SSHポートフォワーディングでローカルから外部サーバーへアクセスする

投稿日：

Docker

環境

やりたい事

ローカル環境(Docker)で動かしているアプリケーションから
アクセス制限のかかっているAPIサーバーやDBサーバーへアクセスしたかったので
SSHポートフォワーディングを使って実現しました。

SSHポートフォワーディングを使えば、自分が特定のポートで受けた通信を特定のサーバー(SSHで入れる事が条件)を経由して別のサーバーへ受け流す事ができるようになります。
コマンドは以下のように実行します。

ssh -f -N -L {自分が待ち受けるポート}:{アクセスしたいサーバーのIPやホスト名}:{アクセスしたいサーバーのポート} -i {SSHするための秘密鍵のパス} {SSH先のユーザー}@{SSH先のサーバー} -p {SSHポート} -4

(sshのオプション説明は調べればすぐ出てくるので割愛します)

例えば以下のようにコマンドを打つと
自分が10080ポートで受けた通信はserver2経由でserver1の80ポートに流して、そのレスポンスをそのままリクエスト元に戻す
という意味になります。
なお、server2はポート22でec2-userユーザーにSSH接続できるものとします。(秘密鍵認証)

ssh -f -N -L 10080:server1:80 -i ~/.ssh/id_rsa ec2-user@server2 -p 22 -4

手順

①純粋なポートフォワーディングを使う

下図のような通信イメージです。

WEBアプリが動いているDockerコンテナ内にてSSHポートフォワーディングのコマンドを実行します。

ssh -f -N -L 3306:db.server.com:3306  -L 10443:api.server.com:443  -i /path/to/secret_key user@ssh.server.com -p 22 -4

あとはアプリケーション内で以下の箇所を変更すればポートフォワーディングでアクセスできるようになります。
・「db.server.com:3306」の通信箇所を「localhost:3306」へ通信するよう変更
・「api.server.com:443」の通信箇所を「localhost:10443」へ通信するよう変更

②踏み台コンテナを利用してポートフォワーディングする

もし上記①のアプリケーション変更箇所がソースコードにハードコーディングされている場合など、
変更が困難な場合はこちらの手順で対応します。

下図のような通信イメージです。

踏み台専用のDockerコンテナを作成し、コンテナの実行コマンドとしてSSHポートフォワーディングのコマンドを実行するようにします。
※プロセスがバックグラウンドに行かないように、fオプションを外しています。

ssh -N -L 0.0.0.0:3306:db.server.com:3306 -L 0.0.0.0:443:api.server.com:443 -i /path/to/secret_key user@ssh.server.com -p 22 -4

あとはWEBアプリが動いているコンテナのhostsに
『db.server.com』と『api.server.com』が踏み台コンテナのIPアドレスとなるように記載します。
踏み台コンテナのIPアドレスは以下のコマンドで調べられます。

nslookup {踏み台コンテナ名} | grep Address | tail -n +2 | cut -f2 -d ' '

シェルスクリプトにするとこんな感じになります。

#!/bin/bash -eu

HUMIDAI_IP=`nslookup humidai | grep Address | tail -n +2 | cut -f2 -d ' '`
echo "${HUMIDAI_IP}	db.server.com" >> /etc/hosts
echo "${HUMIDAI_IP}	api.server.com" >> /etc/hosts

これでSSHポートフォワーディングを使った通信の設定は完了です。

補足

ポートフォワーディングを使ってアクセスしたいサーバーがDBサーバーだけであれば
①の手順のコマンドを実行後、②のようにhostsを記載してdb.server.comを127.0.0.1(自身)にしてしまえば良いです。

しかし、APIサーバーのようにWEBアプリと同じポート(443)への通信をポートフォワーディングしたい場合、
既にWEBアプリで使っているポートをSSHポートフォワーディングでも待ち受ける事はできないので、
②の手順のような踏み台コンテナが必要となります。