R640 WireGuard剥がし — 完了レポート

完了 Phase 1〜3 (基盤・移行・WG剥がし・DMZ化) 完遂 残 VPS解約 (xserver 6月末) + 他クライアントHP移行

• ✓ 12XS/T48 スイッチ大規模再設定 (VLAN70新設、 Po1削除、 全ポート左シフト、 Po70新設 20G LACP)
• ✓ 全 LACP bond 健全化 (80Gbps)
• ✓ maguro NIC増設 + VLAN70
• ✓ 永続化設定 (re-boot safe)
• ✓ Telegram監視スクリプト 3本改善
• ✓ 初期フルバックアップ + リストア検証 (97MB、 18ファイル SHA256 一致)
• ✓ Phase A〜D: orphan NC DB削除、 HOST→Docker MariaDB統合、 mikyun-portal コンテナ化

• ✓ NC stack (mariadb:11 + redis:7-alpine + nextcloud-stack-app) を maguro /opt/nextcloud/compose/ で稼働
• ✓ NC データを maguro /srv/storage/nextcloud-data/ へ rsync
• ✓ mikyun-portal を maguro Docker image mikyun-portal:1.1 として稼働
• ✓ ホスト MariaDB の mikyun_cloud DB を Docker MariaDB へ統合
• ✓ WireGuard wg-clients (10.200.0.0/16) / wg-customers (61001) / wg-storage (62001) を maguro へ移植
• ✓ nginx vhost (cloud.k2-o.net 等) を maguro へ
• ✓ Let’s Encrypt 証明書を maguro snap certbot で再発行

• ✓ ディスク再構成: 6本 RAID10 (3.3T) + 2本 RAID1 (1.1T OS)
• ✓ /mnt/data LUKS化 + auto-unlock (keyfile /etc/cryptsetup-keys.d/data.key)
• ✓ Ubuntu 22.04 fresh install + Xfce (GNOME は Matrox G200 で不安定)
• ✓ katuocloud.com WP を xserver VPS から R640 へ rsync 移行 (fabric 経由)
• ✓ wp-config.php に HTTP_X_FORWARDED_PROTO 対応追加 (301ループ防止)
• ✓ Let’s Encrypt 本物 cert 取得 (katuocloud.com + www)
• ✓ nginx stream module + ssl_preread で SNI 振り分け
• ✓ R640 WG完全停止・退避 (元の /etc/wireguard/ は wireguard-r640-snapshot/ に保存済)

• ! xserver VPS (162.43.8.20) 解約 (¥3,000/月節約、 月末まで)
• ! 他クライアントHP (can-construction, shinkoujyuusetu 等) 移行 — 未着手
• ! WiFi 移管 (VLAN80 独立) finalize
• ! iDRAC Console Redirection 無効化 (Web手作業)

WG関連を削除でなく退避方式で実施。 緊急時の復活も可能な状態を維持している。

# 1. 現状WG確認
sudo wg show

# 2. WG停止
sudo systemctl stop wg-quick@wg0 wg-quick@wg1 wg-quick@wg2
sudo systemctl disable wg-quick@wg0 wg-quick@wg1 wg-quick@wg2

# 3. WG関連ファイル退避 (R640再構築前にスナップショット取得)
sudo cp -r /etc/wireguard /etc/wireguard-r640-snapshot
# → 現在 /etc/wireguard-r640-snapshot/ に wg0/wg1/wg2 + disabled/wg0.base.conf 保管

# 4. WG用ポート (UDP 54024 等) は RTX1300 NAT を maguro 向けに切替
#    RTX1300 NAT エントリ (現状):
#      20000/10  udp 54024     → 192.168.70.30:54024  (maguro wg-clients)
#      20000/13  udp 61001     → 192.168.70.30:61001  (wg-customers)
#      20000/14  udp 62001     → 192.168.30.30:62001  (wg-storage)
#      20000/11  tcp 443       → 192.168.20.21:443    (R640 nginx SNI)
#      20000/12  tcp 80        → 192.168.20.21:80     (R640 nginx)

# 5. R640 OS再インストール時に WG 一式は新OS に持ち込まず

• 業務用フレッツ光 + 固定IP
• UPS導入済
• R640: HW RAID10 (PERC H730P)、 maguro: SW RAID + LUKS + bcache
• /mnt/data (R640) と LUKS raid1-4 (maguro) は auto-unlock keyfile で起動時自動マウント

