Posted inDevOps

Caddy Serverのセットアップ方法：HTTPSを自動化するモダンなWebサーバー

DevOps tutorial - IT technology blog
DevOps tutorial - IT technology blog

従来のWebサーバー管理における手作業の苦労

Webサーバーの管理は、かつて膨大な時間を浪費する作業でした。NginxやApacheを扱ったことがある人なら、その苦労がわかるはずです。ソフトウェアをインストールした後、HTTPSが必要であることに気づきます。通常、Certbotをインストールし、DNSまたはHTTPチャレンジを実行し、90日ごとに証明書が確実に更新されることを祈ることになります。午前3時にcronジョブが1つでも失敗すれば、ユーザーには「保護されていない通信」という大きな警告が表示されてしまいます。

従来のサーバーは、「HTTPSが当たり前」になる前の時代に設計されました。そのため、SSL/TLSは手動での調整やサードパーティ製ツールを必要とする外部レイヤーとして扱われています。50以上のマイクロサービスを管理するDevOpsエンジニアにとって、このオーバーヘッドは技術的負債の山となり、潜在的な障害点となります。

Caddyはこの状況を一変させます。HTTPSをオプションの追加機能ではなく、コアな要件として扱います。Go言語で書かれたこのモダンなサーバーは、証明書の取得と更新をネイティブに処理します。外部スクリプトやcronジョブを一切必要とせずに、これらすべてを実行します。

Caddy vs. Nginx：実用面での比較

Nginxを使い続けるか、Caddyに移行するかを判断する基準は、メンテナンスにどれだけの時間を割きたいかに集約されます。Nginxは非常に強力ですが、Caddyは開発のスピード（ベロシティ）を重視して設計されています。

機能 Nginx Caddy
SSL/TLS 手動 (Certbot/OpenSSL) 完全自動 (Let’s Encrypt/ZeroSSL)
設定 冗長 (多くの場合50行以上) 最小限 (通常3〜5行)
HTTP/3 手動設定が必要 デフォルトで有効
依存関係 OSライブラリに依存 単一の静的バイナリ

Nginxは非常に軽量であるため、依然としてハイパフォーマンスな環境におけるゴールドスタンダードです。しかし、Caddyの設定は非常に新鮮です。Nginxではリダイレクトやヘッダーの処理だけで30行必要になることが多いのに対し、Caddyならわずか3行のコードで本番環境に対応したセキュアなサイトを構築できます。

トレードオフ：Caddyはあなたに適しているか？

どんなツールにも限界があります。インフラ全体を移行する前に、以下のメリットとデメリットを検討してください。

メリット

  • ゼロタッチSSL: Caddyは証明書のライフサイクル全体を管理します。もしLet’s Encryptがレート制限に達したりダウンしたりした場合、Caddyは自動的にZeroSSLをフォールバックとして試行します。
  • ポータブルなバイナリ: 単一のGoバイナリであるため、共有ライブラリの不足を心配することなく、あらゆる LinuxディストリビューションやDockerコンテナに配置できます。
  • ライブAPI: JSON APIを使用して、実行中にサーバー設定を更新できます。つまり、プロセスを再起動することなく、シンプルな curl コマンドで設定を変更可能です。
  • デフォルトでモダン: HTTP/2およびHTTP/3を標準でサポートしています。これにより、特別なチューニングなしでモダンなブラウザでのサイト読み込み速度が向上します。

デメリット

  • 極限スケールでのパフォーマンス: 非常に高い負荷（10万以上の同時リクエストなど）下で巨大な静的ファイルを配信する場合、生の処理能力では依然としてNginxにわずかな分があります。
  • ドキュメントの蓄積: Nginxには20年にわたるコミュニティのチュートリアルがあります。非常に特殊な要件がある場合、Nginxの解決策の方が早く見つかるかもしれません。
  • メモリフットプリント: Caddyは通常、Nginxよりも多くのRAMを使用します。Nginxが5MB程度で済むのに対し、Caddyインスタンスは30MBから50MB使用することがあります。モダンなハードウェアでは、これは通常無視できる差です。

推奨されるデプロイ方法

多くのDevOpsチームは、Linux VPS上でsystemdサービスとして、あるいはKubernetesのサイドカーコンテナとして Caddyを運用し、成功を収めています。Nginxからの移行は、標準的な設定ファイルよりもはるかに解析しやすい人間味のあるフォーマットのCaddyfileのおかげでスムーズに行えます。

実装：わずか数分でHTTPS化

Ubuntuサーバー上に、セキュアなリバースプロキシとしてCaddyをセットアップする手順を見ていきましょう。

1. インストール

まず、最新の安定版を入手するために公式リポジトリを追加します。以下のコマンドをsudo権限で実行してください。

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install caddy

サービスが有効であることを以下のコマンドで確認します：

systemctl status caddy

2. Caddyfileの設定

/etc/caddy/Caddyfile にあるメイン設定ファイルを編集します。デフォルトの雛形を削除し、実用的な内容に置き換えることができます。

ポート3000で実行されているNode.jsまたはPythonアプリがあるとします。これを example.com で完全なHTTPSで公開する場合、設定はこれだけで済みます：

example.com {
    reverse_proxy localhost:3000
}

CaddyはLet’s Encryptに接続し、チャレンジを解決してSSL証明書を設定します。また、HTTPからHTTPSへのリダイレクトも自動的に処理します。

3. 静的コンテンツの配信

ReactのビルドファイルやHugoのブログなどの静的サイトをホストする場合は、以下の設定を使用します：

mysite.com {
    root * /var/www/html
    file_server
    encode gzip
}

encode gzip ディレクティブは、ファイルをブラウザに送信する前に圧縮することを保証し、ロード時間を大幅に短縮します。

4. 検証とリロード

サービスをむやみに再起動しないでください。ダウンタイムを防ぐために、必ず最初に構文を検証してください。

# 構文エラーをチェック
caddy validate --config /etc/caddy/Caddyfile

# 接続を切断せずにリロード
sudo systemctl reload caddy

5. 高度な機能：オンデマンドTLS

Caddyは「オンデマンドTLS」というユニークな機能を提供しています。これは、ユーザーが独自のカスタムドメインをサーバーに向けて設定するSaaSプラットフォームに最適です。設定ファイルに1,000個のドメインをリストアップする代わりに、Caddyは新しいドメインへの最初のリクエストが届いた瞬間に証明書を生成します。

{
    on_demand_tls {
        # ドメインが許可されているか確認するエンドポイント
        ask http://localhost:5000/check-domain
    }
}

:443 {
    tls {
        on_demand
    }
    reverse_proxy localhost:3000
}

ask エンドポイントは重要なセキュリティステップです。Caddyはバックエンドに「このドメインは許可されていますか？」と問い合わせます。これにより、攻撃者がランダムなドメインをあなたのIPに向け、証明書の発行制限（レートリミット）を使い果たすのを防ぎます。

なぜCaddyが選ばれるのか

Caddyは単に時間を節約するだけでなく、ヒューマンエラーの可能性を減らします。私がこれまでに見てきた本番環境の障害の多くは、証明書の期限切れや、誰も理解できない複雑なNginxのリライトルールに起因していました。Caddyのシンプルさは、それらのリスクを排除します。新しいプロジェクトを始める場合や、Certbotの管理に疲れた場合は、Caddyがスタックの次のステップとして論理的な選択肢となるでしょう。

Share:
Tags: