【画像解説】SSHポートフォワード：実践的な３つの多段(踏台)接続方法

SSHのポートフォワード機能は、端末(Windows)から直接目的のサーバ(アプリサーバ)にアクセスできない場合に利用する方法です。

SSHポートフォワードは、図１のように「端末(Windows)」が「踏台サーバ」を経由することで、目的のサーバ(「アプリサーバ」)に接続できます。この仕組みにより、「アプリサーバ」は外部(許可無)から直接アクセスされるリスクを軽減し、かつ許可された外部(許可有)の「端末」だけがアクセス可能となります。

図１(ローカルポートフォワード)

この機能は、「踏台サーバ(SSHサーバ)」を経由して、「アプリサーバ」のSSH接続(22/tcp)だけではなく、HTTPS(443/tcp)、RDP(3389/tcp)など様々なアプリ通信が可能となります。

※今回は、「端末(Windows)」が目的のサーバ(「アプリサーバ」)にSSH接続(22/tcp)することに特化して以下３つの実践的な利用方法を解説いたします。

１．端末(Winodws)のエフェメラルポートを利用したローカルポートフォワード※このサイトで解説

２．踏台サーバのエフェメラルポートを利用したローカルポートフォワード

 ３．踏台サーバが許可した端末のエフェメラルポートを利用したリモートポートフォワード

contents

端末(Winodws)のエフェメラルポートを利用したローカルポートフォワード
各サーバ間の通信状況のまとめ

端末(Winodws)のエフェメラルポートを利用したローカルポートフォワード

目的

「端末(Windows)」側でSSHポートフォワードを実行、「端末(Windows)」が「踏台サーバ」を経由して「アプリサーバ」へSSH接続する場合に利用します。

接続イメージ図

構成概要

端末(Windows)：「踏台サーバ」へSSH接続をします。ループバックアドレス(localhost)のエフェメラルポートを使って「アプリサーバ」にSSH接続します。
踏台サーバ：このサーバにSSH接続してきた「端末(Windows)」を「アプリサーバ」にSSH接続させるサーバです。
アプリサーバ：SSHサービスが稼働しているサーバです。「端末(Windows)」がSSH接続したい目的のサーバです。

条件

「端末(Windows)」にSSHコマンドを実行できる環境を用意する必要があります。
＜例＞
　　BashエミュレータをインストールするとWindows端末でSSHコマンドを実行することできます。
　　Git Bashエミュレータ
　　　URL：https://gitforwindows.org/
端末（Windows）のエフェメラルポート「10022/tcp」を使用します。
「端末（Windows）」から「踏み台サーバ」の「22/tcp」ポート(SSH)にアクセスできる必要があります。

SSHポートフォワードのコマンド

※「端末(Windows)」でBashエミュレータを起動して実行します。

ssh -L localhost:10022:10.10.20.30:22 user@10.10.20.10

ー＞実行後、「踏台サーバ」の「10.10.20.10」にSSH接続するログインID(user)とパスワードを入力する。

コマンド説明

-Lはローカルポートフォワードを指定します。-Lオプションを使用することで、「端末(Windows)」の指定したローカルポート(10022/tcp)を、「アプリサーバ」の指定ポート(22/tcp)に接続します。
localhostは「端末(Windows)」自身を指しローカルループバック(127.0.0.1)のIPアドレスです。ローカルループバックを指定する場合は省略可能です。
:10022は「端末(Windows)」側でLISTENするポート番号です。
:10.10.20.30はポートフォワードの宛先である「アプリサーバ」のIPアドレスです。
:22は「アプリサーバ」でSSHサービスがLISTENしているポートです。このポートに接続するためにフォワーディングされます。
user@10.10.20.10は「踏台サーバ」に対するログイン情報です。「user」はSSH接続利用時のログインIDです。