PR本記事はA8.netのアフィリエイト広告を含みます。XServer VPS公式の現行マニュアルを基準に、必要最小限のポートと確認順を整理します。
DifyアプリイメージではTCP 80・443が必須、SSH接続を使う場合だけTCP 22が任意です。パケットフィルターはON推奨。ドメイン・SSLクイック設定では必須ルールが自動追加されますが、パネル側とOS側のファイアウォールを両方確認し、使わないポートを追加しないことが基本です。
Difyで許可する3つのポート
| 用途 | ポート | 必要性 | 目的 |
|---|---|---|---|
| HTTP | TCP 80 | 必須 | Let's Encryptの証明書取得・更新 |
| HTTPS | TCP 443 | 必須 | ブラウザとの暗号化通信 |
| SSH | TCP 22 | 任意 | SSHクライアントからの管理 |
「Dockerで使われているから」という理由だけで、DB、Redis、Dify APIなどの内部ポートをインターネットへ追加公開する必要はありません。XServer VPS公式がDify利用に示す必須・任意ポートを起点に、追加は構成上の必要性を説明できる場合だけにします。
パケットフィルターはONが基本
XServer VPSのパケットフィルターは、VPSへの通信を許可するポートに絞る機能です。OFFではすべてのポートへの通信が許可され、自分でセキュリティ対策を行う必要があります。公式画面の「ONにする（推奨）」を選び、必要なルールだけを追加します。
ドメイン・SSLクイック設定を使う場合は、TCP 80・443の必須ルールが自動で追加されます。自動設定の有無を推測せず、VPSパネルで実際のルールを確認します。
パネルとOSの二重ゲートを確認
通信はXServer VPS側のパケットフィルターを通っても、OS側のファイアウォールで拒否されることがあります。逆に、OS側で許可していても、パケットフィルター側で許可されていなければ到達できません。
| 症状 | 確認する場所 |
|---|---|
| HTTPSだけ開かない | 443の両側許可、DNS、証明書、Webサービス |
| 証明書更新が失敗する | 80の両側許可、DNS到達性、更新処理 |
| SSH接続できない | 22の両側許可、送信元制限、SSHサービス |
| 不要なポートが見える | パケットフィルターとOS側ルールを両方整理 |
SSH 22を開ける前に復旧経路を確認
SSHは任意です。許可する場合は、固定IPを使えるなら送信元を限定し、鍵認証など接続方法も別途整えます。ルール変更前にXServer VPSのコンソールなど復旧経路を確認し、自分の接続元を誤って遮断しない順序で作業します。
社内限定Difyでは443番の送信元IPを限定できます。一方、回線のIPが変わる、外出先から使う、複数拠点がある場合は利用不能になり得ます。一般公開するアプリと社内管理画面を同じルールで考えないことが重要です。
設定と確認の安全な順番
- 利用URLとDNSの到達先を確認する
- パケットフィルターをONにする
- TCP 80・443のルールを確認・追加する
- SSHを使う場合だけTCP 22と送信元を設定する
- OS側ファイアウォールの同じポートを確認する
- HTTPS表示と証明書の状態を別回線でも確認する
- SSH接続とコンソール復旧経路を確認する
- 不要なルールを削除し、変更内容を記録する
ドメインとSSLを続けて確認
無料サブドメイン、独自ドメイン、証明書の自動更新条件を整理します。
契約前に運用責任まで比較
ポートを設定できることと、安全に運用し続けられることは別です。更新、バックアップ、監視、障害復旧を自分で持てる場合はセルフホストが候補になります。保守担当を置けない場合はDify Cloudも比較します。
参照した一次情報
情報確認日: 2026年8月17日。必須ポート、パケットフィルター、送信元IP制限、Difyアプリイメージの条件は、設定時点の公式マニュアルで再確認してください。