前置き

synologyのnasでwordpressを構築すると、

ルーター>NASポート>WebStation>WordPress と、
Webstation(nginx)を経由することになる。

WebstationではWebポータルというものを定義するのだが、ここでサービス毎に独立した仮想ホストとして扱うらしい。

Webstationの設定と仕様

以下は現状の設定。
WANのIPでアクセスされるとデフォルトのWebサーバに転送し、bassdig.ddns.netへのアクセスはすべてwordpressへ転送する。

ユーザー定義ポータルは内部的にリバースプロキシのような動作をする。

このとき REMOTE_ADDR に渡されるのは、ポータルが処理した接続元IPである。つまりLAN内のデバイスからアクセスした場合でもグローバルIPになるっぽい。

やっと本題になるが、つまりはローカルからでも外からアクセスしているように見えるので.htaccessで192.168.1.0/24のみwp-adminへのアクセスを許可、とかの設定ができない。致命的。

X-Forwarded-Forで元のIPを読むとか色々試したけどどうにもうまくいかなかった。

バッチでなんとかする。

そこで、htaccessの自動更新スクリプトを作成し、常に自身のグローバルIPを設定しそこからのアクセスのみWordpressの管理画面を表示するようにした。

以下はスクリプト。

#!/bin/sh

# ======================================
# BASSDIG WordPress IP 自動更新スクリプト
# ======================================

# === 外部IP取得（DDNS から） ===
NEWIP=$(curl -s https://ifconfig.me/ip)

if [ -z "$NEWIP" ]; then
    echo "$(date '+%Y-%m-%d %H:%M:%S') ERROR: Failed to resolve bassdig.ddns.net" >> /var/log/bassdig_ip_update.log
    exit 1
fi

# === .htaccess の場所 ===
HTA="/volume1/web_packages/wordpress/.htaccess"

# === バックアップ（初回または上書き用） ===
if [ ! -f "$HTA.bak" ]; then
    cp "$HTA" "$HTA.bak"
fi

# === BASSDIG SETTINGS ブロック内だけ書き換え ===
sed -i "/# BEGIN BASSDIG SETTINGS/,/# END BASSDIG SETTINGS/ s/^RewriteCond %{REMOTE_ADDR}.*/RewriteCond %{REMOTE_ADDR} !^$NEWIP$/" "$HTA"

synologyのデフォルトのタスクスケジューラを利用して自動実行する。
コントロールパネル>タスクスケジューラ>作成>予約タスク>ユーザー指定のスクリプト

実行時のメール送信設定などもここから。

あと肝心のhtaccessの設定は最終行に以下を追加。
スクリプトでBEGIN BASSDIG SETTINGS～END BASSDIG SETTINGSの間のみ変更を行う。

# BEGIN BASSDIG SETTINGS

# ============================
# admin-ajax.php は常に許可
# ============================
RewriteCond %{REQUEST_URI} ^/wp-admin/admin-ajax\.php$
RewriteRule .* - [L]

# ============================
# wp-login.php を制限
# ============================
RewriteCond %{REQUEST_URI} ^/wp-login\.php$
RewriteCond %{REMOTE_ADDR} !^218.41.146.89$
RewriteRule ^.*$ - [R=404,L]

# ============================
# wp-admin ディレクトリを制限
# ============================
RewriteCond %{REQUEST_URI} ^/wp-admin
RewriteCond %{REMOTE_ADDR} !^218.41.146.89$
RewriteRule ^.*$ - [R=404,L]

# END BASSDIG SETTINGS

これで自身のグローバルIP以外からの管理画面へのアクセスは404へと誘導される。

最後に

Webstation経由じゃなく直接Wordpressにという手も使えるらしいけど、調べた感じ結構Webstationはデフォルトで怪しい通信等をブロックしたり公開範囲絞ったりしてくれてるらしいのでできればこのまま使うほうがセキュアなサイトを作れそうかなという判断。

投稿 管理ページへのアクセス制限と.htaccessの自動更新 は はんだとキーボードのあいだ に最初に表示されました。

前置き

SynologyのNASでWebサイトを構築する場合に必須というか、使わなきゃならないのがWebstaionというアプリ。

こいつがなかなかにクセが強いというかなんというか。という感じ。
特に複雑な設定なしにWebページを作成できるという点は良いんだけど、本職の人とか、逸般の誤家庭の人とかだと、なんでこれ設定するのにこんなことしなきゃいけないの…って感じになる。

設定について

このWebページはSynologyのNASにWordpressを導入して構築しているが、NASじゃなくきちんと鯖を用意するべきかなぁ…とも思ってる。

メイン鯖はProxmoxVE入れて遊んでるんだけど、やっぱり色々と遊ぶのでよく壊れがちというか…。備忘録も消えたら意味ないのでRAID組んでバックアップもあるNASのが安心というか…。

少し話がそれたが、以下が現状の設定。

デフォルトポータルのphpMyAdminやWordpressは無効化しておくのが良い。

wordpressをインストールしたばかりのデフォルト設定だと、wordpressへのアクセスは http://ローカルIP/wordpress/ になる。

つまり、せっかくドメインとか取得してローカルからのアクセスもDNSサーバを構築とかしても
アクセスするには https://bassdig.ddns.net/wordpress とかになる。クソダサい。

ユーザー定義して、bassdig.ddns.netへのアクセスはすべてwordpressにしておくと良い。

最後に

ちなみにphpMyAdminとかもそのままにしておくとdigコマンドとかでドメイン名からIP見られて、直接IPでアクセスされるとhttp:/IPアドレス/phpmyadmin とかでアクセスできるのでデフォルトポータルは基本無効化しておくべき。

投稿 Webstaionの設定について は はんだとキーボードのあいだ に最初に表示されました。

投稿 Hello world! は はんだとキーボードのあいだ に最初に表示されました。