先月は、家庭内のシステムをいろいろ変更しました。※後日記事にします。
また、ハードウェアの故障もあり、記事作成（ひながた生成）システムの復旧などに追われ、あわただしい1カ月となりました。あわただしい…時間が泡のように消えました。
時間が泡のように消えても、それがキャッシュフローを生めばいいのですが…全く生まないとこに時間をかけています。
…と、ぼやきはいいとして、本日は、家庭内のシステム（法人利用）を作っていく段階で、家庭内で問題視（僕だけ）していたサブスクリプション問題を考えることにしました。
ということで、新たにシステムを構築したので、サブスクリプションを利用しなくとも、自前のシステムで無料利用（電気代や通信料かかります）できる仕組みを作ったので記事にします。
我が家のApple製品
現在、我が家では、Apple製品を多く使っています。
これだけ機器が多いと、写真や動画が山のように溜まっていきます。
今月の8/19までは、iCloud+のファミリープランに加入してきました。
まだ期限までありますが、次の更新で月額料金が+300円あがるとお知らせがきました。
iCloud+の月額料金は、1,500円です。これが次の更新から1,800円になります。
正直、高いです。
僕分
- iPhone 15 Pro
- iPad mini 3 ※法人利用
- iPad Pro 10.5 ※法人利用
- iPhone 17 ※法人利用
妻分
- iPhone 15 Pro
- MacBook Air 2020
- MacBook Air 2024
子供分
- iPad Pro 11(第三世代)
iCloudをやめてみるという選択肢
iCloud+は、データの保管（ほぼメンテフリーなので高いのはわかる気がします）だけで、この値段は正直高いです。
たとえば、他社のGoogleやMicrosoftはオフィス製品の契約や、AIサービスの契約だけで、利用できるストレージ枠があります。こちらは年間契約ですが、21,000円から32,000円程度で利用ができます。
ちなみに、僕は法人契約でGoogle AIサービスや、Microsoft Office Premium(来期は解約予定)も加入しています。こちらは法人契約なのでいいのですが、問題は個人契約のiCloud+です。
年間18,000円でも高いと思っていたのに、次の更新から年間21,600円の支出になります。
現在、世界的に半導体不足で、特に記憶装置のSSDやメモリが市場から需給バランスが大きく乱れており、市場で取引されている価格は平常時の2倍～3倍という状態です。
いつ回復するかわかりませんが、個人市場の価格が落ち着くのは、企業間の需給バランスが落ち着いてからの話だと考えているので、数年先ではないかと考えています。
サブスクをやめるには、このストレージ機器が必要なのですが、幸いうちには安い時期に買ってあったSSDとHDDが、無駄にPCに積んであったので、こちらを利用します。
では、何でiCloud+を代用するかなのですが、AIに聞いたことろ「Immich(イミッチ)」というオープンソースのソフトウェアが良いと紹介してくれました。
我が家のネットワーク構成
上の図は、bananaに書いてもらいましたが…一部不正確な部分がありますが、概要なので、このまま使います。
このネットワークをManmaruLabとして家庭内で管理しています。
以前は、記事生成用をサーバー(LinuxMint)上で、Pythonスクリプトで構成していたのですが、先月、このLinuxMintを載せてあったPCのSSDが故障しました。
このPCはデル製の数年前の型落ちを中古で買ったminiPCです。前職の際、家庭内に検証環境が欲しく購入したものです。検証環境を作る際、物理OS（WIndowsサーバー2022)に、仮想マシン（物理PC上に仮想PCを動かす技術）を載せて運用していました。
Linuxはサーバー用途で使われるOSですが、ディスクとリビューションという、共通のLinuxをベースに機能や外観に個性をだしたものがたくさんあります。
そのうち、デスクトップ要素（WindowsやMacの利用とほぼ同義）の強い、LinuxMintをサーバー用途にしているのもおかしな話なのです。
計画当初は、LinuxMintはクライアント検証用だったのですが、法人設立後はサーバー用途に変わりました。
デスクトップ要素の強いLinuxでもサーバー用途に使うのは全く問題ないのですが、サーバー用途と考えると、メモリやCPUの使用率が高いため、使用している中古機ではパワー不足は否めませんでした。
そこにハード故障が起き、早急な復旧が必要になったのがきっかけで、ネットワーク全体を見直すことにしました。
どうせつくるなら…
どうせ、ネットワークシステムを作るならAIの力も借りて、セキュリティ万全なものを作ろうとおもいました。
今回使用したPCは、家にあったものを再利用しました。
機器構成
- Dell OptiPlex 3046
- HP Pavilion 13 Aero
- 自作デスクトップPC
上記の３台で作りました。
そのうち、HPのPavilionはノートPC４年前に購入したものですが、8コア16スレッドで、重量も1kg以下なので、僕が持っているノートで高性能なものでしたが、サーバー化しました。
HP Pavilion 13 Aeroがメインサーバー
