ゼロトラスト基盤構築ガイド（ポート443競合対策バージョン）

sudo getenforce
# 期待する出力: Enforcing

Permissive や Disabled の場合は本ガイドの手順が正しく動作しません。

Caddy コンテナ（DMZ: 172.16.1.18）は Let's Encrypt との通信のためにインターネットへ出る必要があります。ホストOSでIPマスカレード（NAT）を有効にします。

sudo systemctl enable --now firewalld

# Caddyコンテナが外部（Let's Encrypt）と通信するためのNAT設定
sudo firewall-cmd --zone=public --add-masquerade --permanent
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=https --permanent
sudo firewall-cmd --reload

# 設定確認
sudo firewall-cmd --list-all

sudo mkdir -p /etc/systemd/journald.conf.d/
sudo tee /etc/systemd/journald.conf.d/retention.conf << 'EOF'
[Journal]
SystemMaxUse=500M
MaxRetentionSec=30day
EOF
sudo systemctl restart systemd-journald

コンテナが削除・再作成されても登録データや暗号鍵が消えないよう、ホストOS側に永続化領域を作成します。

# ── フォルダ作成 ─────────────────────────────
sudo mkdir -p /srv/containers/headscale/config
sudo mkdir -p /srv/containers/headscale/data
sudo mkdir -p /srv/containers/headscale/postgres
# 空ファイルの作成（Podmanのディレクトリ誤認識を防ぐ）
sudo touch /srv/containers/headscale/config/acl.hujson

# ── 権限設定 ─────────────────────────────────
# コンテナ実行ユーザー（UID 1000）に所有権を変更
sudo chown -R 1000:1000 /srv/containers/headscale/data
sudo chown 1000:1000   /srv/containers/headscale/config/acl.hujson
# SELinuxコンテキストを正しく設定（:Zマウント前に実行）
sudo restorecon -Rv /srv/containers/headscale

# ── シークレット生成 ──────────────────────────
# DBパスワードを.envファイルに永続保存（パーミッション600で保護）
sudo touch /srv/containers/headscale/.env
sudo chmod 600 /srv/containers/headscale/.env
echo "HEADSCALE_DB_PASS=$(openssl rand -hex 32)" | sudo tee /srv/containers/headscale/.env

# 保存内容を確認
sudo cat /srv/containers/headscale/.env
# 期待する出力例: HEADSCALE_DB_PASS=a3f8c2...

v5での設定変更ポイント（旧バージョンからの差分）：db_type: postgres（SQLiteから変更）／ metrics_listen_addr: 0.0.0.0:9090（127.0.0.1から変更、Prometheus接続を可能に）／ tls_letsencrypt_* の行は存在しない（Caddyが担当するため不要）

# teeコマンドでそのままコピー＆ペーストできます
sudo tee /srv/containers/headscale/config/config.yaml << 'EOF'
# ── 外部公開URL（CaddyがHTTPS 443で公開するURLと一致させる）──
server_url: https://hs.yourdomain.mydns.jp
# ── コンテナ内部の受付ポート（HTTPのみ・TLSなし）─────────
listen_addr: 0.0.0.0:8080
# ── 管理API（外部非公開・Pod内localhostのみ）───────────
grpc_listen_addr: 127.0.0.1:50443
grpc_allow_insecure: true
# ── Prometheusメトリクス（Phase 6でPrometheusが収集）───────
metrics_listen_addr: 0.0.0.0:9090
# ── データベース設定（PostgreSQL）──────────────────────
db_type: postgres
db_host: 127.0.0.1
db_port: 5432
db_name: headscale
db_user: headscale
db_pass: DB_PASS_PLACEHOLDER
# ── ACLファイルパス ────────────────────────────────
acl_policy_path: /etc/headscale/acl.hujson
# ── DERP（中継サーバー）────────────────────────────
# 自前DERPを無効化。外部開放ポートをTCP 80/443のみに抑える。
derp:
  server:
    enabled: false
# ── タイムアウト設定 ──────────────────────────────
node_key_expiry: 180d
ephemeral_node_inactivity_timeout: 30m
# ── 【必須】WireGuard通信用秘密鍵 ─────────────────
# トラブルシューティング問題④で判明：この設定がないと起動失敗する
# 鍵ファイルはHeadscaleが初回起動時に自動生成する
private_key_path: /var/lib/headscale/private.key
# ── 【必須】Tailscale v2プロトコル用ノイズ暗号鍵 ──────
# トラブルシューティング問題③で判明：0.22.xから必須になった新しい設定
# 鍵ファイルはHeadscaleが初回起動時に自動生成する
noise:
  private_key_path: /var/lib/headscale/noise_private.key
EOF

