エアギャップ環境構築

エアギャップとは、ネットワークから完全に隔離されたオフライン環境で動作する専用マシンを指します。
ステークプール運用では、ウォレットおよびプール運営用の秘密鍵を安全に管理し、オフラインで cardano-cli によるトランザクション署名を行うために使います。
背景の整理は Wikipedia の解説 を参照してください。

方針

エアギャップ環境としての安全性を確保するため、本マニュアルでは USB ブートで Ubuntu 24.04 を物理マシンへネイティブインストールし、既存 OS を削除した単一 OS 構成で運用することを前提とします。

Live ブート、デュアルブート、およびホスト OS に依存する仮想化・コンテナ（ハイパーバイザー型・OS レベル仮想化を含む）は、永続性やセキュリティ境界を十分に保証できないため、本マニュアルでは採用しません。

エアギャップの構築手順

1. Ubuntu Desktopイメージの取得

Ubuntu Desktop イメージファイルをダウンロードします。

Ubuntu 24.04.* (Noble Numbat)

ダウンロード完了まで少しかかるのでしばらくお待ちください。

2. USBブートディスク作成（balenaEtcher）

balenaEtcherは、無料かつオープンソースのUSB書き込みツールであり、Ubuntuインストールに使用するブート可能なUSBメディアを安全かつ簡単に作成できます。

前提条件

Etcherのインストール

balenaEtcherの公式サイトにアクセスし、インストーラーをダウンロードしてインストールします。

https://etcher.balena.io

USBメディアの作成

USBブートディスクを作成します。

1. USBメモリをPCに挿入します。

USBポートに正しく接続されていることを確認してください。

2. Etcherを起動します。

3. Ubuntu ISO イメージを選択します。

「Flash from file」を選択し、事前にダウンロードしたUbuntu ISO イメージファイルを選択します。

4. USBメモリを選択します。

「Select target」を選択し、書き込み先となるUSBメモリを選択後、「Select 1」を選択します。

5. 「Flash」を実行します。
「Flash!」を選択すると書き込み権限の付与が求められるのでPC（Windows/macOS）の管理者パスワードを入力し、「Ok」を選択します。

「balenaEtcher.app がリムーバブルボリューム上のファイルにアクセスしようとしています。」というダイアログが表示された場合は、「許可」を選択してください。
USBメモリの書き込み速度に依存しますが、処理の完了まで数分から15分程度を要します。

6. 書き込み完了後の確認

書き込みが完了するとEtcher上で「Flash Completed!」と表示されますので画面を閉じて終了し、USBを抜いてください。

3. USBブートによるUbuntuの起動

1. エアギャップとして使用するPCに先ほど書き込んだUSBを挿入します。
2. コンピューターを起動します。
3. 表示されたメニューから「Try or Install Ubuntu」を選択し、Enterキーを押下します。
   その後は画面の指示に従って通常のUbuntu Desktopのインストールを進めてください。

Ubuntuが起動しない場合は、コンピューターを再起動してください。
その際Windowsでは主にF12、MacだとOptionまたはAltキーを押し続けてください。

