Collabora Online 構築レポート

最新 Collabora は hirame (X58A-UD3R) の Docker container。 fabric (173.0.0.4/30) 経由で maguro NC と直結。 R640 経由を廃止しセキュリティ・性能・可用性を同時向上。

version: '3'
services:
  collabora:
    image: collabora/code
    container_name: collabora
    restart: unless-stopped
    ports:
      - '9980:9980'
    extra_hosts:
      - 'cloud.k2-o.net:173.0.0.5'        # ← maguro fabric直結 (2026-05-14)
    environment:
      - 'extra_params=--o:ssl.enable=false --o:ssl.termination=true'
      - 'server_name=cloud.k2-o.net'
      - 'aliasgroup1=https://cloud\.k2-o\.net:443'
      - 'username=admin'
      - 'password=<管理者パスワード>'
    cap_add:
      - MKNOD

# /etc/nginx/sites-enabled/cloud.k2-o.net (要点)

location /browser {
    proxy_pass http://173.0.0.10:9980;
    proxy_set_header Host $http_host;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_read_timeout 36000s;
}

location /hosting/discovery { proxy_pass http://173.0.0.10:9980; ... }
location /hosting/capabilities { proxy_pass http://173.0.0.10:9980; ... }

location ^~ /cool/ {
    proxy_pass http://173.0.0.10:9980;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_read_timeout 36000s;
}

location ^~ /index.php/apps/richdocuments/wopi/ {
    # fabric経由のみ許可 (Collabora→NC コールバック)
    allow 173.0.0.8/29;
    allow 173.0.0.4/30;
    allow 192.168.20.0/24;
    allow 119.26.175.225;
    deny all;
    proxy_pass http://127.0.0.1:9080;
    ...
}

maguro から hirame fabric への 173.0.0.8/30 への route は netplan で永続化:

# /etc/netplan/00-supermicro.yaml
network:
  ethernets:
    SM-HIRAME-FAB:
      match:
        macaddress: "50:6b:4b:7f:0b:61"
      addresses:
      - "173.0.0.5/30"
      routes:
      - to: "173.0.0.8/30"      # hirame R640-FAB range への片道route
        via: "173.0.0.6"

# NC コンテナから Collabora へ到達確認
sudo docker exec compose-app-1 curl -s -o /dev/null -w '%{http_code}\n' http://173.0.0.10:9980/hosting/discovery
# → 200

# Collabora コンテナから NC へ
ssh root@173.0.0.10 'docker exec collabora curl -sk -o /dev/null -w "%{http_code} via %{remote_ip}\n" https://cloud.k2-o.net/status.php'
# → 200 via 173.0.0.5

# NC 側 discovery 再取得
sudo docker exec -u www-data compose-app-1 php occ richdocuments:activate-config

両方マッチしないと 「認証されていないWOPIホスト」 エラー。 NC nginx access.log で WOPI コールの status を確認 — 403 なら B層、 connect refused なら A層。

2026-05-14 までは extra_hosts: cloud.k2-o.net:173.0.0.9 (R640 fabric IP) だった。 これだと Collabora コンテナ → R640 SNI passthrough → maguro という遠回り経路で、 maguro 着信時の remote_addr が 192.168.30.21 (R640 VLAN30 IF) に置換される (stream module は TCP生proxy)。 結果として NC の wopi_allowlist に R640 SNI IP を入れる必要があり、 外部経路と内部経路の境界が曖昧に。 fabric直結化でクリーンに分離。

docker-compose up -d --force-recreate 時に KeyError: 'ContainerConfig'。 解決: docker-compose down → docker-compose up -d で fresh up。

WOPI 403 が出続けた時期 (2026-05-14 切替直前) の試行錯誤:

• R640 SNI passthrough の remote_addr 置換に気付くまで「DNS 解決の問題」と誤診断していた
• wopi_allowlist に 192.168.30.21 を一時的に追加して開通 → 後で fabric 直結化に切替
• nginx sed -i でファイル全体置換すると location / の 192.168.30.21 も消えて、 LANクライアントが access forbidden になるトラブル → 行範囲スコープで限定削除すべし

hirame → R640 へ Collabora を移植、 hirame は poweroff

1. DocumentServerInternalUrl は wopi_url とは別の設定

occ config:app:set richdocuments wopi_url ... だけだと不十分。 NC は capabilities fetch に DocumentServerInternalUrl を見る。 両方更新すべし。

occ config:app:set richdocuments wopi_url --value="http://173.0.0.2:9980"
occ config:app:set richdocuments DocumentServerInternalUrl --value="http://173.0.0.2:9980/"

