# パッケージリストを更新
sudo apt update
 
# Nginxとhtpasswdコマンドをインストール
sudo apt install nginx apache2-utils -y
 
# インストール確認
nginx -v
# nginx version: nginx/1.xx.x

# 「ollama_user」というユーザー名でパスワードを作成
# -c は新規作成（既存ファイルがある場合は上書き）
sudo htpasswd -c /etc/nginx/.htpasswd ollama_user
 
# パスワードの入力を求められる
New password: （入力してEnter）
Re-type new password: （確認のため再入力）
Adding password for user ollama_user
 
# ファイル内容を確認（ハッシュ化されていることを確認）
cat /etc/nginx/.htpasswd
# ollama_user:$apr1$随机字符...
 
# 2人目以降のユーザーを追加する場合（-cなしで実行）
sudo htpasswd /etc/nginx/.htpasswd second_user

# Nginxの設定ファイルを作成
sudo nano /etc/nginx/sites-available/ollama

server {
    listen 80;
    server_name _;  # または your-domain.com
 
    location / {
        # ベーシック認証を有効化
        auth_basic           "Restricted - Ollama API";
        auth_basic_user_file /etc/nginx/.htpasswd;
 
        # OllamaへのリバースProxy設定
        proxy_pass          http://127.0.0.1:11434;
        proxy_set_header    Host              $host;
        proxy_set_header    X-Real-IP         $remote_addr;
        proxy_set_header    X-Forwarded-For   $proxy_add_x_forwarded_for;
 
        # タイムアウト設定（AI応答は時間がかかるため長めに）
        proxy_read_timeout  300s;
        proxy_send_timeout  300s;
        proxy_connect_timeout 10s;
    }
}

# sites-availableからsites-enabledへシンボリックリンクを作成
sudo ln -s /etc/nginx/sites-available/ollama /etc/nginx/sites-enabled/
 
# デフォルト設定ファイルを無効化（競合を防ぐ）
sudo rm -f /etc/nginx/sites-enabled/default
 
# 設定ファイルの構文チェック（必ず実行！）
sudo nginx -t
# nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
# nginx: configuration file /etc/nginx/nginx.conf test is successful
 
# Nginxを再起動して設定を反映
sudo systemctl restart nginx
sudo systemctl enable nginx  # OS再起動後も自動起動

# 認証なしでアクセス → 401エラーが返ることを確認
curl -s -o /dev/null -w "%{http_code}" http://localhost/api/tags
# 401
 
# ユーザー名・パスワードを指定してアクセス → 200が返ることを確認
curl -u ollama_user:あなたのパスワード http://localhost/api/tags
# {"models":[...]}  ←正常なJSONが返ればOK！

server {
    listen 80;
    server_name _;
 
    location / {
        # X-API-Keyヘッダーを確認する
        # ヘッダーが一致しない場合は403を返す
        if ($http_x_api_key != "YOUR_SUPER_SECRET_KEY_HERE") {
            return 403 "Forbidden: Invalid API Key";
        }
 
        proxy_pass          http://127.0.0.1:11434;
        proxy_set_header    Host              $host;
        proxy_set_header    X-Real-IP         $remote_addr;
        proxy_read_timeout  300s;
        proxy_send_timeout  300s;
    }
}

# APIキーなしでアクセス → 403エラー
curl http://localhost/api/tags
# Forbidden: Invalid API Key
 
# 正しいAPIキーをヘッダーに付けてアクセス → 成功
curl -H "X-API-Key: YOUR_SUPER_SECRET_KEY_HERE" \
     http://localhost/api/tags
# {"models":[...]}  ← 成功！

server {
    listen 80;
    server_name _;
 
    location / {
        # まずAPIキーヘッダーをチェック
        # APIキーが正しければベーシック認証をスキップ
        if ($http_x_api_key = "YOUR_SECRET_KEY") {
            proxy_pass http://127.0.0.1:11434;
            break;
        }
 
        # APIキーがない場合はベーシック認証を要求
        auth_basic           "Restricted - Ollama API";
        auth_basic_user_file /etc/nginx/.htpasswd;
 
        proxy_pass          http://127.0.0.1:11434;
        proxy_read_timeout  300s;
    }
}

# Certbotをインストール（snap経由が推奨）
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot
 
# Nginx用の証明書を自動取得・設定
sudo certbot --nginx -d your-domain.com -d www.your-domain.com
 
# メールアドレス入力・利用規約同意が求められる
# 完了すると自動でNginx設定が更新される
 
# 自動更新のテスト
sudo certbot renew --dry-run
# Congratulations, all simulated renewals succeeded

# cloudflaredをインストール（Debian/Ubuntu）
curl -L --output cloudflared.deb \
    https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i cloudflared.deb
 
# Cloudflareアカウントにログイン（ブラウザが開く）
cloudflared tunnel login
 
# トンネルを作成
cloudflared tunnel create ollama-tunnel
 
# 設定ファイルを作成
nano ~/.cloudflared/config.yml

tunnel: ollama-tunnel
credentials-file: /root/.cloudflared/<UUID>.json
 
ingress:
  - hostname: ollama.your-domain.com
    service: http://127.0.0.1:80  # Nginxを経由させる
  - service: http_status:404

# UFWを有効化（無効の場合）
sudo ufw enable
 
# SSH接続を許可（必須！lockoutに注意）
sudo ufw allow ssh
 
# Nginx（HTTP/HTTPS）を許可
sudo ufw allow 'Nginx Full'
 
# Ollamaのポート11434は外部からブロック（ローカルのみ許可）
sudo ufw deny 11434
 
# 設定確認
sudo ufw status verbose
# To                         Action      From
# 22/tcp                     ALLOW IN    Anywhere
# Nginx Full                 ALLOW IN    Anywhere
# 11434                      DENY IN     Anywhere ← これで保護完了！