R640 WireGuard剥がし計画

R640からWireGuard機能を剥がし、オープンなWebサーバーとして再構築する。katuocloud (鰹) のブランドは維持しつつ、内部構造を二層化。物理ホスト名 (katuo / maguro) は変更しない。

• ✓ Supermicro側 katuocloud (Nextcloud+WG) が稼働確認済
• ✓ R640内 katuocloud データの最終バックアップ取得済
• ✓ 既存5人ユーザー (もしいれば) へ事前通知済
• ✓ WG接続情報 (vpn.wan-secure.net) のDNSをSupermicroに切替済

# 1. 現状WG確認 (R640側)
sudo wg show
sudo systemctl status wg-quick@wg0

# 2. WG停止
sudo systemctl stop wg-quick@wg0
sudo systemctl disable wg-quick@wg0

# 3. WG関連ファイル退避 (削除ではなく退避)
sudo mkdir -p /root/wg-backup-$(date +%Y%m%d)
sudo mv /etc/wireguard/* /root/wg-backup-$(date +%Y%m%d)/

# 4. WG関連パッケージ削除 (任意・後でも可)
# sudo apt remove --purge wireguard wireguard-tools

# 5. UFW (firewall) からWG用ポート54024開放削除
sudo ufw status numbered
sudo ufw delete allow 54024/udp

# 6. WG用 iptables ルール削除 (もしあれば)
sudo iptables -L -n -v | grep 54024
# 該当ルールがあれば個別に削除

# 7. mikyun_vpn_engine.py 等のWG管理スクリプト無効化
sudo systemctl disable katuocloud-vpn-engine 2>/dev/null
# (実際のサービス名に合わせる)

# 8. cron からWG関連削除
sudo crontab -l | grep -i wireguard
# 該当行を削除

# 9. 最終確認
sudo wg show              # → 何も表示されない = OK
sudo netstat -ulnp | grep 54024  # → ポート閉鎖確認
sudo systemctl status wg-quick@wg0 # → inactive/dead確認

• 業務用フレッツ光 + 固定IP (信頼性・SLA確保)
• UPS導入済 (停電対策)
• RAID10 (HW RAID、ディスク冗長性)

# 設定項目
- DNS: Proxied (橙雲) = 自宅IP隠蔽
- SSL/TLS: Full (strict)
- Always Use HTTPS: ON
- Bot Fight Mode: ON
- Security Level: Medium
- Country Block: CN, RU, KP (営業対象外国除外)
- WAF Managed Rules: ON
- Rate Limiting: 100req/min/IP

# NPM設定
- Let's Encrypt SSL自動取得・更新
- Force SSL: ON
- HTTP/2: ON
- Block Common Exploits: ON
- Cache Assets: ON
- Custom locations:
  /wp-admin → IP制限 (作業時のみ開放)
  /xmlrpc.php → 403返却
  /.env → 403返却

# /etc/fail2ban/jail.local
[sshd]
enabled = true
maxretry = 3
bantime = 3600

[wordpress]
enabled = true
filter = wordpress
logpath = /var/log/nginx/access.log
maxretry = 5
bantime = 86400

[nginx-noscript]
enabled = true
maxretry = 6
bantime = 86400

• wp-login.php Basic Auth (現状継続)
• 2FA (Wordfence Lite / WP 2FA)
• XML-RPC 無効化
• REST API 認証必須
• Limit Login Attempts
• SiteGuard相当の対策

# 3-2-1 ルール
- 日次バックアップ: R640内 (24時間保持)
- 週次バックアップ: Supermicro NFS (4週間保持)
- 月次オフサイト: 検討 (Backblaze B2 / wasabi 等)

# 実装
sudo crontab -e
0 3 * * * /usr/local/bin/backup-all-sites.sh daily
0 4 * * 0 /usr/local/bin/backup-all-sites.sh weekly

# 即座にWG復活コマンド (緊急時用)
sudo cp /root/wg-backup-YYYYMMDD/* /etc/wireguard/
sudo ufw allow 54024/udp
sudo systemctl enable --now wg-quick@wg0
sudo wg show

• XServerは契約終了後も15日間データ保持される
• 解約手続き後すぐ削除されるわけではない
• 緊急時は契約期間中のバックアップから復元可能

• 業務用フレッツなので原則変わらない
• 万一の時はCloudflare DNSのAレコード即時更新でカバー
• DDNS (mydns.jp等) 二重化も検討

• ✓ 「自社サーバーで全運用」と明言可能
• ✓ 「お客様データは第三者に渡しません」
• ✓ 「Web会議も自社運用でセキュア」
• ✓ HPホスティング月額収益の基盤完成
• ✓ クライアント単価アップの根拠

• R640のホスト名は katuo のまま (絶対変更しない)
• Supermicroのホスト名は maguro のまま (絶対変更しない)
• ブランド名は「katuocloud」で統一 (鮪は社内用語、顧客に出さない)
• WG完全停止は5/22 を目安、無理せず後ろ倒し可
• XServer/VPS解約期限は5月末厳守 (6月の請求発生回避)

• 173.0.0.x 全メッシュ (R640↔SM↔hirame) → そのまま継続利用
• Supermicro NFS (/srv/storage/SM-storage/) → バックアップ先として継続
• Telegram監視 → 各サーバーで継続
• GitHub repo: wanperochance-code/mikyun-cloud → katuocloud再構築の参考

• ✓ R640から WG完全停止・退避完了
• ✓ Supermicroで katuocloud (WG版) 単独稼働確認
• ✓ R640 オープン化・Cloudflare適用
• ✓ bakusoku-hp.net 移行・動作確認
• ✓ 他クライアントHP3個 移行・動作確認
• ✓ Nextcloud Web版・Jitsi・Mautic 稼働
• ✓ 自動バックアップ稼働確認
• ✓ Fail2ban・Cloudflare WAF 動作確認
• ✓ XServer 解約手続き完了
• ✓ VPS 解約手続き完了
• ✓ 営業資料「自社インフラ運用」追加