徒然なるままに プログラミングメモや日々の生活などつれづれとつづっていくblog

DNSによる名前解決ができることを前提として解説します。

◆Let’s Encryptプラグインをインストール

◆Nginxの設定

Let’s Encryptがドメイン確認時にアクセスするパスを設定します。

保存したら右下の更新ボタン（設定反映）を行ってから、右上の更新ボタンを押下して設定を反映させてください。

（どうも右下のボタンを押さないと設定がうまく反映されないことがあるようです）

◆Let’s Encryptプラグインの設定

「サービス>Let’s Encrypt>設定」でプラグインを有効化

「サービス>Let’s Encrypt>アカウント」 でアカウントを登録

「サービス>Let’s Encrypt>検証メソッド」で検証メソッドを登録

「サービス>Let’s Encrypt>検証メソッド」 で証明書を取得するドメインを設定

ドメインの設定が済んだら右メニューの更新ボタンを押下して証明書を発行・更新します。

しばらくたってACMEステータスが「OK」となれば証明書の取得完了です。

◆ Nginxの設定(証明書設定)

Http Serverからドメインに証明書を設定して再起動します。

（HTTP Onlyにチェックを入れると強制的にhttps接続にリダイレクトするようになります）

Httpsで接続して証明書がきちんと設定されていることを確認しましょう。

◆補足

さて、なぜNginx側で「 Enable Let’s Encrypt Plugin Support 」のチェックを外したか疑問に思う方もいるかもしれませんので補足です。

実はNginxでは上記チェックが入っていると「http://127.0.0.1:43580//.well-known/acme-challenge/」へのリバースプロキシが自動的に設定されます。

この「43580」ポートに関しては 「サービス>Let’s Encrypt>設定」 で詳細モードをONにすると設定項目が現れますので、管理用WebGUIのポートに変更してファイアウォールの設定をキチンとできればLocationの設定なしでも証明書の発行は行えると思われます。

ただ残念ながら私のうまくいかなかったため管理用WebGUIが参照するAliasパスを強制的に参照するように設定して、無理やりLet’s Encryptのドメイン確認が通るようにしました。

◆Nginxプラグインをインストール

「システム>ファームウェア>プラグイン」を選択

◆管理WebUIの動作ポートを変更

Nginxを80・443ポートで動作させるため、管理用WebGUIのポートと被ってしまいます。

そのため管理用WebGUIのポートを変更しておきます。（変更したポートを忘れてログインできなくならないよう注意！）

◆リバースプロキシを構成する

ここではLAN側に「192.168.1.100」というWebサーバーが存在する前提で設定を進めます。

「サービス>Nginx>構成」を選択。

①Upstreamサーバーを登録

②Locationを設定

③HttpServerを設定

終わったら「全般設定」で「Enable nginx」のチェックを入れて「適用」を押下。

正常に起動したら右上の▶が黄緑に変わります。

④ファイアーウォールを設定

ファイアウォールの設定で80、443ポートの接続を許可してください。

上手く設定できればOpnsenseにアクセスするとプロキシ先のページが表示されるはずです。

我が家のネットワークはサーバー側をIPv6に対応させるため、２コネクタ使って二股に接続する体系をとっていたのですがさすがに配線が複雑化。。。。

それ以外にも固定IP側物理ルーターが古いため性能が低く、通信性能の低下を招くという問題もありました。

そんなときOpnSenseというルーター兼ファイアーウォールを構築できるLinuxディストリビューションを見つけたため、これを使ってネットワークを整理することにしました。

多段ルーター構成となりますがIPv6通信が主流となりつつある状況なのでこの際IPv4の性能には目をつぶります。（というかこれなら下のルーターいらないですが固定IPを使いたいので・・・）

まあ当然いろいろとつまづいた点もありましたが、おおむね想定通りの構成を構築できたのでメモとして残します。

◆OpnSenseを選んだ理由

同じような使い方ができるLinux OSにはpfSenseやVyattaなどがあります。

その中でOpnSenseを選択した理由ですが、WebUIの管理機能(日本語対応)があったこと。

グラフを用いた詳細な分析機能が搭載されており、管理に役立ちそうだったこと。

特にプラグインを利用することでNginx + Let’s Encryptを用いたリバースプロキシサーバーを構築できる点がよく、現在Nginxで構築しているWebフロントを移行できれば管理しやすくなると考えたためです。

まあ、いろいろと苦労しましたがそれはおいおい説明します。

◆OpnSenseインストール

まずはOpnSenseをインストールします。

今回はEsxiにインストールしますが、OpnSensenはFreeBSDをベースとして開発されているため、ゲストOS種別に Debian を選択しました。（追記：OS種別その他にFreeBSDがありましたのでこちらを選択したほうが良いです）

この場合vHDDのSCSIコントローラーが「VMware Paravirtual」となるため「｛コントローラー名｝」に変更します。( 「VMware Paravirtual」 のままだとインストーラーにHDDが無いと怒られます。)

そのほか、ネットワークアダプタにはWAN用、LAN用のコネクタを2つ以上を設定します。（イメージではWAN用、LAN用、OPT1用(管理コネクタ)の３つを設定してあります。）

インストールCDからVMを起動してログイン画面に到達したら ログインID：installer、パスワード：opnsense と入力してログインします。

インストーラーが立ち上がったらキーボード設定を「jp.kbd」に変更。

変更後「Accept these Settings>Guided installation」を選択して画面の指示にしたがってインストールを行います。

インストール後再起動すると と以下のコンソールが立ち上がるのでログインします。

ログイン後「1)Assign interfaces」からコネクタを設定していきます。

①VLANは「N」を入力

①WANに使うコネクタを入力

②LANに使うコネクタを入力

③OPT1～nの各コネクタに使用するコネクタを入力（選択コネクタがない場合、何も入力せずEnter)

その後「2)Set interface IP address」からLANのIPアドレスの設定を行います。

①「1」でLANを選択

② 自身が割り振り元となるためDHCP利用は「N」、IPアドレス・サブネットマスクは任意で入力

③ LANなので何も入力せずにEnter

④ LAN側でDHCPサーバーを起動するため「y」

⑤IPアドレスの範囲はお好みでどうぞ

⑦ WebGUIへのアクセスを許可するか聞かれるので「y」を入力

◆OpnSense設定（前準備）

設定後はWebUIから設定を行うのですが、今の状態ではLAN側からしかアクセスできません。

そのため以下の操作はLAN側に接続するVMを用意して行っています。

①WebUI画面にログイン（アカウントID/パスワードはコンソールと同じ）

②ウィザードが立ち上がるため順次設定を行う

③OPT1からWebUIに接続できるように設定

・ メニューから「インタフェース＞OPT1」を選択

・メニューから「ファイアウォール>ルール>OPT1」を選択、「追加」ボタンを押下

「保存」押下後、右上の「変更を適用」ボタンを押下して変更を適用する

以上でOPT1からのアクセスが可能となります。

OPT1側から設定したIPアドレスにアクセスしログイン画面が表示されるか確認しましょう。

◆ OpnSense設定（IPv4 PPPoE + IPv6 DHCP）

ここからはOPT1側から設定していきます。

① PPPoE接続の設定を行う。

「インタフェース>WAN」を選択

「保存」押下後、「変更を適用」で設定を適用する。

② DHCPv6の設定を行う。

「インタフェース>割当」を選択、WAN6としてコネクタを割り当てる。

「インタフェース>WAN6」を選択、IPv6側をDHCPで設定。

ダッシュボードで確認するとWAN、WAN6にそれぞれアドレスが割当られていることが確認できるはずです。