インフラ構成 — katuocloud DC 全体図
// DC OVERVIEW — Phase 1〜3 完了 / 最終更新: 2026-05-14
【2026-08-26 実機照合による現況】このページの構成図は設計を示すもので、稼働状態とは一致していない。
- hirame は撤去済み — 物理的に存在しない。 hirame 上の Collabora Online も消滅し、 Nextcloud のオフィス編集は現在利用できない
- maguro は停止中 — 本体 192.168.10.31 は応答せず IPMI (192.168.10.30) のみ生存。 Nextcloud / mikyun-portal / WireGuard / SM ストレージはすべて停止
- Mellanox 25G Fabric は全系統ダウン — R640 側 2 本とも DOWN で
173.0.0.xの IP 自体が未設定 - 稼働中の物理サーバーは R640 のみ — nginx (katuocloud.com) とメール (postfix/dovecot) は active。 docker コンテナは 0 個
- WAN は暫定構成 — OCN 固定IP を喪失し共有Wi-Fi 上流の二重NAT。 外部からの着信は全て不可。 VLAN40 は 192.168.41.0/24 へ改番
- LACP 合計 80 Gbps は未成立 — 実効 30 Gbps (Po30 20G + Po20 10G)。 R640-DATA2 が 1G ネゴのまま LACP から外れている
稼働中 R640 (katuo) + maguro + hirame の三層構成 / RTX1300 + Cisco 12XS/48T + UPS×3 / Mellanox 25G fabric 完全メッシュ
設計コンセプト
- Zero Trust 管理: 顧客通信と管理通信の完全分離 (VLAN 物理分離 + ACL)
- 役割分離: R640 = DMZ 公開フロント、 maguro = プライベートストレージ + WG、 hirame = Collabora
- 高速バックエンド: 25G Mellanox 完全メッシュ fabric (R640 / maguro / hirame 三角形)
- 3-2-1 バックアップ: WP DB 14日保持、 NC データ XFS、 オフサイト検討中
- Tier1相当監視: 全ホスト Telegram 通知 + 5min 周期 timer / daily cert-watch
全体アーキテクチャ図 (2026-05-14 現状)
Internet
│
OCN フレッツ光 (固定IP, MAP-E)
│
┌──────────────────────┐
│ Yamaha RTX1300 │
│ Edge Router / NAT │
│ LAN1 LAG → 48T Po2 │
│ LAN3 → 12XS VLAN60 │
└──────────┬───────────┘
│
┌──────────┴───────────┐
│ Cisco WS-C3850-12XS │
│ CORE L3 (SVIs) │
│ VLAN10/20/30/50/70 │
└──┬───┬───┬───┬───┬───┘
VLAN10 │ │ │ │ │ VLAN70 (NEW 2026-05-13)
MGMT │ │ │ │ │ WG-PUBLIC
│ │ │ │ │ 192.168.70.0/24
┌────────▼┐ │ │ │ └──→ maguro SM-WG bond (Po70 20G)
│ 48T │ │ │ │
│ ACCESS │ │ │ │
└─────────┘ │ │ │
│ │ │
VLAN20 │ │ │ VLAN30
Po20 │ │ │ Po30/Po2
▼ ▼ ▼
┌─────────────────────────────┐
│ R640 (katuo) — DMZ Front │
│ • Ubuntu 22.04 (2026-05-14 │
│ fresh install) │
│ • nginx stream SNI router │
│ • katuocloud.com WP │
│ • LUKS /mnt/data 3.3T │
│ • PERC H730P (HW RAID10) │
└─────────────────────────────┘
▲ ▲ ▲
VLAN20 │ │ │ VLAN30/50/70
│ │ │
┌──────┴───┴───┴──────────────┐
│ maguro — Storage + WG │
│ • Ubuntu 22.04 │
│ • Nextcloud (Docker) │
│ • mikyun-portal │
│ • WG: wg-clients/customers │
│ /storage │
│ • LUKS + bcache + XFS 64TB │
└──────────────────────────────┘
┌──────────────────── 25G Mellanox Fabric (完全メッシュ) ────────────────────┐
│ 173.0.0.0/30 maguro(.1) ↔ R640(.2) SM-R640-FAB / R640-MAGURO-FAB │
│ 173.0.0.4/30 maguro(.5) ↔ hirame(.6) SM-HIRAME-FAB / HIRAME-SM-FAB │
│ 173.0.0.8/30 R640(.9) ↔ hirame(.10) R640-HIRAME-FAB / HIRAME-R640-FAB │
│ 173.0.0.16/30 maguro(.17) ↔ D-Link │
└─────────────────────────────────────────────────────────────────────────────┘
┌────────────────────────────────┐
│ hirame (X58A-UD3R) │
│ • Collabora Code (Docker) │
│ • fabric直結 173.0.0.4/30 │
│ • office.k2-o.net 終端は maguro │
└────────────────────────────────┘
機器一覧 (現役)
| 機器 | 機種 | 役割 | 管理IP (VLAN10) | OS |
