Posted inNetwork

SSHトンネル設定ガイド：ローカル、リモート、ダイナミックポートフォワーディング

Network tutorial - IT technology blog
Network tutorial - IT technology blog

問題提起：SSHでネットワークの壁を乗り越える

仕事では、ファイアウォールの内側にあるサービスにアクセスしたり、公共の場所で作業する際に接続を保護したりする必要が頻繁にあります。自宅から社内データベースにアクセスしたり、開発マシンで直接ポートを開かずにWebhookをテストしたりする方法について疑問に思ったことはありませんか？

その際、SSHは単なるリモートログインツールではありません。私にとって、それは技術者にとって万能な「スイスアーミーナイフ」のようなものです。安全なシェルを提供するだけでなく、SSHは暗号化されたトンネルを構築できます。これらのトンネルにより、ネットワークトラフィックを安全かつ柔軟に転送できます。50人規模のオフィスと小規模データセンターのネットワーク管理経験から、私はSSHトンネルが特に効果的であると認識しています。それは多くの複雑なタスクを簡素化し、セキュリティを大幅に強化します。

この記事では、最も一般的な3種類のSSHトンネル、すなわちローカル、リモート、およびダイナミックポートフォワーディングについて掘り下げていきます。それぞれの使用場面、詳細な設定方法、そしてすぐに業務に応用できる実践的な例を説明します。

核心概念：SSHトンネルとは？

詳細に入る前に、SSHトンネルとは、SSH中間サーバーを介して2点間に暗号化された通信チャネルを作成することだとシンプルに想像してください。このトンネルを通過するすべてのデータは暗号化され、盗聴やなりすましなどの脅威から保護されます。これは、暗号化されていないサービス（HTTP、Telnet、一般的なデータベースなど）に公共ネットワーク経由で安全にアクセスする必要がある場合に特に役立ちます。

主なタイプは3つあり、それぞれ異なる目的に対応します。

  • Local Port Forwarding (ローカルポートフォワーディング): リモートサーバー上のサービスに、それがあなたのローカルマシン上で実行されているかのようにアクセスしたい場合。
  • Remote Port Forwarding (リモートポートフォワーディング): ローカルマシン上のサービスを、リモートサーバーから、またはそのリモートサーバーを介して別の場所からアクセスできるようにしたい場合。
  • Dynamic Port Forwarding (ダイナミックポートフォワーディング) (SOCKSプロキシ): リモートサーバーをプロキシとして使用し、すべてのネットワークトラフィックをそこ経由でルーティングしたい場合。実際のIPアドレスを隠したり、ネットワーク検閲を回避したりするのに非常に便利です。

詳細な実践：各種SSHトンネルの設定

Local Port Forwarding (ローカルマシンから外部への接続)

Local Port Forwardingはいつ必要か？

Local Port Forwardingは私が最も頻繁に利用するケースです。あなたが自宅にいて、データセンターのサーバー上で動作しているウェブアプリケーションの管理インターフェース（admin panel）にアクセスする必要があると想像してください。このアプリケーションは内部ポート（例：8080）でのみリッスンしており、セキュリティ上の理由からインターネットには公開されていません。あるいは、サーバー上のデータベース（PostgreSQL、MySQL）に接続する必要があるが、そのデータベースも外部からの接続を許可していない場合です。

サーバーにSSHでログインしてからcurlやCLIクライアントを使用して操作する代わりに、私はSSHトンネルを作成します。このトンネルは、私のローカルマシン上のポート（例：8080）をリモートサーバー上のサービスのポート8080に転送します。そうすることで、ブラウザを開いてhttp://localhost:8080にアクセスするだけで管理インターフェースを見ることができます。非常にシンプルで安全です。

