OmniRoute — Deployment Guide on VM with Cloudflare (日本語)

前提条件

項目	最小要件	推奨要件
CPU	1 vCPU	2 vCPU
RAM	1 GB	2 GB
ディスク	10 GB SSD	25 GB SSD
OS	Ubuntu 22.04 LTS	Ubuntu 24.04 LTS
ドメイン	Cloudflareに登録済み	—
Docker	Docker Engine 24+	Docker 27+

テスト済みのプロバイダー: Akamai (Linode)、DigitalOcean、Vultr、Hetzner、AWS Lightsail。

1. VMを構成する

1.1 インスタンスを作成する

任意のVPSプロバイダーで、以下を実行します。

Ubuntu 24.04 LTSを選択する
最小プラン（1 vCPU / 1 GB RAM）を選択する
強力なrootパスワードを設定するか、SSHキーを構成する
パブリックIP（例: 203.0.113.10）を控える

1.2 SSHで接続する

ssh root@203.0.113.10

1.3 システムを更新する

apt update && apt upgrade -y

1.4 Dockerをインストールする

# 依存関係をインストール
apt install -y ca-certificates curl gnupg

# Docker公式リポジトリを追加
install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | gpg --dearmor -o /etc/apt/keyrings/docker.gpg
chmod a+r /etc/apt/keyrings/docker.gpg
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu $ (. /etc/os-release && echo "$VERSION_CODENAME") stable" | tee /etc/apt/sources.list.d/docker.list > /dev/null
apt update
apt install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin

1.5 nginxをインストールする

apt install -y nginx

1.6 ファイアウォール（UFW）を構成する

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp    # SSH
ufw allow 80/tcp    # HTTP（リダイレクト）
ufw allow 443/tcp   # HTTPS
ufw enable

ヒント: セキュリティを最大限に高めるには、ポート80と443へのアクセスをCloudflareのIPのみに制限してください。高度なセキュリティセクションを参照してください。

2. OmniRouteをインストールする

2.1 構成ディレクトリを作成する

mkdir -p /opt/omniroute

2.2 環境変数ファイルを作成する

cat > /opt/omniroute/.env << 'EOF'
# === セキュリティ ===
JWT_SECRET=CHANGE-TO-A-UNIQUE-64-CHAR-SECRET-KEY
INITIAL_PASSWORD=YourSecurePassword123!
API_KEY_SECRET=REPLACE-WITH-ANOTHER-SECRET-KEY
STORAGE_ENCRYPTION_KEY=REPLACE-WITH-THIRD-SECRET-KEY
STORAGE_ENCRYPTION_KEY_VERSION=v1
MACHINE_ID_SALT=CHANGE-TO-A-UNIQUE-SALT
OMNIROUTE_WS_BRIDGE_SECRET=REPLACE-WITH-WS-BRIDGE-SECRET  # 本番環境では必須: Codex Responses WSブリッジで使用

# === アプリ ===
PORT=20128
NODE_ENV=production
HOSTNAME=0.0.0.0
DATA_DIR=/app/data
APP_LOG_TO_FILE=true
AUTH_COOKIE_SECURE=true
REQUIRE_API_KEY=false

# === URL（使用するドメインに変更） ===
# スケジュールされたジョブや自己フェッチ用の、サーバー間通信向け内部ベースURL。
BASE_URL=http://127.0.0.1:20128
# OAuthコールバック、ダッシュボードのリンク、生成される公開URLに使用するブラウザー向けURL。
NEXT_PUBLIC_BASE_URL=https://llms.seudominio.com
# 生成される公開アセットURLに使用する、任意の明示的な公開オリジンの上書き設定。
# OMNIROUTE_PUBLIC_BASE_URL=https://llms.seudominio.com

# === クラウド同期（任意） ===
# CLOUD_URL=https://cloud.omniroute.online
# NEXT_PUBLIC_CLOUD_URL=https://cloud.omniroute.online
EOF

⚠️ 重要: 一意の秘密鍵を生成してください。各キーの生成にはopenssl rand -hex 32を使用してください。

2.3 コンテナを起動する

docker pull diegosouzapw/omniroute:latest

docker run -d \
  --name omniroute \
  --restart unless-stopped \
  --env-file /opt/omniroute/.env \
  -p 20128:20128 \
  -v omniroute-data:/app/data \
  diegosouzapw/omniroute:latest

2.4 正常に実行されていることを確認する

docker ps | grep omniroute
docker logs omniroute --tail 20

[DB] SQLite database readyおよびlistening on port 20128と表示されるはずです。

3. nginx の設定（リバースプロキシ）

3.1 SSL 証明書の生成（Cloudflare Origin）

Cloudflare ダッシュボードで、以下を実行します。

SSL/TLS → Origin Server に移動します
Create Certificate をクリックします
デフォルト設定（15 年、*.yourdomain.com）のままにします
Origin Certificate と Private Key をコピーします

mkdir -p /etc/nginx/ssl

# 証明書を貼り付けます
nano /etc/nginx/ssl/origin.crt

# 秘密鍵を貼り付けます
nano /etc/nginx/ssl/origin.key

chmod 600 /etc/nginx/ssl/origin.key

3.2 Nginx の設定

cat > /etc/nginx/sites-available/omniroute << 'NGINX'
# デフォルトサーバー — IP アドレス経由の直接アクセスをブロックします
server {
    listen 80 default_server;
    listen [::]:80 default_server;
    listen 443 ssl default_server;
    listen [::]:443 ssl default_server;
    ssl_certificate     /etc/nginx/ssl/origin.crt;
    ssl_certificate_key /etc/nginx/ssl/origin.key;
    server_name _;
    return 444;
}

# OmniRoute — HTTPS
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name llms.yourdomain.com;  # 使用するドメインに変更してください

    ssl_certificate     /etc/nginx/ssl/origin.crt;
    ssl_certificate_key /etc/nginx/ssl/origin.key;
    ssl_protocols TLSv1.2 TLSv1.3;

    client_max_body_size 100M;

    location / {
        proxy_pass http://127.0.0.1:20128;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # WebSocket のサポート
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";

        # SSE（Server-Sent Events）— AI レスポンスのストリーミング
        proxy_buffering off;
        proxy_cache off;
        proxy_read_timeout 600s;
        proxy_send_timeout 600s;
    }
}

# HTTP → HTTPS リダイレクト
server {
    listen 80;
    listen [::]:80;
    server_name llms.yourdomain.com;
    return 301 https://$server_name$request_uri;
}
NGINX

リバースプロキシのストリームタイムアウトを、OmniRoute のタイムアウト環境変数と一致させてください。FETCH_TIMEOUT_MS / STREAM_IDLE_TIMEOUT_MS を大きくする場合は、proxy_read_timeout / proxy_send_timeout も同じしきい値より大きくしてください。

OmniRoute は、OAuth コールバックおよび生成される公開リンクの、ブラウザー向けの正規オリジンとして NEXT_PUBLIC_BASE_URL を使用します。認証済みダッシュボードからの書き込みでは、同一オリジンリクエストとセッションに紐づいた CSRF 保護が使用されるため、静的な公開ベース URL は必要ありません。上記の X-Forwarded-* ヘッダーはルーティングメタデータとして引き続き有用ですが、OAuth または生成されるブラウザーリンクで明示的な公開 URL が必要な場合、その設定の代わりにはなりません。OmniRoute にクライアントから直接アクセスできず、かつプロキシが受信した転送ヘッダーを削除して再構築する場合にのみ、OMNIROUTE_TRUST_PROXY を有効にしてください。

3.3 有効化とテスト

# デフォルト設定を削除します
rm -f /etc/nginx/sites-enabled/default

# OmniRoute を有効にします
ln -sf /etc/nginx/sites-available/omniroute /etc/nginx/sites-enabled/omniroute

# テストして再読み込みします
nginx -t && systemctl reload nginx

4. Cloudflare DNS の設定

4.1 DNS レコードの追加

Cloudflare ダッシュボード → DNS で、以下を設定します。

タイプ	名前	コンテンツ	プロキシ
A	`llms`	`203.0.113.10`（VM IP）	✅ プロキシ済み

4.2 SSL の設定

SSL/TLS → Overview で、以下を設定します。

モード: Full (Strict)

SSL/TLS → Edge Certificates で、以下を設定します。

Always Use HTTPS: ✅ オン
Minimum TLS Version: TLS 1.2
Automatic HTTPS Rewrites: ✅ オン

4.3 テスト

curl -sI https://llms.seudominio.com/health
# HTTP/2 200 が返されること

5. 運用とメンテナンス

新しいバージョンへのアップグレード

docker pull diegosouzapw/omniroute:latest
docker stop omniroute && docker rm omniroute
docker run -d --name omniroute --restart unless-stopped \
  --env-file /opt/omniroute/.env \
  -p 20128:20128 \
  -v omniroute-data:/app/data \
  diegosouzapw/omniroute:latest

ログの表示

docker logs -f omniroute          # リアルタイムストリーム
docker logs omniroute --tail 50   # 最後の50行

データベースの手動バックアップ

# ボリュームからホストへデータをコピー
docker cp omniroute:/app/data ./backup-$(date +%F)

# または、ボリューム全体を圧縮
docker run --rm -v omniroute-data:/data -v $(pwd):/backup \
  alpine tar czf /backup/omniroute-data-$(date +%F).tar.gz /data

バックアップからの復元

docker stop omniroute
docker run --rm -v omniroute-data:/data -v $(pwd):/backup \
  alpine sh -c "rm -rf /data/* && tar xzf /backup/omniroute-data-YYYY-MM-DD.tar.gz -C /"
docker start omniroute

6. 高度なセキュリティ

nginx へのアクセスを Cloudflare IP に制限

cat > /etc/nginx/cloudflare-ips.conf << 'CF'
# Cloudflare の IPv4 範囲 — 定期的に更新してください
# https://www.cloudflare.com/ips-v4/
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
set_real_ip_from 103.22.200.0/22;
set_real_ip_from 103.31.4.0/22;
set_real_ip_from 141.101.64.0/18;
set_real_ip_from 108.162.192.0/18;
set_real_ip_from 190.93.240.0/20;
set_real_ip_from 188.114.96.0/20;
set_real_ip_from 197.234.240.0/22;
set_real_ip_from 198.41.128.0/17;
set_real_ip_from 162.158.0.0/15;
set_real_ip_from 104.16.0.0/13;
set_real_ip_from 104.24.0.0/14;
set_real_ip_from 172.64.0.0/13;
set_real_ip_from 131.0.72.0/22;
real_ip_header CF-Connecting-IP;
CF

nginx.conf の http {} ブロック内に以下を追加します。

include /etc/nginx/cloudflare-ips.conf;

fail2ban のインストール

apt install -y fail2ban
systemctl enable fail2ban
systemctl start fail2ban

# ステータスを確認
fail2ban-client status sshd

Docker ポートへの直接アクセスをブロック

# ポート20128への外部からの直接アクセスを防止
iptables -I DOCKER-USER -p tcp --dport 20128 -j DROP
iptables -I DOCKER-USER -i lo -p tcp --dport 20128 -j ACCEPT

# ルールを永続化
apt install -y iptables-persistent
netfilter-persistent save

7. Cloudflare Workers へのデプロイ（任意）

VM を直接公開せずに Cloudflare Workers 経由でリモートアクセスするには、以下を実行します。

# ローカルリポジトリ内で実行
cd omnirouteCloud
npm install
npx wrangler login
npx wrangler deploy

リポジトリ内の Cloudflare Tunnel の手順については、TUNNELS_GUIDE.md も参照してください。スタンドアロンの omnirouteCloud/ Worker は、別の関連リポジトリにあります。

ポート概要

ポート	サービス	アクセス
22	SSH	公開（fail2ban 使用）
80	nginx HTTP	HTTPS へリダイレクト
443	nginx HTTPS	Cloudflare Proxy 経由
20128	OmniRoute	localhost のみ（nginx 経由）

低メモリ／小規模 VPS 向けの最適化

小規模な VPS インスタンス（RAM 1 GB 以下）にデプロイする場合：

バックグラウンドサービスを無効にする — OMNIROUTE_DISABLE_BACKGROUND_SERVICES=1 を設定すると、スケジューラー、MCP サーバー、定期メンテナンスタスクがスキップされます。docs/reference/ENVIRONMENT.md を参照してください。
SQLite の WAL モードを使用する — デフォルトで有効になっており、同時読み取り時のピークメモリ使用量を削減します。
V8 ヒープに上限を設定する — OMNIROUTE_MEMORY_MB（例：512）を設定し、ランタイムが VM より大きな上限を算出しないようにします。docs/reference/ENVIRONMENT.md を参照してください。
高負荷リクエストの受け入れ制御はヒープ上限に応じて自動調整される – 上記の OMNIROUTE_MEMORY_MB を設定すると、取り込みバイト予算（OMNIROUTE_CHAT_MAX_INFLIGHT_BYTES）が同じ上限から自動的に算出されます。そのため、メモリに制約のある VM では追加調整なしで同時リクエスト予算が小さくなり、超過したリクエストはメモリを奪い合う代わりに、Retry-After を伴う再試行可能な 503 を受け取ります。これに加えて厳格な上限が必要な場合にのみ、従来のリクエスト数上限 OMNIROUTE_CHAT_MAX_HEAVY_IN_FLIGHT を設定してください。
VPS 上での next build を避ける — ローカルでビルドし、スタンドアロン出力（.next/standalone/）をデプロイしてください。
top / free -m で監視する — 1 GB の VM では、アイドル時の OmniRoute の RSS は通常 200～400 MB です。

OmniRoute ソースコード (a58000c7685f)

HagiCode

HagiCode は構造化ワークフロー、マルチエージェント実行、Hero Dungeon ビューを備えたエージェント型コーディングワークスペースです。

よりスマートで速く、楽しいエージェント型ワークフローで、使いやすいソフトウェアを形にします。

Smart構造化ワークフローは意図をアイデアから変更のリリースまで実行可能な道筋にします。
Efficientマルチエージェントのワークフローで調査、実装、レビューを並行して進めます。
FunHero Dungeon により長時間のコーディングを視覚的で協力的な体験にします。

HagiCode を見る

言語を選択