|---|---|---|---|---|
| R640 (katuo) | Dell PowerEdge R640 (PERC H730P, Matrox G200eW3) | DMZ 公開フロント / WP / SNI router | 192.168.10.21 | Ubuntu 22.04 (2026-05-14 fresh) |
| maguro | Supermicro SSG-6048R | セキュアストレージ + NC + Portal + WG | 192.168.10.31 | Ubuntu 22.04 |
| hirame | Gigabyte X58A-UD3R | Collabora Online (Docker) | 192.168.10.40 | Ubuntu |
| RTX1300 | Yamaha (MAP-E / 固定IP) | Edge Router / NAT / Filter | 各VLAN .1 | RTX OS |
| Cisco 12XS | WS-C3850-12XS | CORE L3 (10G SFP+) | 192.168.10.1 | IOS-XE |
| Cisco 48T | WS-C3850-48T | ACCESS (1G RJ45 + 10G SFP+) | 192.168.10.2 | IOS-XE |
| UPS-A/B/C | APC Smart-UPS 1200 ×3 (AP9630 NMC) | 2-of-3 判定 NUT 自動停止 | 192.168.10.50〜52 | — |
VLAN 一覧 (2026-05-13 VLAN70 新設後)
| VLAN | 名称 | サブネット | GW | 用途 |
|---|---|---|---|---|
| 10 | MGMT | 192.168.10.0/24 | 192.168.20.1 ※ | 管理 / iDRAC / IPMI / UPS / OOB |
| 20 | DATA | 192.168.20.0/24 | 192.168.20.1 | サーバ DATA (R640/maguro/hirame 主通信) |
| 30 | STG | 192.168.30.0/24 | 192.168.30.1 | ストレージ (NFS / Po2 / Po30 専用) |
| 50 | UPDATE | 192.168.50.0/24 | 192.168.50.1 | OS更新専用 (Proxy制御) |
| 70 | WG-PUBLIC | 192.168.70.0/24 | 192.168.70.1 | WireGuard ingress 専用 (maguro) |
| 80 | WIFI | (予定) | — | クライアント WiFi 隔離 (finalize 残) |
※ Default Gateway 原則: 各サーバの Default GW は VLAN20 のみ。 二重出口防止のため VLAN10/30/50/70 に GW を持たせない。 これで Linux カーネルの metric 自動切替による出口暴走を防ぐ。
IP 割り当て (主要ホスト, 2026-05-14)
| ホスト | MGMT (V10) | DATA (V20) | STG (V30) | UPDATE (V50) | WG (V70) | Fabric |
|---|---|---|---|---|---|---|
| R640 | 192.168.10.21 | 192.168.20.21 | 192.168.30.21 | 192.168.50.21 | — | 173.0.0.2 + 173.0.0.9 |
| maguro | 192.168.10.31 | 192.168.20.20 | 192.168.30.30 | 192.168.50.30 | 192.168.70.30 | 173.0.0.1 + 173.0.0.5 + 173.0.0.17 |
| hirame | 192.168.10.40 | 192.168.20.40 | — | 192.168.50.40 | — | 173.0.0.6 + 173.0.0.10 |
| RTX1300 | 各VLAN SVI の .1 (10/20/30/50/70/60) | — | ||||
DMZ / プライベートの役割分担 (2026-05-14 改定)
| レイヤ | ホスト | 外部到達 | 主要サービス |
|---|---|---|---|
| DMZ Front | R640 (katuo) | katuocloud.com (TCP443) のみ | nginx stream SNI router + WP |
| Secure Storage | maguro | SNI 越しに cloud.k2-o.net / WG UDP54024/61001/62001 | Nextcloud + mikyun-portal + WG×3 |
| Office Layer | hirame | 外部到達なし (fabric 直結のみ) | Collabora Online (Docker) |
2026-05-14 大改定: R640 から WG・NC・Portal を全部 maguro に移植完了。 R640 は WP + DMZ SNI 専用に転換。 同日 R640 は LUKS auto-unlock + Ubuntu 22.04 で fresh install 済み。
主要 FQDN と到達経路
| FQDN | 終端 | 外部経路 | 備考 |
|---|---|---|---|
katuocloud.com (+www) | R640 inner (127.0.0.1:8443) | 外部DNS → RTX NAT 11 → R640 nginx SNI → R640 WP | 2026-05-14 xserver VPS から移行 |
cloud.k2-o.net | maguro:443 (Nextcloud) | 外部DNS → RTX NAT 11 → R640 SNI passthrough → maguro | 既存5人ユーザー継続 |
office.k2-o.net | maguro (WG必須) | WG 越し | Collabora は内部利用 |
vpn.k2-o.net | maguro:54024 | RTX NAT 10 (UDP) → maguro wg-clients | 顧客 VPN endpoint |
admin.wan-secure.net | maguro (運営Portal) | WG 越し | — |