構文と説明

基本的な構文:


ssh -L <local_port>:<remote_host>:<remote_port> <user>@<ssh_server_ip>
  • -L: ローカルポートフォワーディングを指定します。
  • <local_port>: あなたのローカルコンピューター上でリッスンしたいポート。
  • <remote_host>: アクセスしたいサービスが実行されているサーバーのIPアドレスまたはホスト名。サービスがSSHサーバー自身で実行されている場合は、通常localhostです。
  • <remote_port>: <remote_host>上のサービスのポート。
  • <user>@<ssh_server_ip>: トンネルを作成するSSHサーバーのユーザー名とIPアドレス。

実践例

server_remoteのポート8080で内部ウェブアプリケーションが動作しており、あなたのローカルマシン（my_laptop）のポート8000からそれにアクセスしたいと仮定します。


# ローカルマシンから (my_laptop)
ssh -L 8000:localhost:8080 user@server_remote_ip

このコマンドが正常に実行され、server_remoteにSSHログインした後、my_laptopのブラウザを開き、http://localhost:8000にアクセスできます。my_laptop上のポート8000からのすべてのトラフィックは暗号化されます。その後、server_remoteを経由して転送され、server_remote上のサービスのポート8080に転送されます。

別の例として、server_remote（ポート5432）で動作しているPostgreSQLデータベースにアクセスする場合：


ssh -L 5432:localhost:5432 user@server_remote_ip

これで、あなたのローカルマシン上のPostgreSQL管理ツール（DBeaver、pgAdminなど）を使用してlocalhost:5432に接続できます。データは安全なSSHトンネルを介して転送されます。

Remote Port Forwarding (SSHサーバーから内部ネットワークへのポート開放)

Remote Port Forwardingはいつ必要か？

Remote Port Forwardingはこれとは逆です。以前、私はパートナーに、私のローカルマシン上にある開発サービス（例：ポート3000で動作するAPI）に一時的にアクセスさせる必要がありました。ファイアウォールで直接ポートを開放したり、外部にデプロイしたりしたくありませんでした。Remote Port Forwardingは最も簡潔な解決策でした。

言い換えれば、あなたのローカルマシン上で実行されているサービス（例：my_laptop:3000）を外部からアクセスできるようにしたい場合です。これはSSHサーバー（server_remote）のポートを介して行われます。

構文と説明

基本的な構文:


ssh -R <remote_port>:<local_host>:<local_port> <user>@<ssh_server_ip>
  • -R: リモートポートフォワーディングを指定します。
  • <remote_port>: SSHサーバー（ssh_server_ip）上で、他の人がアクセスできるように開放したいポート。
  • <local_host>: あなたのローカルコンピューターのIPアドレスまたはホスト名（通常はlocalhostまたは127.0.0.1）。
  • <local_port>: あなたのローカルマシンで実行されているサービスのポート。
  • <user>@<ssh_server_ip>: トンネルを作成するSSHサーバーのユーザー名とIPアドレス。

重要な注意: Remote Port Forwardingを機能させるには、SSHサーバー上のポートへの他者のアクセスを許可する必要があります。SSHサーバーの構成ファイル/etc/ssh/sshd_configでGatewayPorts yesオプションが有効になっていることを確認してください。その後、SSHサービスを再起動します（sudo systemctl restart sshd）。

実践例

あなたのローカルマシン（my_laptop）のポート3000でWebサーバーが動作しています。それをserver_remoteのポート8000を介してアクセスできるようにしたいとします。


# ローカルマシンから (my_laptop)
ssh -R 8000:localhost:3000 user@server_remote_ip

このコマンドが実行され、SSHログインした後、http://server_remote_ip:8000にアクセスする人は誰でも、安全なSSHトンネルを介してあなたのmy_laptop上のlocalhost:3000に転送されます。私はこの方法を使って、複雑なネットワーク設定を心配することなく、パートナーに素早くデモを披露しました。

Dynamic Port Forwarding (SOCKSプロキシの作成)

