homelab notes ポート開放できない家の自宅サーバー

ポート開放できない家の自宅サーバー

ルータがポート開放に対応していない環境で、Tailscale だけを使って 自宅サーバーを組んだときの記録。踏んだ罠と、なぜそうなるのかを残しておく。 うまくいった手順より、うまくいかなかった理由のほうが後で役に立つので、 そちらを厚めに書いている。全部この家のサーバーで実際に起きたこと。

ネットワークと公開

• ポート開放なしで自宅サービスを HTTPS 公開する

  MagicDNS と tailnet 証明書で、1サービス1ホスト名の HTTPS を作る。 ドメイン代も固定IPも要らない。設定スキーマとキーの種類で3回転んだ話。

• ufw を有効にしても Docker の公開ポートは素通りする

  INPUT を DROP にしても -p 3000:3000 は LAN から丸見えになる。 なぜ効かないのか、そして塞いだあとに別のものが壊れた話。

• Tailscale Funnel で1ページだけインターネットに出す

  中身は閉じたまま、選んだ1つだけを公開する。既定の ACL が全デバイスに 公開権限を与えている件と、DNS のネガティブキャッシュに引っかかった話。

• tailnet 名とノード名を変えたら全サービスが落ちた

  証明書の再発行中は一斉に到達不可になる。待てば戻る。 あと funnel --off が「ハンドラが存在しない」と言って効かなくなる。

Docker とコンテナ

• Docker の名前とサイズは素直ではない

  ボリューム名を間違えるとエラーにならず空のボリュームが新規作成される。 イメージのサイズは3通りの数字が出る。どちらも同じ日に踏んだ。

• コンテナは動いているのに定義ファイルが消えていた

  参照先のディレクトリごと存在しないのに1ヶ月動いていた。 docker inspect から compose を書き起こして、実際に作り直すまで。

• :latest は「新しい」を保証しない

  4年前で止まったタグと、5ヶ月前で止まった非公式ミラー。 同じ家のサーバーで2件見つかった。どう検出するか。

• コンテナのバージョンを上げる手順

  DB マイグレーションは一方向で、戻す手段はバックアップからの復元しかない。 固定と更新を分ける理由と、「0件」を見たときの確かめ方。

運用

• restic をコンテナで動かして sudo なしでバックアップする

  root 所有のボリュームを、ホストに何も入れず、sudo も使わずに取る。 外付けに移すときの「バックアップできているつもり」事故の防ぎ方も。

• 秘密情報が作業ログに残ったときにやったこと

  交換する前に、その鍵が実際に何を守っていたかを数える。 新しい鍵をログに出さずに作る方法と、痕跡の消し方。

• ローカル LLM を GPU で動かして UI から使う

  UI からモデルが1つも見えない。原因は Docker ネットワークで、 そもそも一度も繋がっていなかった。GPU に載っているかの確かめ方も。

• smb.conf に書いた設定が12個まるごと無視されていた

  共有定義を追記する場所を間違えると、それ以降が静かに効かなくなる。 testparm は教えてくれていた。

環境