install

2 unmask 本体をインストール ?リポジトリ方式: まず unmask-release を 1 回インストールしてリポジトリ設定と GPG 公開鍵を入れる。以降は dnf install unmask / apt install unmask で本体をインストール / アップグレードできる。署名検証はパッケージマネージャーが自動で行う。

インストール直後: unmask の daemon が自動で起動し (127.0.0.1:9477)、パッケージがセットアップトークンを表示して /var/lib/unmask/.setup-token に保存する。セットアップウィザードは section 4 で起動する。

アップグレード: sudo dnf upgrade 'unmask*' (deb は sudo apt upgrade、Alpine は sudo apk upgrade)。daemon の再起動はパッケージが行う。

sudo dnf install -y https://unmask.sh/dl/rpm/unmask-release-latest.noarch.rpm
sudo dnf install -y unmask

sudo yum install -y https://unmask.sh/dl/rpm/unmask-release-latest.noarch.rpm
sudo yum install -y unmask

sudo yum install -y https://unmask.sh/dl/rpm/unmask-release-latest.noarch.rpm
sudo yum install -y unmask

curl -fsSLO https://unmask.sh/dl/deb/unmask-release-latest.deb
sudo apt install -y ./unmask-release-latest.deb
sudo apt update && sudo apt install -y unmask

wget https://unmask.sh/dl/apk/unmask-release-latest.apk
sudo apk add --allow-untrusted ./unmask-release-latest.apk
sudo apk update && sudo apk add unmask

3 unmask-plugin-nginx (native plugin) をインストール ?前提: nginx は事前にインストールしておきます (section 4 で unmask-web-nginx を入れる際に、依存解決で自動的にインストールもされます)。

postinstall: load_module を distro 慣例のディレクトリ (/usr/share/nginx/modules/ または /etc/nginx/modules-enabled/) に自動で配置します。 15 種類の nginx バージョン × OpenSSL 1.0 / 1.1 / 3 の全 ABI 分の .so を同梱 (1.10 ~ 1.30 系 / glibc) しているため、ホストの nginx のパッチレベルに合ったモジュールを自動で選びます。手動での編集は不要です。

nginx をアップグレードした場合: ABI 不一致で nginx -t がエラーになるので、sudo dnf upgrade unmask-plugin-nginx (deb は sudo apt install --only-upgrade unmask-plugin-nginx) で同じバージョンに揃えます。

sudo dnf install -y unmask-plugin-nginx

sudo yum install -y unmask-plugin-nginx

sudo yum install -y unmask-plugin-nginx

sudo apt install -y unmask-plugin-nginx

sudo apk add unmask-plugin-nginx

sudo dnf module reset -y nginx
sudo dnf module install -y nginx:1.24

sudo yum install -y epel-release
sudo yum install -y nginx

# A. EPEL 経由 (nginx 1.10.3 / OS ecosystem 内. 推奨)
sudo rpm -Uvh http://archive.kernel.org/centos-vault/6.10/extras/x86_64/Packages/epel-release-6-8.noarch.rpm
sudo yum install -y nginx

# B. nginx.org HTTP repo (nginx 1.18.0 / より新しめ)
sudo tee /etc/yum.repos.d/nginx.repo <<'EOF'
[nginx]
name=nginx repo
baseurl=http://nginx.org/packages/centos/6/x86_64/
gpgcheck=0
enabled=1
EOF
sudo yum install -y nginx

4 unmask-web-nginx (Web 連携スニペット) をインストール ?postinstall が upstream のシンボリックリンクと下記の include を配置し、nginx -t で検証してからセットアップウィザードの URL を表示します。動作中の nginx には触りません — ウィザードの URL は、この後ご自身で行う再起動のあとに開けるようになります。

JA4 maps の include は完全に自動: postinstall が /etc/nginx/conf.d/00-unmask.conf から /var/lib/unmask/nginx/http.inc へのシンボリックリンクを配置します。どの distro でも標準で書かれている include /etc/nginx/conf.d/*.conf; (Alpine は /etc/nginx/http.d/) によって自動で読み込まれるため、http {} block の編集は不要です。

sudo dnf install -y unmask-web-nginx

sudo yum install -y unmask-web-nginx

sudo yum install -y unmask-web-nginx

sudo apt install -y unmask-web-nginx

sudo apk add unmask-web-nginx

5 保護したい server {} で challenge を発火 (ON/OFF スイッチ) ?このハイライト行が unmask の ON/OFF スイッチです。追加すれば bot 対策が発火し、外せば ブロック / challenge は即停止して、利用者の通信に影響しなくなります。アクセスログ経由の統計はどちらの状態でも流れ続けるので、「監視 (統計のみ) → 試運転 (1 つの location で発火) → 本番 (全域で発火)」と段階的に進める運用が安全です。

書くのは 2 行だけ: server { } 直下に include /var/lib/unmask/nginx/server.inc;、保護したい場所に include /var/lib/unmask/nginx/protect.inc;。それ以外 (rate-limit zone / challenge 振り分け / JA4 maps) は admin が /var/lib/unmask/nginx/ に生成し、section 4 の conf.d のシンボリックリンク経由で自動的に読み込まれます。

rate / burst / 適用パスは 設定 → rate-limit タブで設定します。admin UI を特定のドメインに限定したい場合は 設定 → ネットワーク → admin_allowed_hosts で設定します。

対象の server {} block (既存 nginx vhost の .conf) に 青色 (ハイライト) の行を追加します。ハイライト以外はあなたの既存の設定です (例は reverse proxy。静的配信 (root + try_files) でも追加する行は同じ)。

既存の location を編集せず、この block を 1 つ追加するだけです。

server {
    listen 443 ssl http2;
    server_name example.com;
    ssl_certificate ...;

    include /var/lib/unmask/nginx/server.inc;   # ← unmask 本体 (challenge 配信・BAN・管理画面)
    include /var/lib/unmask/nginx/protect.inc;  # ← location 外 (全 location 対象)

    location / {                              # ← user の既存 location は無編集
        proxy_pass http://your-upstream;
    }
}

server {
    listen 443 ssl http2;
    server_name example.com;
    ssl_certificate ...;

    include /var/lib/unmask/nginx/server.inc;   # ← unmask 本体 (challenge 配信・BAN・管理画面)

    location /login {                         # ← 認証 endpoint だけ保護 (brute-force 対策)
        include /var/lib/unmask/nginx/protect.inc;  # ← この location だけ対象
        proxy_pass http://your-upstream;
    }

    location / {                              # ← 他は保護対象外
        proxy_pass http://your-upstream;
    }
}

server {
    listen 443 ssl http2;
    server_name example.com;
    ssl_certificate ...;

    include /var/lib/unmask/nginx/server.inc;   # ← unmask 本体 (challenge 配信・BAN・管理画面)

    location /api/ {                          # ← JSON API は除外 (token auth, browser cookie 不要)
        proxy_pass http://your-api-upstream;
    }

    location /static/ {                       # ← 静的資産は除外
        root /var/www/example;
        expires 1d;
    }

    location / {                              # ← catch-all (除外以外をここで保護)
        include /var/lib/unmask/nginx/protect.inc;  # ← catch-all 内 (除外以外を保護)
        proxy_pass http://your-upstream;
    }
}

編集が終わったら設定を反映します。plugin のインストール後にまだ nginx を restart していない場合は restart します (reload では新しいモジュールを読み込めません)。以降の設定変更は reload で十分です:

sudo nginx -t && sudo systemctl restart nginx

sudo nginx -t && sudo service nginx restart

sudo nginx -t && sudo rc-service nginx restart

0.1.53 からは、設定を保存した後の reload を自動にもできます: sudo systemctl enable --now unmask-nginx-reload.timer。この timer は unmask-web-nginx に無効のまま同梱されていて、5 分ごとに、書き出しで設定が変わっていて nginx -t が通るときだけ nginx を reload します (10 分に 1 回まで。restart はせず、OS の更新で差し替わったライブラリを nginx がまだ掴んでいるときは reload せずに「restart が要る」と journal に書きます)。systemd の無い環境では /usr/share/unmask/nginx-reload-if-stale.sh を cron で実行してください。