私的なメモ帳

QNAPを使ってあれこれと実験を繰り返していたら、これまで使用してきたTS-220の反応が鈍いと最近感じるようになり始めたので、今回上位機種のTS-231+にちょこっとだけバージョンアップをしました。

事前にネットとかを見てるとQNAPは上位機種への交換やHDDの容量増強などが簡単に出来るって触れ込みだったのだが、今回実際に上位機種への換装作業を行った際に数々のトラブルに見舞われて苦労したので、忘れないように備忘録として残しておこうと思います。

1. そもそもQNAPのWebサーバのポート番号の初期値が無茶苦茶な設定（外向けHTTPSのポート番号が8081ってあり得ない！）っていうのも影響していると思うが、Webサーバのポート番号を変更して、システム設定の「セキュア接続(HTTPS)のみを使用する」をONにした状態だと、機種変更後の初回起動時に表示される画面へのアクセスに失敗するというバグが存在する。元のTS-220にHDDを入れなおして、設定をOFFに戻すことで回避した。
2. 上記ポート番号の問題が影響している可能性もあるが、換装後のWebサーバの設定値（apache.conf）が全て初期状態に戻っていた。
3. Tomcatが起動しなくなった。手動で起動しようとしても参照しているJavaのライブラリが見つからないってエラーが出て起動できなかった。とりあえずJREとTomcatを一度削除した上で再インストールすることで解決した。
4. TS-231+固有？（一部機種？新しい機種？）の問題だが、XMailが動作しない&サポートされないという。問題の原因はSSL関係のライブラリをバージョン番号を含む形でリンクしているっていう初歩的なバグ。代わりになるメールサーバアプリもない。QNAP社に問い合わせるとContainer StationでLXCやDockerを使えって言われた。今後はQPKGは廃止して、LXCやDockerに切り替えていくつもりなのか？

最近のGoogleは、常時SSL(HTTPS)を推奨していたり、各種サービスなどを利用する際にもHTTPでのアクセスを拒否するなど、この業界に関わっていく限りはSSL(HTTPS)対応は避けて通れないだろうと思う今日この頃。

そして、このサイトの運営にはQNAPのNASをサーバとして利用しているのですが、これが思っていた以上の曲者で単にSSLを設定するだけの作業なのに数日かかってしまうとは思ってもいなかった…

というわけで、せっかく苦労したので忘れないようにQNAPのSSL化の作業手順を備忘録として残しておこうと思います。

今回判明したQNAPのSSL対応の問題点と対処法の一部（対処法の書かれていない問題は今回対処することを諦めたので、対処法を確認していません）

1. Webの管理画面からLet’s Encryptの中間証明書がアップロードできない。（これは明らかなバグだろ！）

   # cat privkey.pem fullchain.pem > /etc/stunnel/stunnel.pem
   # cp chain.pem /etc/stunnel/uca.pem

2. SSL化した仮想ホストに中間証明書が設定されない。（実サーバは正しく設定されているので、これも明らかなバグだろ！）
   /etc/config/apache/extra/httpd-ssl-vhosts-user.conf の各仮想ホストの設定に以下の一行を追加する。

   SSLCertificateChainFile "/etc/stunnel/uca.pem"

3. メールサーバ(XMail)などのサードパーティアプリをApp Centerからインストールしても、システムにインストールされている証明書を参照していない。

   # cp privkey.pem ${QPKG_BASE}/.qpkg/XMail_phpxmail/MailRoot/server.key
   # cp fullchain.pem ${QPKG_BASE}/.qpkg/XMail_phpxmail/MailRoot/server.cert

4. 一部のシステムアプリで証明書の参照先がマスターファイル(stunnel.pemとuca.pem)でなく、バックアップファイル(backup.keyとbackup.pem)になっている。
5. CA証明書が一つも入っていない。（もうここまで来ると対応するのも面倒になって、放置プレイにすることにして対策するのは止めました）