Dynamic Port Forwardingはいつ必要か？

これは、私が「ネット旅行」やセキュリティ強化が必要な際によく使う「トリック」です。出張中やカフェで作業する際、私は常にDynamic Port Forwardingを使用して、すべてのウェブ閲覧トラフィックを暗号化しています。これにより、公共Wi-Fiネットワーク上で私のデータが盗聴されることを防ぎます。また、地域によってブロックされているウェブサイトにアクセスする必要がある場合、Dynamic Port Forwardingはトラフィックを別の国のSSHサーバー経由でルーティングします。

Dynamic Port Forwardingは、あなたのローカルマシン上にSOCKSプロキシを作成します。このプロキシを使用するように設定されたすべてのアプリケーション（ウェブブラウザ、チャットアプリケーションなど）は、SSHトンネルを介してリモートSSHサーバーにトラフィックを送信します。そこから、SSHサーバーがあなたに代わってインターネット上の目的地に接続します。

構文と説明

基本的な構文:


ssh -D <local_port> <user>@<ssh_server_ip>
  • -D: Dynamic Port Forwardingを指定し、SOCKSプロキシを作成します。
  • <local_port>: SOCKSプロキシがリッスンするあなたのローカルマシン上のポート。
  • <user>@<ssh_server_ip>: プロキシとして機能するSSHサーバーのユーザー名とIPアドレス。

実践例

server_remoteをプロキシサーバーとして使用し、ローカルマシン上にポート9090でSOCKS5プロキシを作成します。


# ローカルマシンから (my_laptop)
ssh -D 9090 user@server_remote_ip

このコマンドが実行された後、ブラウザまたはアプリケーションをこのSOCKSプロキシを使用するように設定する必要があります。例えば、Firefoxでは以下の手順で行います。

  1. Settings (設定) -> Network Settings (ネットワーク設定) に進みます。
  2. Manual proxy configuration (手動プロキシ設定) を選択します。
  3. SOCKS Hostの項目にlocalhost、Portに9090を入力します。SOCKS v5を選択します。
  4. 保存すると、server_remote_ip経由でウェブを閲覧できるようになります。

Chromeの場合、プロキシオプションを指定して起動できます（またはFoxyProxyなどの拡張機能を使用します）。


# Linux上
google-chrome --proxy-server="socks5://localhost:9090"

# macOS上
/Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome --proxy-server="socks5://localhost:9090"

その他の便利なオプション

SSHトンネルの使用を最適化するため、私は通常、いくつかの便利なオプションを組み合わせています。

  • -N: リモートコマンドを実行しません。SSHシェルを開かずにトンネルを作成したい場合に非常に役立ちます。
  • -f: 認証成功後、SSHプロセスをバックグラウンドに移行させます。これにより、端末の操作を継続できます。
  • -q: サイレントモードで、メッセージや警告を表示しません。
  • -p <port>: リモートサーバーのSSHポートがデフォルトの22ではない場合に指定します。例：ssh -p 2222 ...。

これらのオプションを組み合わせると、バックグラウンドで実行されるLocal Port Forwarding作成コマンドは次のようになります。


ssh -fN -L 8000:localhost:8080 user@server_remote_ip

このコマンドはトンネルを作成し、すぐにバックグラウンドで実行され、ターミナルの制御をあなたに戻します。

結論

SSHトンネリングは、SSHの強力で柔軟な機能であり、日常の多くの課題を解決するのに役立ちます。安全な内部サービスへのアクセスから、ネットワークの制限を賢く回避することまで。ネットワークシステム管理者として、ローカル、リモート、ダイナミックポートフォワーディングを理解し、習得することで、私は多くの時間と労力を節約できました。同時に、オンライン活動のセキュリティレベルも大幅に向上しました。

この記事を通して、SSHトンネルの各種類について明確な理解を得て、いつどのように設定すべきかを把握していただけたことを願っています。この素晴らしいツールを真に習得するための最良の方法は、躊躇せずに例のコマンドを試してみることです。IT分野の挑戦に満ちた世界で、SSHをあなたの強力な味方として発見し、活用し始めましょう！

Share:
Tags: