0/24 へ改番
  • LACP 合計 80 Gbps は未成立 — 実効 30 Gbps (Po30 20G + Po20 10G)。 R640-DATA2 が 1G ネゴのまま LACP から外れている
詳細は IP台帳 / 物理ポート配線図 を参照。

最新 NC 終端は maguro (192.168.30.30)。 R640 nginx stream で SNI passthrough。 詳細IPは IP台帳。

アクセス経路 (4ルート)
[外部 (Internet)] │ ↓ (TCP 443) [RTX1300 NAT 20000/11] → 192.168.20.21:443 │ ↓ [R640 nginx stream + ssl_preread] │ ├── SNI = “cloud.k2-o.net” → passthrough → maguro:443 │ │ │ [maguro nginx (Nextcloud)] │ ├ / → NC PHP │ ├ /browser/ → 173.0.0.10:9980 (Collabora) │ └ /wopi/ → fabric 173.0.0.4/30 only │ └── SNI = “katuocloud.com” → 127.0.0.1:8443 (R640 inner WP)
// 4つのアクセス経路 (利用者別)
#利用者経路用途
1外部 Internet 利用者 (誰でも)cloud.k2-o.net (HTTPS) → SNI 経由 maguroNC Web UI、 ファイル閲覧
2WG 顧客 (10.200.0.0/16)WG → maguro 直接 (192.168.30.30:443)NC Web + Talk + 同期
3内部 LAN (192.168.20.0/24)cloud.k2-o.net → 外部DNS → ヘアピン NAT 経由管理 + 直接アクセス
4Collabora (hirame)fabric 173.0.0.5 直結 (2026-05-14 fabric直結化)WOPI コールバック
物理経路 / Fabric
[R640 (katuo)] [maguro (Supermicro)] [hirame (X58A-UD3R)] ├ 192.168.20.21 (bond0) ├ 192.168.30.30 (SM-STG) ├ 192.168.10.40 (MGMT) ├ 192.168.30.21 (bond1) ├ 192.168.70.30 (SM-WG) ├ 192.168.20.40 (DATA) ├ 173.0.0.2 ─────────────── 173.0.0.1 (R640-FAB) └ 173.0.0.9 ─────┐ ├ 173.0.0.5 ─── 173.0.0.6 ───┤ │ └ 173.0.0.17 (DH-LINK) │ └─────────────────── 173.0.0.10 ───────┘ (R640-HIRAME-FAB)
Collabora ⇄ NC は fabric 直結 (2026-05-14): 旧経路 (R640 SNI 迂回) を廃止。 hirame コンテナ → 173.0.0.5 (maguro fabric) → NC 直接。 セキュリティ・性能・可用性すべて向上。
VLAN・ファブリック サマリ
セグメント用途NC 関係
VLAN10 (192.168.10.0/24)管理SSH/admin 用
VLAN20 (192.168.20.0/24)DATA (外部出口)R640 nginx 受信 (SNI passthrough 起点)
VLAN30 (192.168.30.0/24)STORAGE (内部専用)NC 本体 (maguro:192.168.30.30) 終端
VLAN50 (192.168.50.0/24)UPDATEapt update / docker pull 経路
VLAN70 (192.168.70.0/24)WireGuard (2026-05-13新設)maguro WG 終端
fabric 173.0.0.0/293ノード直結NC ⇄ Collabora WOPI 直結経路
NC 関連サーバの IP
サーバIP役割
R640 (katuo)192.168.20.21 / 192.168.30.21 / 173.0.0.2 / 173.0.0.9nginx SNI router (DMZ)
maguro (NC 本体)192.168.30.30 / 192.168.70.30 / 173.0.0.1 / 173.0.0.5Nextcloud + WG + portal
hirame (Collabora)192.168.20.40 / 173.0.0.6 / 173.0.0.10Collabora Online
WireGuard 構成 (maguro 移植後)
IFサブネットport用途
wg-clients10.200.0.0/16UDP 54024顧客VPN
wg-customers10.251.0.0/24UDP 61001業務カスタマー
wg-storage10.220.0.0/24UDP 62001ストレージ
WG はすべて maguro 終端。 旧 R640 wg0/wg1/wg2 は退避済 (/etc/wireguard-r640-snapshot/)。 RTX NAT で UDP を maguro:192.168.70.30 へ転送。
アクセス制御 (重要)
nginx (maguro cloud.k2-o.net) の allow リスト要約:
  • location /: 192.168.20.0/24, 192.168.30.21 (R640 SNI proxy IF), 192.168.10.0/24, 10.200.0.0/16, 173.0.0.0/29, deny all
  • location /wopi/: 173.0.0.4/30, 173.0.0.8/30, 192.168.20.0/24, 119.26.175.225 のみ (fabric 経由限定)
R640 SNI passthrough の留意点: stream module は TCP生proxy。 maguro 側で見える remote_addr は R640 出口IF (192.168.30.21) に置換される。 内部 LAN ユーザーも cloud.k2-o.net を外部DNS経由で叩くと全部 192.168.30.21 として届くので、 nginx allow から外さないこと。
設計判断 (履歴・教訓)
// 旧 172.31.x.x Fabric は廃止

2026-03-30 以前は 172.31.10/22/23.x 系で Fabric構成。 現在は 173.0.0.0/29 メッシュに統一済み (R640↔SM / SM↔hirame / R640↔hirame の 3 ペア)。

// 旧 NC 本体 = R640 → maguro へ移植

2026-05-14 Phase 2 で NC stack (mariadb:11 + redis:7-alpine + nextcloud-stack-app) を /opt/nextcloud/compose/ 配下で maguro に立ち上げ、 データ /srv/storage/nextcloud-data/ を rsync 移植。 ホスト MariaDB の mikyun_cloud DB も Docker MariaDB に統合。

// なぜ R640 を DMZ SNI ルータにしたか
  • 業務用フレッツ + 固定IP + UPS の完璧な公開サーバー条件を活かす
  • katuocloud.com (WP) は外部 HTTPS で公開、 cloud.k2-o.net (NC) は同じ TCP 443 を SNI 振り分けで再利用
  • maguro を WG 必須プライベート層として完全分離