homelab notes ポート開放できない家の自宅サーバー

ポート開放できない家の自宅サーバー

ルータがポート開放に対応していない環境で、Tailscale だけを使って 自宅サーバーを組んだときの記録。踏んだ罠と、なぜそうなるのかを残しておく。 うまくいった手順より、うまくいかなかった理由のほうが役に立つと思うので、 そちらを厚めに書いている。

記事

• ポート開放なしで自宅サービスを HTTPS 公開する

  Tailscale の MagicDNS と tailnet 証明書で、1サービス1ホスト名の HTTPS を作る。 ドメイン代も固定IPも要らない。設定ファイルのスキーマとキーの種類で3回転んだ話。

• ufw を有効にしても Docker の公開ポートは素通りする

  DEFAULT_INPUT_POLICY=DROP にしても -p 3000:3000 は LAN から丸見えになる。なぜ INPUT の DROP が効かないのか、 そして塞いだあとに別のものが壊れた話。

• restic をコンテナで動かして sudo なしでバックアップする

  root 所有の Docker ボリュームを、ホストに restic を入れずに、 sudo も使わずにバックアップする。外付けディスクに移すときの 「バックアップできているつもり」事故の防ぎ方も。

• :latest は「新しい」を保証しない

  4年前で止まったタグと、5ヶ月前で止まった非公式ミラー。 同じ家のサーバーで2件見つかった。どう検出するか。

• smb.conf に書いた設定が12個まるごと無視されていた

  共有定義を追記する場所を間違えると、それ以降の設定が 静かに効かなくなる。testparm は教えてくれていた。

• Tailscale Funnel で1ページだけインターネットに出す

  tailnet の中身は閉じたまま、選んだ1つだけを公開する。 既定の ACL が全デバイスに公開権限を与えている件と、 DNS のネガティブキャッシュに引っかかった話。

環境