# ── DBパスワードを.envから自動置換（config.yamlに平文が残らないよう処理）
DB_PASS_TMP=$(grep HEADSCALE_DB_PASS /srv/containers/headscale/.env | cut -d= -f2)
sudo sed -i "s/DB_PASS_PLACEHOLDER/${DB_PASS_TMP}/" /srv/containers/headscale/config/config.yaml

# ── セキュリティ：config.yamlのパーミッションを制限 ────
sudo chmod 600 /srv/containers/headscale/config/config.yaml

# ── 確認（DBパスワードが置換されているか確認）─────────
sudo grep db_pass /srv/containers/headscale/config/config.yaml
# DB_PASS_PLACEHOLDERという文字が残っていなければ成功

sudo tee /srv/containers/headscale/config/acl.hujson << 'EOF'
{
  // ── グループ定義 ──────────────────────────────
  "groups": {
    "group:admin": ["user"]
  },
  // ── タグの所有者を明記（tags ではなく tagOwners が正しい構文）──
  "tagOwners": {
    "tag:dmz": ["group:admin"], // DMZ（Rocky Linux 9）用のタグ
    "tag:lan": ["group:admin"]  // SERVER（Ubuntu / AlmaLinux）用のタグ
  },
  "acls": [
    // 1. 管理者グループはすべてのリソースへのアクセスを許可
    { "action": "accept", "src": ["group:admin"], "dst": ["*:*"] },
    // 2. LANタグを持つデバイス同士のみ通信を相互許可
    { "action": "accept", "src": ["tag:lan"], "dst": ["tag:lan:*"] }
    // 3. DMZ（tag:dmz）からLANへのルールがここに存在しないため、
    //    デフォルトで「DMZからLANへのすべての通信」が完全に拒否されます。
  ]
}
EOF

# Step 1：まずNIC名を確認する（必須）
ip link show | grep -E "^[0-9]+:" | grep -v lo
# 出力例：
# 2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> ...  ← 有線NIC（Phase 1で確認済みの名前と同じはず）
# 3: wlp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> ...  ← 無線NIC（使わない）

# Step 2：NIC名を確認して設定ファイルを作成
sudo tee /etc/containers/systemd/local_lan.network << 'EOF'
[Network]
# Macvlanで物理NICに直結するSERVERセグメント
# ★ 重要：parent= の後ろは実際のNIC名に書き換えてください
# 確認方法: ip link show | grep -E "^[0-9]+:" | grep -v lo
Driver=macvlan
Options=parent=enp1s0
Subnet=192.168.2.0/24
Gateway=192.168.2.1
EOF

sudo tee /etc/containers/systemd/headscale.pod << 'EOF'
[Pod]
PodName=headscale-pod
Network=local_lan.network
IP=192.168.2.13
EOF

sudo tee /etc/containers/systemd/headscale-db.container << 'EOF'
[Container]
Pod=headscale-pod.pod
ContainerName=headscale-db
Image=docker.io/library/postgres:<version>-alpine
EnvironmentFile=/srv/containers/headscale/.env
Environment=POSTGRES_DB=headscale
Environment=POSTGRES_USER=headscale
Environment=POSTGRES_PASSWORD=${HEADSCALE_DB_PASS}
Volume=/srv/containers/headscale/postgres:/var/lib/postgresql/data:Z
[Service]
Restart=always
EOF

sudo tee /etc/containers/systemd/headscale.container << 'EOF'
[Unit]
Description=Headscale VPN Control Plane
# PostgreSQLが起動してからHeadscaleを起動する（依存関係）
Requires=headscale-db.service
After=headscale-db.service
[Container]
Pod=headscale-pod.pod
Image=docker.io/headscale/headscale:<version>
ContainerName=headscale
Volume=/srv/containers/headscale/config/config.yaml:/etc/headscale/config.yaml:ro,Z
Volume=/srv/containers/headscale/config/acl.hujson:/etc/headscale/acl.hujson:ro,Z
Volume=/srv/containers/headscale/data:/var/lib/headscale:Z
Exec=headscale serve
HealthCmd=headscale nodes list || exit 1
HealthInterval=30s
HealthRetries=3
[Service]
Restart=always
[Install]
WantedBy=multi-user.target
EOF