2. NC wopi_allowlist と nginx allow は別物 — 両方更新必要

同じ「Collabora の発信元 IP を許可する」設定が NC アプリ層と nginx 層の二箇所にある。 片方だけだと、 nginx で 403 拒否 (Collabora → NC callback 失敗) → Collabora ログに WOPI::CheckFileInfo returned 403 (Forbidden)。

# NC layer
occ config:app:set richdocuments wopi_allowlist \
    --value="173.0.0.0/30,173.0.0.4/30,173.0.0.8/30,119.26.175.225"

# nginx layer (cloud.k2-o.net の wopi location)
location ^~ /index.php/apps/richdocuments/wopi/ {
    allow 173.0.0.0/30;   # R640-maguro fabric ←追加忘れ注意
    allow 173.0.0.4/30;   # maguro-hirame fabric
    allow 173.0.0.8/29;   # R640-hirame fabric
    ...
}

3. sites-enabled がシンボリックリンクでなく実ファイルのことがある

maguro の /etc/nginx/sites-enabled/cloud.k2-o.net は実ファイル。 sites-available 側を sed 編集しても反映されない。 ファイル属性を ls -la で必ず確認。

4. nginx backup ファイルを sites-enabled に置くと conflicting server_name で旧設定が勝つ場合あり

.bak 等のサフィックスを付けても nginx は読み込む (拡張子フィルタは無い)。 backup は必ず sites-available か別ディレクトリへ。

5. Collabora の aliasgroup1 env var は coolwsd.xml に反映されないことがある

起動スクリプトが --use-env-vars 経由で渡しても、 coolwsd.xml の alias_groups は mode="first" のまま。 結果として最初に接続したホストだけが許可され、 cloud.k2-o.net が拒否される。 extra_params で明示指定すること:

extra_params=--o:storage.wopi.alias_groups.mode=groups \
             --o:storage.wopi.alias_groups.group[0].host=https://cloud\.k2-o\.net:443 \
             --o:storage.wopi.alias_groups.group[0].host[@allow]=true

6. extra_hosts の IP は移植先サーバの fabric 接続先に合わせて変える

hirame で動かしてた時は cloud.k2-o.net:173.0.0.5 (maguro-hirame fabric)。 R640 へ移すと cloud.k2-o.net:173.0.0.1 (maguro-R640 fabric)。 docker-compose の extra_hosts セクションをコピペで持ってくると詰む。

7. Collabora の convert-to は POST API で別の allow リスト

PDF export 等で使う /lool/convert-to エンドポイントは net.post_allow.host で別途許可必要。 デフォルトは 127.0.0.1, ::1 のみ。 NC からの呼び出し src IP (fabric IP) を追加。

--o:net.post_allow.host[0]=127.0.0.1 \
--o:net.post_allow.host[1]=::1 \
--o:net.post_allow.host[2]=173.0.0.1

1. R640 self-test: curl http://173.0.0.2:9980/hosting/capabilities → JSON
2. maguro→R640 fabric: curl http://173.0.0.2:9980/hosting/capabilities (maguro から) → 同じ JSON
3. Collabora container 内DNS: docker exec collabora getent hosts cloud.k2-o.net → 173.0.0.1
4. Collabora→NC: docker exec collabora curl -sk https://cloud.k2-o.net/status.php → 200
5. 外部経由 Collabora UI: curl https://cloud.k2-o.net/browser/dist/cool.html → 200
6. 外部経由 discovery: curl https://cloud.k2-o.net/hosting/discovery → 200 + WOPI XML
7. NC capabilities 再取得: occ richdocuments:activate-config → 全 ✓
8. ブラウザで NC 開いて .docx 編集 → ✅

記録: コード君 (Claude Opus 4.7) / 2026-05-15 06:00 JST