鯖缶

ひとまず apt でそのまま入る Caddy から試してみるか。

Navidrome と Adguard を HTTPS 化。
ただし Adguard は Step CA のマシンを壊したときにアクセスできる方が良いので、 HTTP to HTTPS のリダイレクトは無効化して plain HTTP でもアクセスできるようにしてある。

NetBox も kagamidai を弄るとき不可欠なので、 Cloudflare Tunnel に依存しない形でアクセスできるようにしておきたい。
NetBox 自体は自身のドメイン名を知っている必要はなさそうなので、複数のドメインから使えるようにできるはず。

Cloudflare Tunnel 用:

cftunnel.navidrome.nukobu.internal {
    reverse_proxy localhost:4533 {
        header_up Host <PUBLIC_HOSTNAME>

        # For Cloudflare Tunnels.

        # Replace untrusted headers from the client.
        #
        # Note that `X-Forwarded-For` from Cloudflare might come from the client (see
        # <https://developers.cloudflare.com/fundamentals/reference/http-request-headers/#x-forwarded-for>),
        # so it cannot be trusted and `CF-Connecting-IP` should be used instead.
        # About `CF-Connecting-IP`, see
        # <https://developers.cloudflare.com/fundamentals/reference/http-request-headers/#cf-connecting-ip>.
        header_up X-Real-IP {http.request.header.CF-Connecting-IP}
        header_up X-Forwarded-For {http.request.header.CF-Connecting-IP}
        header_up X-Forwarded-Host <PUBLIC_HOSTNAME>

        # Remove untrusted headers from the client.
        header_up -Forwarded
    }

    tls <EMAIL_ADDR> {
        acme_ca https://<STEP_CA>/acme/acme/directory
        acme_ca_root /etc/caddy/kagamidai-root.crt
    }
}

重要度・秘密度が低かったり #411 でブロックされていたりするので、こちらのチケットは一時中断とする。