AiLab-JAPANエイアイ・ラボ・ジャパン

AiLab-JAPAN ／ 無償ツール ／ micro-monban

Tool 03 — Security / Raspberry Pi 5

LANケーブルの間に挟むだけ。
ラズパイ1台で、サーバーの守りを一段上へ。

micro-monban（マイクロ門番）は、ルーターやファイアウォール、Cloudflare だけでは届かない 「サーバーの直前」と「出ていく情報」を見張る、Raspberry Pi 5 の門番です。 自宅サーバーから中小企業のサーバー、社内のローカルサーバーまで。 低コストで、設定画面つき、メンテナンスも簡単です。

GitHub で入手する（無料） 導入・カスタマイズの相談

ここがすごい

🔌

挟むだけ

サーバーと LAN の間に置き、ケーブルを差し替えるだけ。サーバー側のソフトはほぼそのまま使えます。

💰

低コスト

ソフトは無料（Apache-2.0）。機材はラズパイ一式（数万円以内）。専用機器や月額サービスに比べて、コスパが圧倒的です。

🛡️

入口も出口も守る

攻撃を入口で止めるだけでなく、パスワード・鍵・個人情報が外へ出ていくのも止めます。

🖥️

設定画面つき

ブラウザの管理画面と、HDMI タッチモニターの本体画面。証明書の取得もウィザードで。

🔧

簡単メンテナンス

中身はただのラズパイ。予備の SD カードに差し替える、丸ごと交換する、リセットして入れ直す、だけで復旧。

📖

誰でも使える

導入はスクリプト1本。日本語・英語の説明書と、約40項目の自己試験つき。

なぜ「門番」が必要？

ルーター・ファイアウォール・Cloudflare は、どれも大切な「外側の扉」です。 でも、サーバーのすぐ手前で中身を見て、出ていく情報まで見張る役は、意外と空いています。 門番はそこを埋めます。

守りたいことルーター／FWCloudflare門番
使わないポートを閉じる◎○◎
大量アクセス（DDoS）を受け止める－◎－
SQL インジェクション・ディレクトリ外の読み出しを止める－○◎
攻撃ツールや怪しい振る舞いの相手を自動で締め出す－○◎
応答に混ざったパスワード・鍵・エラー内容を伏せ字に－△◎
個人情報の大量持ち出しを止める－△◎
サーバーを家庭・社内 LAN から切り離す△－◎
自分の設定の改竄を見張る－－◎
自分の手元で完結（月額なし）◎△◎

◎ 得意　○ できる　△ 条件つき・有料プランなど　－ 役割外

おすすめは組み合わせ。外側の広い守りはルーターや Cloudflare に、サーバーの直前の細かい守りは門番に。重ねるほど、ぐっと安全になります。

こんな方に

  • 自宅サーバーを公開したい（ブログ、ホームページ、写真の共有など）
  • 中小企業・事務所の Web サーバーや社内システムを、手頃な費用でしっかり守りたい
  • ローカル AI（Ollama など）や社内ツールを、外にも LAN にも直接さらさずに使いたい
  • 開発・検証用のサーバーを、安全に外へ見せたい

しくみ

サーバーは門番の内側の、LAN ケーブル1本だけの閉じた区画に置きます。 外からサーバーへ届く道は門番の中継だけ。門番はその道で、入るものと出るものの両方を検査します。

防御の一覧

🚪 入口（入ってくるもの）

  • 80/443 番以外は通さない防火壁（nftables）
  • 簡易 WAF：SQL インジェクション・ディレクトリ外の読み出し・攻撃ツールの名乗りを門前払い
  • 隠しファイル（.env・.git など）の探りを、サーバーに届く前に 404
  • SSH の総当たりを自動遮断
  • AI 振る舞い分析：エラーの多さや間隔の規則正しさから、怪しい相手を点数化して自動遮断
  • 低速でこっそり探る相手も、1時間単位で見つけて遮断