# Quadletファイルを変更したら必ずdaemon-reloadを実行する
sudo systemctl daemon-reload

# 起動する（enable不要。Quadletが/etc/containers/systemd/の存在を検知して
# OS起動時に自動生成・自動起動するため）
sudo systemctl start headscale

# ── 起動確認 ─────────────────────────────────
sudo systemctl status headscale headscale-db
sudo journalctl -u headscale -f --no-pager | head -30

sudo podman exec headscale headscale users create admin
sudo podman exec headscale headscale users list

# ── サーバー側（AlmaLinux 9）── 一時キーを発行（有効期限10分）
sudo podman exec headscale headscale preauthkeys create --user admin --expiration 10m
# 出力例: K9VzYgk7...

# ── クライアント側（Rocky Linux 9 / スマホ等）── 一発で接続
curl -fsSL https://tailscale.com/install.sh | sh
# Rocky Linux 9は明示的な有効化が必要（SELinux対応）
sudo systemctl enable --now tailscaled
# Headscaleサーバーを指定して接続（発行したキーを貼り付け）
sudo tailscale up --login-server https://hs.yourdomain.mydns.jp \
  --auth-key K9VzYgk7...

# 登録されたデバイスのIDを確認
sudo podman exec headscale headscale nodes list

# DMZデバイス（Rocky Linux）にtag:dmzを即時付与
sudo podman exec headscale headscale nodes tag -n 1 -t tag:dmz
# SERVERデバイス（Ubuntu / AlmaLinux）にtag:lanを付与
# sudo podman exec headscale headscale nodes tag -n 2 -t tag:lan

# 付与されたことを確認（Tags列にtag:dmzが表示されれば成功）
sudo podman exec headscale headscale nodes list

# ── ディレクトリ作成 ──────────────────────────
sudo mkdir -p /srv/containers/caddy/config
sudo mkdir -p /srv/containers/caddy/data
sudo restorecon -Rv /srv/containers/caddy

sudo tee /srv/containers/caddy/Caddyfile << 'EOF'
# ── Headscale（Phase 3 / SERVER: 192.168.2.13）──────────
hs.yourdomain.mydns.jp {
    encode gzip zstd
    reverse_proxy 192.168.2.13:8080 {
        header_up Upgrade    {http.request.header.Upgrade}
        header_up Connection {http.request.header.Connection}
    }
}
# ── 既存Webサーバー（Rocky Linux DMZ: 172.16.1.2）────────
www.yourdomain.mydns.jp {
    encode gzip zstd
    reverse_proxy 172.16.1.2:80 {
        header_up X-Real-IP       {remote_host}
        header_up X-Forwarded-For {remote_host}
    }
}
# ── Authentik（Phase 5 / SERVER: 192.168.2.16）───────────
auth.yourdomain.mydns.jp {
    encode gzip zstd
    reverse_proxy 192.168.2.16:9000
}
# ── 将来追加予定（Phase 6: Grafana）──────────────────────
# grafana.yourdomain.mydns.jp {
#     encode gzip zstd
#     reverse_proxy 192.168.2.12:3000
# }
EOF

sudo tee /etc/containers/systemd/local_dmz.network << 'EOF'
[Network]
# 注意: bridge=br0 のbr0は実際のブリッジ名に合わせてください
Driver=bridge
Options=bridge=br0
Subnet=172.16.1.0/24
Gateway=172.16.1.1
EOF

# イメージのダイジェスト（ハッシュ）を取得して固定する
sudo podman pull docker.io/library/caddy:<version>
CAD_DIGEST=$(sudo podman image inspect docker.io/library/caddy:<version> \
  --format '{{index .RepoDigests 0}}')

sudo tee /etc/containers/systemd/caddy.container << EOF
[Unit]
Description=Caddy Edge Reverse Proxy (DMZ)
After=network-online.target
[Container]
Image=${CAD_DIGEST}
ContainerName=caddy
Network=local_dmz.network
IP=172.16.1.18
Volume=/srv/containers/caddy/Caddyfile:/etc/caddy/Caddyfile:ro,Z
Volume=/srv/containers/caddy/data:/data:Z
Volume=/srv/containers/caddy/config:/config:Z
HealthCmd=caddy version || exit 1
HealthInterval=30s
[Service]
Restart=always
[Install]
WantedBy=multi-user.target
EOF

sudo systemctl daemon-reload
sudo systemctl start caddy

# ── 起動確認 ──────────────────────────────────
sudo systemctl status caddy
# ログで証明書取得状況を確認（"obtained certificate"が表示されれば成功）
sudo journalctl -u caddy -f --no-pager | head -40

# ── 内部から疎通テスト ──────────────────────────
sudo systemctl is-active caddy

# ── 外部から疎通テスト（モバイル回線推奨） ────────────
curl -v https://hs.yourdomain.mydns.jp
# SSL証明書エラーが出なければ成功

# ── ログで証明書確認 ────────────────────────────
sudo journalctl -u caddy --no-pager | grep -i "certificate"
# "obtained certificate" が表示されればOK

# ── ディレクトリ作成 ──────────────────────────
sudo mkdir -p /srv/containers/authentik/postgres
sudo mkdir -p /srv/containers/authentik/redis
sudo mkdir -p /srv/containers/authentik/media
sudo mkdir -p /srv/containers/authentik/templates
sudo restorecon -Rv /srv/containers/authentik

# ── シークレット生成（3つ全て.envに保存）─────────
sudo touch /srv/containers/authentik/.env
sudo chmod 600 /srv/containers/authentik/.env
echo "AUTHENTIK_SECRET_KEY=$(openssl rand -hex 32)"           | sudo tee    /srv/containers/authentik/.env
echo "AUTHENTIK_POSTGRESQL__PASSWORD=$(openssl rand -hex 32)" | sudo tee -a /srv/containers/authentik/.env
echo "AUTHENTIK_REDIS__PASSWORD=$(openssl rand -hex 32)"      | sudo tee -a /srv/containers/authentik/.env
# 確認（3行表示されれば成功）
sudo cat /srv/containers/authentik/.env

sudo tee /etc/containers/systemd/authentik.pod << 'EOF'
[Pod]
PodName=authentik-pod
Network=local_lan.network
IP=192.168.2.16
# 【プロ技①】Phase 2のUnboundをDNSとして明示指定
DNS=192.168.2.11
EOF

sudo tee /etc/containers/systemd/authentik-db.container << 'EOF'
[Container]
Pod=authentik-pod.pod
ContainerName=authentik-db
Image=docker.io/library/postgres:<version>-alpine
EnvironmentFile=/srv/containers/authentik/.env
Environment=POSTGRES_DB=authentik
Environment=POSTGRES_USER=authentik
Environment=POSTGRES_PASSWORD=${AUTHENTIK_POSTGRESQL__PASSWORD}
Volume=/srv/containers/authentik/postgres:/var/lib/postgresql/data:Z
[Service]
Restart=always
EOF

sudo tee /etc/containers/systemd/authentik-redis.container << 'EOF'
[Container]
Pod=authentik-pod.pod
ContainerName=authentik-redis
Image=docker.io/library/redis:7.2.5-alpine
EnvironmentFile=/srv/containers/authentik/.env
Volume=/srv/containers/authentik/redis:/data:Z
Exec=sh -c 'exec redis-server --requirepass "$AUTHENTIK_REDIS__PASSWORD"'
[Service]
Restart=always
EOF

