Caddy リバースプロキシの構築

コンテナが削除・再作成されてもLet's Encryptの証明書やCaddyの設定が消えないよう、ホストOS（Rocky Linux 9）に保存領域を作成します。

sudo mkdir -p /srv/containers/caddy/config
sudo mkdir -p /srv/containers/caddy/data

# SELinuxコンテキストを正しく設定する
sudo restorecon -Rv /srv/containers/caddy

# 作成できたか確認する
ls -la /srv/containers/caddy/

Caddyfileは「どのドメインへのアクセスを、どのサーバーに転送するか」を定義するファイルです。Caddyの設定の心臓部です。

sudo tee /srv/containers/caddy/Caddyfile << 'EOF'
# ════════════════════════════════════
# Caddyfile - Phase 4 設定
# ════════════════════════════════════

# ── Headscale（Phase 3 / SERVER: 192.168.2.13）──
hs.yourdomain.mydns.jp {
    encode gzip zstd
    reverse_proxy 192.168.2.13:8080 {
        header_up Upgrade    {http.request.header.Upgrade}
        header_up Connection {http.request.header.Connection}
    }
}

# ── 既存Webサーバー（Rocky Linux DMZ: 172.16.1.2）──
www.yourdomain.mydns.jp {
    encode gzip zstd
    reverse_proxy 172.16.1.2:80 {
        header_up X-Real-IP       {remote_host}
        header_up X-Forwarded-For {remote_host}
    }
}

# ── Authentik（Phase 5 / SERVER: 192.168.2.16）──
auth.yourdomain.mydns.jp {
    encode gzip zstd
    reverse_proxy 192.168.2.16:9000
}

# ── 将来追加予定（Phase 6: Grafana）──
# grafana.yourdomain.mydns.jp {
#     encode gzip zstd
#     reverse_proxy 192.168.2.12:3000
# }
EOF

cat /srv/containers/caddy/Caddyfile

sudo podman run --rm \
  -v /srv/containers/caddy/Caddyfile:/etc/caddy/Caddyfile:ro,Z \
  docker.io/library/caddy:<version> \
  caddy validate --config /etc/caddy/Caddyfile

# 成功時: Valid configuration
# エラー時: Error: parsing caddyfile tokens: ...

Phase 3と同様に、Quadlet（systemdネイティブ）でコンテナを管理します。

sudo tee /etc/containers/systemd/local_dmz.network << 'EOF'
[Network]
# ★ 重要: bridge=br0 の "br0" は実際のブリッジ名に書き換えてください
# 確認方法: ip link show type bridge
Driver=bridge
Options=bridge=br0
Subnet=172.16.1.0/24
Gateway=172.16.1.1
EOF

cat /etc/containers/systemd/local_dmz.network

sudo podman pull docker.io/library/caddy:<version>

CAD_DIGEST=$(sudo podman image inspect docker.io/library/caddy:<version> \
  --format '{{index .RepoDigests 0}}')

echo "Caddy digest: ${CAD_DIGEST}"
# 出力例: Caddy digest: docker.io/library/caddy@sha256:a1b2c3d4...

# ⚠️ この変数はシェルを閉じると消えます。Quadletファイル作成まで同じターミナルで続けてください

# CAD_DIGEST 変数が設定されているか確認してから実行
echo ${CAD_DIGEST}

sudo tee /etc/containers/systemd/caddy.container << EOF
[Unit]
Description=Caddy Edge Reverse Proxy (DMZ)
After=network-online.target
[Container]
Image=${CAD_DIGEST}
ContainerName=caddy
Network=local_dmz.network
IP=172.16.1.18
Volume=/srv/containers/caddy/Caddyfile:/etc/caddy/Caddyfile:ro,Z
Volume=/srv/containers/caddy/data:/data:Z
Volume=/srv/containers/caddy/config:/config:Z
HealthCmd=caddy version || exit 1
HealthInterval=30s
[Service]
Restart=always
[Install]
WantedBy=multi-user.target
EOF

cat /etc/containers/systemd/caddy.container

sudo /usr/libexec/podman/quadlet -dryrun 2>&1 | grep -E "caddy|error|Error"

sudo systemctl daemon-reload

sudo systemctl list-unit-files | grep caddy
# caddy.service generated と表示されれば認識成功

sudo systemctl start caddy

sudo systemctl status caddy --no-pager
# Active: active (running) と表示されれば成功

sudo journalctl -u caddy -f --no-pager

# 成功時のログ例:
# {"level":"info","msg":"obtained certificate","domain":"hs.yourdomain.mydns.jp"}
# {"level":"info","msg":"serving initial configuration"}

# エラーのみ抽出して確認
sudo journalctl -u caddy --no-pager | grep -i "error\|failed\|certificate" | tail -20

FortiGateの設定はPhase 4の中で最も重要な作業です。この設定が正しくないとCaddyが証明書を取得できず、外部からのアクセスも届きません。

FortiGateの設定が完了したら、外部からのアクセスと証明書取得が正しく機能しているか確認します。

sudo systemctl is-active caddy
sudo systemctl status caddy --no-pager

sudo journalctl -u caddy --no-pager | grep -i "certificate"
# 3つのドメイン分（hs / auth / www）が表示されれば証明書取得完了

sudo ls -la /srv/containers/caddy/data/
# certificates/ ディレクトリが作成されていれば成功

curl -v https://hs.yourdomain.mydns.jp 2>&1 | grep -E "SSL|certificate|Connected|HTTP"

# 成功時の出力例:
# * SSL connection using TLSv1.3 ...
# * Server certificate: subject: CN=hs.yourdomain.mydns.jp
# * issuer: C=US; O=Let's Encrypt; CN=R11
# < HTTP/2 200

curl -v https://www.yourdomain.mydns.jp 2>&1 | grep -E "SSL|certificate|HTTP"

curl -s http://192.168.2.13:8080/ 2>&1 | head -3
# 何らかの応答があれば疎通成功（FortiGateのDMZ→SERVERポリシーが正しく設定されている）