📤 出口（出ていくもの）

  • DLP（情報漏えい防止）：応答に混ざった API キー・トークン・パスワード・DB エラー・電話番号などを伏せ字に（15種類のルール。画面で追加・編集）
  • 個人情報 一括持ち出しガード：メール・電話・カード番号・マイナンバー・住所を数え、一度に大量に出ていくのを止める
  • 大量のデータの持ち出しや、エラーの連発を検知

🔍 自己防衛

  • 重要な設定ファイルの改竄を5分ごとに点検
  • 予定外の通信や待ち受けを検知
  • 緊急ブレーカー：外からの入口を閉じる・サーバーと切り離す、をワンクリックで

🔐 証明書と公開

  • Let's Encrypt の正式な証明書を自動で取得・更新
  • プロバイダが 80 番を止めている回線でも、MyDNS の DNS で取得可能
  • Cloudflare Tunnel にも対応

📨 通知

  • 異常をすぐメールで
  • 設定レポート：状態を1つの文書にまとめて、定期的にメール（引き継ぎにも）

設定は画面で

  • 管理画面（ブラウザ）：守りの状態、遮断した相手、警報の履歴をひと目で。スイッチの ON/OFF、許可リスト、メール通知、インターネット公開のウィザードまで、画面で操作できます。
  • 本体画面（HDMI タッチモニター）：PC がなくても、本体のモニターで状態を見て Wi-Fi などを設定。5分で自動ロック、初回はパスワードの変更を案内します。
  • インターネット公開ウィザード：ドメインを入れて「事前確認」→「本番取得して公開」。証明書の更新も自動、予行演習のボタンつき。

メンテナンスは簡単

  • おかしくなったら：予備の SD カードに差し替えるだけ。ラズパイが壊れても、新しいラズパイに差し替えるだけ。予備カードを作る道具も付いています。
  • リセットして入れ直す：取り外しスクリプトで元に戻し、導入スクリプトをもう一度。管理画面のパスワードを忘れても、作り直す手順があります。
  • ふだんは見ているだけ：異常はメールで届き、証明書は自動更新。自己試験で、守りが働いているかをいつでも確かめられます。

守れること・守れないこと

安心してお使いいただくために、守備範囲を正直にお伝えします。

守れること

  • サーバーを直接さらさない構成そのもの（閉じた区画・転送なし・入口は 80/443 番だけ）
  • よくある機械的な攻撃（攻撃ツール、SQL インジェクションやディレクトリ外の読み出し、隠しファイルの探り、SSH 総当たり）
  • アプリの不具合による「出ていく情報」の漏れの多く（鍵・トークン・DB エラー・電話番号などの伏せ字、個人情報の大量送信の停止）

守れないこと・限界

  • 大規模な DDoS（大量アクセス攻撃）は、ラズパイ1台と回線では吸収できません。必要なら Cloudflare などを前に置いてください。
  • WAF は簡易版です。業務用 WAF ほどの網羅性はありません。送られてくる本文（POST の中身）は検査しません。
  • DLP と個人情報ガードは推定です。すり抜けや誤検知もあります。
  • 1台構成です。予備の SD カードやラズパイを用意しておくと、すぐ復旧できます。IPv4 専用です。

はじめ方

必要なもの

  • Raspberry Pi 5 と microSD カード（16GB 以上）、Raspberry Pi OS（64-bit）
  • 有線 LAN ポート1つ（サーバー側）。外側は Wi-Fi か USB の LAN アダプタ
  • サーバー役の PC（Windows または Linux）と LAN ケーブル1本
  • インターネットに公開する場合は、ドメイン（DDNS の無料ドメインでも可）

導入の流れ

git clone https://github.com/takanyan12/monban.git micro-monban cd micro-monban sudo bash install/setup-gatekeeper.sh sudo bash install/setup-gatekeeper.sh --verify sudo bash tests/selftest.sh

詳しい手順は、GitHub の説明書（日本語・英語）にまとめています。 ソフトは Apache License 2.0 で、無料で使え、改造・再配布もできます（無保証）。

GitHub で入手する

導入のご相談

「自分の環境で使えるか知りたい」「設置から設定までお願いしたい」「社内システムに合わせて調整したい」。 導入支援やカスタマイズも承ります。初回のご相談は無償です。

お問い合わせ inoffice@ailab-japan.com