現状は DNS only (proxy なし)。 SNI による振り分けが必要なため、 Cloudflare の TLS終端は使えない。

# R640 nginx
- stream module + ssl_preread で SNI 判定
- katuocloud.com → inner block (LE cert で終端)
- cloud.k2-o.net → maguro へ TCP passthrough
- /wp-admin は IP制限 (作業時のみ開放) ※未実装

# maguro nginx
- cloud.k2-o.net 等の最終終端
- WOPI コールバックは fabric subnet (173.0.0.0/29) のみ許可
- location / の allow: 192.168.30.21 (R640 SNI), 192.168.20.0/24, 10.200.0.0/16 等

! 未実装。 nginx access.log と sshd の brute-force 検知設定は今後追加予定。

全ホストに監視 timer/cron を配置:

• WP DB daily backup → /mnt/data/backup/wp/katuocloud_wp/*.sql.gz (14日保持)
• NC データは /srv/storage/nextcloud-data/ + Time Machine 的に Snapshot 想定 (未実装)
• 月次オフサイト: 検討中 (Backblaze B2 / wasabi 等)

Collabora (hirame) と maguro NC の WOPI 接続経路を、 旧 R640 SNI 経由から fabric 直結 に変更。 セキュリティ・性能・可用性を同時に向上。

• katuocloud.com (WP) は閲覧不可
• cloud.k2-o.net (NC) は SNI 経由が落ちるが、 内部 LAN + WG クライアントは fabric / 内部VLAN 経由で生存
• Collabora は fabric 直結化により R640 経由を不要としたため、 NC ⇄ Collabora は継続稼働

• cloud.k2-o.net (NC) 全停止
• WG 全顧客接続不可
• katuocloud.com (R640内 WP) は継続稼働

• 業務用フレッツなので原則変わらない
• 万一の時は Cloudflare DNS Aレコード更新でカバー
• RTX NAT は内部IP指定なので影響なし

残 Phase 4 (期限あり) + 計画 Phase 5〜8

• apt install cockpit cockpit-docker → systemctl enable --now cockpit.socket
• ポート 9090 を内部のみ公開 (WG経由でアクセス)、 外部公開する場合は LE cert + nginx SNI で振り分け
• HTTPS 自己署名 cert で初期動作、 LE は別途
• cockpit-docker plugin で OS と Docker container を 1画面で管理 (cPanel感)

• /srv/wp-lib/: mu-plugins、 共通 PHP コード、 セキュリティ baseline (WP Hardening、 2FA、 fail2ban-wp 等)
• /srv/wp-templates/<業種>/: 業種別雛形 (飲食 / 建築 / 動画 / サービス業)
• /srv/wp-customers/<name>/: 顧客個別ディレクトリ
• プロビジョニング: wp_new_customer.sh <name> <template> <customer.env> で WP-CLI ベース一発展開
• 狙い: 顧客情報を流し込むだけで爆速展開 + 均一品位 (画一的な高品質)

• R640 内蔵 NVMe ×2 (Toshiba 512GB + KIOXIA 512GB) を活用
• mdadm RAID1 → LUKS → ext4/xfs → /srv/wp-nvme/
• auto-unlock keyfile (既存 /etc/cryptsetup-keys.d/ と同じ仕組み)
• サイト表示速度重視プランの WP データ置き場

• 各サイトを isolated docker-compose で立ち上げ (nginx+php-fpm+mariadb 個別)
• rsync + mariadb-dump で R640 に移行
• DNS Cloudflare A レコード切替 (事前に TTL 300秒に下げてから)
• Let’s Encrypt cert 個別取得
• サイトごとの WP version / プラグイン互換性確認

• R640 で Collabora docker container 立ち上げ
• aliasgroup1=cloud.k2-o.net + aliasgroup2=files.katuocloud.com 等で 1 Collabora で 2 NC 兼用
• maguro NC の wopi_url を 173.0.0.10:9980 (hirame) → 173.0.0.2:9980 (R640) に変更
• 動作確認後、 hirame 停止 (電気代節約 — i7-980X世代 130W級)
• hirame の将来活用候補: 検証 docker host / 代替 backup / Open NC 移管 等