nginx 設定 (R640) — stream SNI router + WordPress

稼働中 R640 は nginx stream SNI router + katuocloud.com WP 専用に転換 (2026-05-14)。 NC / Portal は maguro に移植済。

従来は R640 が NC / Portal / Collabora 全部を抱える「全部入り」だったが、 役割分離のため:

• R640 (DMZ Front): nginx stream SNI router + katuocloud.com WP のみ
• maguro (Secure Storage): cloud.k2-o.net (NC) / 運営 Portal / WG 全部
• hirame (Office): Collabora Docker (fabric 直結)

# /etc/nginx/conf.d/stream-sni-router.conf

stream {
    map $ssl_preread_server_name $upstream {
        katuocloud.com            inner_katuocloud;
        www.katuocloud.com        inner_katuocloud;
        cloud.k2-o.net            maguro_nc;
        default                   inner_katuocloud;   # fallback
    }

    upstream inner_katuocloud {
        server 127.0.0.1:8443;
    }

    upstream maguro_nc {
        server 192.168.20.20:443;          # maguro VLAN20 DATA
        # 代替: 173.0.0.1:443 (fabric 直結) も検討
    }

    server {
        listen 443;
        proxy_pass $upstream;
        ssl_preread on;
        proxy_protocol off;                # passthrough なので OFF
    }
}

# /etc/nginx/sites-enabled/katuocloud.com

server {
    listen 127.0.0.1:8443 ssl http2;
    server_name katuocloud.com www.katuocloud.com;

    ssl_certificate     /etc/letsencrypt/live/katuocloud.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/katuocloud.com/privkey.pem;

    client_max_body_size 64M;

    root /var/www/katuocloud_wp;
    index index.php;

    location / {
        try_files $uri $uri/ /index.php?$args;
    }

    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php8.1-fpm.sock;
        fastcgi_param HTTPS on;
        fastcgi_param HTTP_X_FORWARDED_PROTO https;   # 301 ループ防止
    }
}

# /etc/nginx/sites-enabled/default

server {
    listen 80 default_server;
    server_name _;

    # ACME challenge は素通し
    location /.well-known/acme-challenge/ {
        root /home/xs273132/wanchance.com/public_html;
    }

    # それ以外は HTTPS にリダイレクト
    location / {
        return 301 https://$host$request_uri;
    }
}

R640 nginx stream module は L4 (TCP) で生 proxy。 TLS 終端は maguro 側で行う。 これにより:

• ✓ 証明書は maguro 側で管理 (snap certbot)
• ✓ R640 が cloud.k2-o.net の cert を持つ必要なし
• ✓ R640 侵入時も NC のキーは安全
• ! source IP が R640 nginx 出口 (192.168.30.21 等) に置換される (要注意)

cert-watch cron (06:30 daily) で全証明書を Telegram 監視 (<14日 警告 / 失効通知)。

未知の SNI (default) は inner_katuocloud にフォールバック。 katuocloud.com とその WP のみ公開、 他は届かない。

• 未実装: /wp-admin の IP 制限 (作業時のみ開放) — 今後追加予定
• WP コアアップデート + プラグイン自動更新
• strong password + 2FA プラグイン

! 未実装。 nginx access.log と sshd の brute-force 検知設定は今後追加予定。

# 設定文法チェック
sudo nginx -t

# 設定リロード (無停止)
sudo systemctl reload nginx

# 再起動 (cert 更新後等)
sudo systemctl restart nginx

# stream の状態確認
sudo ss -tlnp | grep nginx

# アクセスログ確認
sudo tail -f /var/log/nginx/access.log
sudo tail -f /var/log/nginx/error.log

# 証明書更新 (cron で自動)
sudo certbot renew --quiet --post-hook "systemctl reload nginx"

• stream module は ngx_stream_ssl_preread_module が必要: Ubuntu 標準パッケージで OK。 nginx -V で --with-stream + --with-stream_ssl_preread_module を確認。
• cloud.k2-o.net を fabric IP に向ける選択: upstream maguro_nc { server 173.0.0.1:443; } にすると VLAN20 を経由せず fabric 直結。 帯域 25G + ホップ少。 ただし fabric の MTU (9000) と LAN MTU (1500) の不整合に注意。
• WP 301 ループ: X-Forwarded-Proto を見ない WP テーマ・プラグインがあり、 $_SERVER['HTTPS']='on' も併用必要だった。 wp-config.php に追記。
• fastcgi vs proxy_pass: WP は php-fpm に fastcgi_pass で。 一般的な「nginx → Apache」じゃないので注意。 高速。
• ACME challenge と SNI router の衝突: stream module は port 443 を占有するため、 ACME (TLS-ALPN-01) は使えない。 HTTP-01 (port 80) を使う必要がある。 default vhost で /.well-known/acme-challenge/ を素通し。
• 2026-05-14 fresh install: R640 を Ubuntu 22.04 で完全再構築。 旧設定は /etc/nginx-r640-snapshot/ に退避。 復活には maguro 側 NC を止めて R640 NC を起こす必要あり (DB / NC データ整合性)。

• ! /wp-admin の IP 制限 (作業時のみ開放)
• ! Fail2ban 導入
• ! nginx + ModSecurity (WAF) 検討
• ! 他クライアント HP の WP マルチサイト化 (R640 SNI で複数 FQDN を捌く)
• ! stream module の access.log を別ファイルに分離 (現在 stderr 出力のみ)