こちらをメインサーバーにした理由は、我が家にあるマシンでは高性能だったからです。
- CPU Ryzen 7 5800u
- RAM DDR4 16GB
- SSD 2TB (２年前に換装済み)
- バッテリー内臓
ストレージ容量も、エンジニア時代に容量不足で512GBから2TBにSSDを換装したので余裕があります。
またサーバー用途だと、家電をたくさん使った際に起きる、瞬断も命とりです。
※我が家は築年数の古い賃貸ですので、起きやすいです。
そのため、サーバーはUPS（無停電電源装置）が必要と考えましたが、置く場所もありません。ノートPCならバッテリー内臓なので、ノートPCをサーバー機にしてみました。お気に入りのPavilion13Aeroをサーバー機にするのは、もったいない気がしましたが、使わない方がもったいないので勇気出してサーバー化しました。
各マシンのサーバー構成
HP Pavilion 13 Aero
- ホストOS Red Hat Enterprise Linux 10.2
- KVM
- 開発サーバー
- DNS2サーバー
- KVM
DELL OptiPlex 3046
- ホストOS Red Hat Enterprise Linux 10.2
- KVM
- DNS1
- KVM
自作デスクトップ
- ホストOS WIndows 11 Professional
- VMware Workstation Pro
- 旧開発サーバー
- immichサーバー
- 検証サーバー① Kali Linux
- 検証サーバー② Debian Linux 13
- 検証サーバー③ Red Hat Enterprise Linux 10.2
- 踏み台サーバー Red Hat Enterprise Linux 10.2
- VMware Workstation Pro
以上の構成です。
検証機はあってもなくてもよいのですが、来年に更新しないとなくなるLinuxの資格があるため、その学習用に検証機が必要なため、用意しました。
エンジニア時代に、某大手企業のサーバー移行を設計した際は、出入り口が表と裏にわかれていたので、同じ構成にしようと思いましたが…AIに指摘され、出入り口を一つにしました。
出入口を一つした分、メンテナンスはしやすいのですが、セキュリティーリスクはとても高いので、厳重に管理する必要があります。
そのため踏み台(bastion)サーバーを設ける古典的な方法で構築していました。
外出先で家庭内のネットワークにアクセス
記事作成が、開発サーバーにまとめてあるのと、別記事で触れたObsidianという機能を使うにも家庭内外問わず、家庭内のネットワークにアクセスできることを目標としました。
この方法では、FortiGateなどのセキュリティ製品を使いVPN（バーチャルプライベートネットワーク）という方法もありますが、高価なのとセキュリティホールが見つかるたびにファームウェアのアップデートが必要ですが、このファームウェアは一般ユーザーには手に入れることはできません。
企業などでは、保守企業にファームウェアを請求し、提供してもらうので、一般公開はされていないです。
Tailscale
Tailscale | Secure Connectivity for AI, IoT & Multi-Cloud
Tailscaleは、米国のTailscale社が提供する、設定不要で安全なメッシュVPNを実現できるソフトです。
メッシュVPNとは、簡単にいうと端末同士が直接つながる(P2P)仕組みです。
各端末に専用アプリを入れ、ログイン認証(SSO認証)すればVPNを利用できます。
その反面、ログイン情報が漏洩すると全体に影響する点には注意が必要です。ただ、FortiGateのような専用機器のファームウェア更新が不要で、アプリのアップデートだけで管理できる点は大きなメリットと言えます。
さらに、Tailscaleは個人利用（最大3ユーザー・100台までの機器接続）であれば、主要な機能をすべて「完全無料」で使える点も大きなメリットです。クレジットカードの登録も不要で、試してみたい時にすぐ無料で使い始められます
端末側の接続位置に関係なくbastion経由
各サーバーへのアクセスは、端末側の位置に関係なく、bastion（踏み台）サーバーを経由する必要があります。
bastionへの接続は、tailscaleというメッシュVPNの経路を通るか、家庭内のwifiを通るかしか接続手段はありません。
また、各サーバーへの接続はSSH接続で鍵認証が必要になります。
クライアント → bastion → 各サーバー
という構成です。
この構成により、家庭内で外部とつながるサーバーはbastionのみになります。
またbastionは各サーバーの鍵を持たないので、bastionに侵入できたとしても、各サーバーへアクセスできないようにしてあります。
アクセスポイントを一つに絞ることで、各サーバーのセキュリティに漏れがあったとしても、bastionの更新を怠らない限り、ある程度のセキュリティは確保できている点も、メンテナンスのメリットです。
ただ、侵入されることを前提に設計しているので、各サーバーに改ざん検知やマルウェア検知なども入れており、自動更新＆自動ベースライン化もしています。
次の記事につづく。