ハードニングの推奨事項
管理画面は DNS、証明書、ポートを制御します。次のチェックリストに沿って設定することをおすすめします。
管理画面
- [ ] 初回ログイン後に管理者パスワードを変更する
- [ ] 2 段階認証（TOTP）を有効にするか、Passkey を登録する
- [ ] 家族や同僚が閲覧だけを必要とする場合は、管理者パスワードを共有せず、読み取り専用アカウントを作成する
- [ ] セキュアエントリーを設定し、管理画面にカスタムパスからのみアクセスできるようにする
- [ ] 「LAN 内からのみ許可」を有効にし、外部から管理する場合は VPN（例：Tailscale）経由で入る
- [ ] 信頼できないネットワークからアクセスする場合は、管理画面の HTTPS を有効にする
- [ ] 自動化スクリプトや コマンドライン / MCP には、最小権限の API トークン を使い、有効期限を設定し、管理者パスワードの共有を避ける
- [ ] 設定バックアップ に暗号化パスフレーズを設定し、定期バックアップを有効にする
- [ ] 通知センター で、「セキュリティとログイン」「設定変更」「重大な障害」のテンプレートを使ってプッシュ通知を設定する
- [ ] 管理画面を同じホスト上のリバースプロキシ経由で公開する場合は、監査ログ に実際の接続元が記録されていることを確認する。ポート転送の入口では PROXY プロトコル を有効にする
- [ ] 新しいバージョンをダウンロードしたら、リリースの検証 に従って署名を確認する
- [ ] 「設定 → 機能モジュール」で使わないモジュールを無効にし、待ち受けるサービスと呼び出せるエンドポイントを減らす
- [ ] fnOS では、すべての fnOS 管理者アカウントを信頼できる場合にのみ「fnOS のログイン状態で自動ログイン」を有効にする。有効にすると、fnOS 管理者アカウントが侵害されることは Gately 管理者アカウントが侵害されることと同じになる
外部公開サービス
- Web サービス で LAN 内のサービスを公開する場合は、HTTPS を有効にし、Basic 認証、Web 認証、外部ログインと組み合わせる
- インターネットに公開するサイトでは WAF を有効にし、まず「検出のみ」で誤検知を観察してから「ブロック」に切り替える
- IP のブラックリスト・ホワイトリスト、GeoIP による国フィルター、認証失敗時の自動ブロック でアクセス元を制限する
Docker
docker.sock をマウントすることは、ホストの root 相当の権限を与えることと同じです。Docker 管理 が不要な場合は、このマウントを外してください。
Web ターミナル
ローカルシェルはデフォルトで無効です。本当に必要なときだけ有効にし、管理画面で2 段階認証が有効になっていることを確認してください。
設定バックアップ
設定ディレクトリをプライベートな git リポジトリに入れるか、定期的にバックアップしてください。ssl.json には証明書の秘密鍵が含まれているため、厳重に保管してください。