office.wan-secure.net | maguro | WG 越し | — |
不採用の旧サブドメイン構想:
wp.katuocloud.com / cloud.katuocloud.com / meet.katuocloud.com / mail.katuocloud.com / secure.katuocloud.com は採用せず。 katuocloud.com (WP) と cloud.k2-o.net (NC) の二本立てで運用継続。 Jitsi Meet / Mautic は未導入。
Fabric (25G Mellanox 完全メッシュ)
三角形の R640 / maguro / hirame を 25G で完全メッシュ化。 NC ⇄ Collabora WOPI は fabric 直結 (R640 SNI 経由を廃止)。 大容量バックアップ・将来 Ceph・大容量 rsync を高速で捌く。
| サブネット | 接続 | 用途 |
|---|---|---|
| 173.0.0.0/30 | maguro(.1) ↔ R640(.2) | NC ⇄ WP / SNI passthrough |
| 173.0.0.4/30 | maguro(.5) ↔ hirame(.6) | NC ⇄ Collabora WOPI (新) |
| 173.0.0.8/30 | R640(.9) ↔ hirame(.10) | 予備 / 監視 |
| 173.0.0.16/30 | maguro(.17) ↔ D-Link | D-Link 25G スイッチ (将来拡張) |
ストレージ階層
| 場所 | マウント | 構成 | 用途 |
|---|---|---|---|
| R640 | /mnt/data | HW RAID10 (PERC H730P, SAS×6, 3.3T) + LUKS auto-unlock (keyfile) | WP DB backup / 作業領域 |
| R640 | OS (1.1T) | HW RAID1 (SAS×2) | Ubuntu 22.04 |
| maguro | /srv/storage | LUKS(raid1-4) + storage-cache(NVMe md127) + bcache + XFS 64TB | NC データ / 顧客ストレージ |
監視 (Telegram 通知マトリクス)
| ホスト | unit/cron | 周期 | 監視内容 |
|---|---|---|---|
| maguro | supermicro-watch.timer | 5min | md0 / storage 90%+ / NFS / ATAエラー / LUKS×5 (raid1-4 + storage-cache) |
| maguro | mdadm-watch.timer | 5min | /proc/mdstat md0 状態変化 |
| maguro | raid-watch.timer | 5min | IPMI SEL (Drive Fault / Rebuild) |
| maguro | cert-watch cron 06:30 | daily | LE全証明書 <14日 警告 / 失効 |
| R640 | perc-watch.timer | 5min | SAS×8 + NVMe×2 (smartctl megaraid) + megaraid kernel イベント |
| R640 | cert-watch cron 06:30 | daily | LE全証明書 |
| R640 | wp-katuocloud-db-backup cron 02:30 | daily | dump 失敗 + サイズ異常 |
バックアップ (3-2-1 設計)
- WP DB:
/mnt/data/backup/wp/katuocloud_wp/*.sql.gz14日保持 (R640 ローカル) - NC データ:
/srv/storage/nextcloud-data/(maguro LUKS XFS) + 日次 rsync (検討中) - 月次オフサイト: Backblaze B2 / wasabi 等を検討中
- WP は移行前に SHA256 検証付きフルバックアップ実施済み (97MB, 18ファイル一致)
UPS / 電源
APC Smart-UPS 1200 ×3 (UPS-A/B/C) を 2-of-3 判定で監視。 R640 が NUT で停電を判定し、 5min 連続継続で停止シーケンスを開始 (Supermicro → hirame → DarkHero → R640)。 復電したらキャンセル。 詳細は UPS ページ参照。
退役 / 撤去済
- ✗ DuckDNS (maguro-storage.duckdns.org) — 期限切れ後完全撤去 (cert + ssh config + アカウント)
- ✗ 旧 xserver VPS 162.43.8.20 (旧 katuocloud) — 6月末解約予定 (¥3,000/月節約)
- ✗ R640 旧 wg0/wg1/wg2 →
/etc/wireguard-r640-snapshot/に退避 - ✗ maguro ホスト MariaDB → Docker MariaDB に統合 (mikyun_cloud DB含む)
- ✗ 旧 R640 NC データ — 移行完了、 R640再構築時に消失 (バックアップ済)
- ✗ Squid Proxy — Cisco ACL フィルタに置換
今後の予定 (2026-05-14 時点)
- ! xserver VPS 解約 (6月末まで)
- ! 他クライアント HP 移行 (can-construction / shinkoujyuusetu 等)
- ! WiFi 移管 (VLAN80 独立) finalize
- ! Fail2ban 導入 (nginx access.log + sshd brute-force)
- ! iDRAC Console Redirection 無効化 (Web手作業)
- ! NC データ オフサイトバックアップ (B2 / wasabi)
評価: Tier1 相当の冗長性 (HW RAID + LUKS + LACP 80Gbps + 25G fabric メッシュ + UPS 2-of-3) + 監視 (Telegram 全ホスト) + バックアップ。 家庭ラボでなく 小規模 DC 設計レベル。