インストーラーのセットアップ

以降の画像は一例であり、環境によって表示が異なる場合があります。

1. 言語を選択。
   

2. アクセシビリティ設定は選択せず、「次」を選択します。
   

3. 使用しているキーボードレイアウトを選択します。
   

4. 「今はインターネットに接続しない」を選択します。
   

5. 「Ubuntuをインストール」を選択します。
   

6. 対話型インストール「対話式インストール」を選択します。
   

7. 「規定の選択」を選択します。
   

8. 不要なドライバやバイナリを最小化するため、サードパーティ製ソフトウェアはインストールしません。
   

ディスクのセットアップ

1. 「ディスクを削除してUbuntuをインストールする」を選択します。

2. ユーザー名とパスワードを設定します。
   

コンピューター名の末尾は自動で入力されます。

3. タイムゾーンの選択をします。

4. インストールの準備が完了したので確認し、「インストール」を選択します。
   

インストールの完了

1. インストール完了画面を待機し、完了後「今すぐ再起動」を選択します。

2. USBを取り外すため「Enter」を押下してください。
   「Enter」を押下後、すぐUSBを抜いてください。
   

3. ログイン画面でパスワードを入力します。

追加設定

1. 以下の画面が表示されたら右上の「次へ」を選択します。
   

2. 「Skip for now」が選択されていることを確認し、右上の「スキップ」を選択します。
   

3. 「いいえ、システムデータを共有しません」を選択し、右上の「次へ」を選択します。
   

4. 右上の「完了」を選択します。
   

5. 追加設定が完了しました。
   

ターミナルの設定

1. ターミナルの設定をするため左下のアイコンを選択し、「端末」アイコンを選択します。
   

2. ターミナルを右クリックして、「ダッシュボードにピン留め」を選択します。
   

各種設定

1. ブラケットペーストモードの無効化設定をします。

echo 'set enable-bracketed-paste off' >> ~/.inputrc

2. ターミナルを終了します。

exit

3. ディスプレイ設定（任意）
   好みに応じて、画面を右クリックして「Display Settings」を開き、「Scale」を「200%」に設定します。

通信機能の完全無効化

エアギャップとして運用するため、Wi-Fi / Bluetooth / 有線通信を含むすべてのネットワーク機能をOSレベルで無効化します。

機内モードは再起動後に解除されるため使用しません。

1. NetworkManagerの完全停止

sudo systemctl stop NetworkManager

sudo systemctl disable NetworkManager

2. Bluetooth サービスの完全無効化

sudo systemctl stop bluetooth

sudo systemctl disable bluetooth

sudo systemctl mask bluetooth

3. rfkill による無線デバイス遮断

sudo rfkill block all

4. 無線デバイス遮断の確認

rfkill list

Soft blocked: yes であることを確認します。

5. rfkill の永続化

sudo tee /etc/systemd/system/rfkill-block.service > /dev/null << 'EOF'
[Unit]
Description=Block all radios (air-gapped)
After=multi-user.target

[Service]
Type=oneshot
ExecStart=/usr/sbin/rfkill block all

[Install]
WantedBy=multi-user.target
EOF

6. 有効化

sudo systemctl daemon-reload

sudo systemctl enable rfkill-block.service

7. システムを再起動します。

sudo reboot

状態確認

1. NetworkManager

nmcli general status

Error: NetworkManager is not running.

2. Wi-Fi / 無線

nmcli radio

Error: NetworkManager is not running.

3. rfkill

rfkill list

Soft blocked: yes であることを確認します。

4. Bluetooth サービスの状態確認

systemctl status bluetooth --no-pager

○ bluetooth.service
     Loaded: masked (Reason: Unit bluetooth.service is masked.)
     Active: inactive (dead)

以上の設定によりエアギャップ環境の構築が完了しました。

4. 旧エアギャップからの移行

VirtualBox などで運用していた 旧エアギャップから、本ページで構築した物理マシン上の 新エアギャップへ、cnode と cold-keys を移します。

手順はこのあとの見出し（環境変数 → ファイルの移動 → cardano-cli）の順です。
LAN／Wi‑Fi は接続せず、USB メモリ等でファイルのみを運んでください。

環境変数の設定

新エアギャップで実行します。

echo 'export NODE_HOME="$HOME/cnode"' >> ~/.bashrc
echo 'export NODE_NETWORK="--mainnet"' >> ~/.bashrc
echo 'export CARDANO_NODE_NETWORK_ID=mainnet' >> ~/.bashrc
echo alias airgap="'cd $HOME/cnode && [ -f airgap-set.tar.gz ] && tar -xOzf airgap-set.tar.gz airgap_script | bash -s verify || echo "airgap-set.tar.gz が見つかりません"'" >> $HOME/.bashrc

source ~/.bashrc
mkdir -p ${NODE_HOME}

ファイルの移動

オフラインのみで $HOME/cnode と $HOME/cold-keys を旧から新へ移管します（$HOME は各環境のログインユーザーのホーム、通常 /home/<ユーザー名>）。

旧エアギャップ

chmod u+rx $HOME/cold-keys

共有フォルダまたはゲストへマウントした USB に、cnode と cold-keys をディレクトリ単位で書き出します。

新エアギャップ

書き出した内容を $HOME/cnode と $HOME/cold-keys として配置します。

chmod a-rx $HOME/cold-keys

cardano-cliのインストール

新エアギャップで実行します。

バイナリーファイルコピー に従って実行ファイルを配置してください。