sudo tee /etc/containers/systemd/authentik-server.container << 'EOF'
[Unit]
Description=Authentik OIDC Server
Requires=authentik-db.service authentik-redis.service
After=authentik-db.service authentik-redis.service
[Container]
Pod=authentik-pod.pod
ContainerName=authentik-server
Image=ghcr.io/goauthentik/server:2026.4
EnvironmentFile=/srv/containers/authentik/.env
Volume=/srv/containers/authentik/media:/media:Z
Volume=/srv/containers/authentik/templates:/templates:Z
Environment=AUTHENTIK_POSTGRESQL__HOST=127.0.0.1
Environment=AUTHENTIK_POSTGRESQL__USER=authentik
Environment=AUTHENTIK_POSTGRESQL__NAME=authentik
Environment=AUTHENTIK_REDIS__HOST=127.0.0.1
Exec=server
[Service]
Restart=always
[Install]
WantedBy=multi-user.target
EOF

sudo tee /etc/containers/systemd/authentik-worker.container << 'EOF'
[Unit]
Description=Authentik OIDC Worker
Requires=authentik-server.service authentik-db.service authentik-redis.service
After=authentik-server.service authentik-db.service authentik-redis.service
[Container]
Pod=authentik-pod.pod
ContainerName=authentik-worker
Image=ghcr.io/goauthentik/server:2026.4
EnvironmentFile=/srv/containers/authentik/.env
Volume=/srv/containers/authentik/media:/media:Z
Volume=/srv/containers/authentik/templates:/templates:Z
Environment=AUTHENTIK_POSTGRESQL__HOST=127.0.0.1
Environment=AUTHENTIK_POSTGRESQL__USER=authentik
Environment=AUTHENTIK_POSTGRESQL__NAME=authentik
Environment=AUTHENTIK_REDIS__HOST=127.0.0.1
Exec=worker
[Service]
Restart=always
[Install]
WantedBy=multi-user.target
EOF

sudo systemctl daemon-reload
sudo systemctl start authentik-server authentik-worker

# ── 起動確認（4つすべてがactive (running)であることを確認）──
sudo systemctl status authentik-db authentik-redis authentik-server authentik-worker
# 管理画面が応答するまで30秒〜1分待ってからアクセス（初回マイグレーションのため）

ブラウザで https://auth.yourdomain.mydns.jp/if/flow/initial-setup/ にアクセスし、管理者メールアドレスとパスワードを設定します。

管理画面左メニュー「Applications」→「Providers」→「Create」を選択します。

「Applications」→「Create」を選択します。

管理画面左メニュー「Directory」→「Users」→「Create」を選択します。

作成したユーザーを選択 →「MFA Devices」→「TOTP Device」→「Enroll」を選択します。QRコードをGoogle Authenticator / Authy等のアプリで読み取り、ワンタイムパスワードを登録します。

sudo nano /srv/containers/headscale/config/acl.hujson
# groupsセクションを以下のように書き換える（Authentikのアカウント名「user」と一致させる）
"groups": {
  "group:admin": ["user"],
  "group:user":  [],
  "group:guest": []
},

sudo nano /srv/containers/headscale/config/config.yaml
# ファイルの末尾に以下を追記する
# ── OIDC設定（Authentikとの連携）─────────────────
oidc:
  issuer: "https://auth.yourdomain.mydns.jp/application/o/headscale-app/"
  client_id: "（AuthentikのProviders画面からClient IDをコピー）"
  client_secret: "（AuthentikのProviders画面からClient Secretをコピー）"
  scope: ["openid", "profile", "email"]
  # trueにするとuser@home.localの@home.localが削除され"user"として認識される
  # ACLのgroup:admin: ["user"]と一致させるために必要
strip_email_domain: true

sudo systemctl restart headscale
sudo systemctl is-active headscale
# OIDC設定の読み込みをログで確認（"oidc"という文字が含まれていれば成功）
sudo journalctl -u headscale --no-pager | tail -20

# スマートフォンやモバイル回線のPCで実行
sudo tailscale up --login-server https://hs.yourdomain.mydns.jp
# 期待する動作:
# 1. ブラウザが自動的に開き、Authentikのログイン画面が表示される
# 2. ユーザー名（user）とパスワードを入力
# 3. TOTPコード（ワンタイムパスワード）の入力を求められる
# 4. 認証成功後、Tailnetに接続される