SSHトンネルを使用してクラウドホストサービスのアクセス制限を突破する

1. 要約

職場では、パブリッククラウドホスト上で実行される一連のサービスを維持する必要があることがよくあります。セキュリティ上の理由から、外部に開かれるポートは通常、SSH (ポート 22) サービスのみです。運用・保守時にセキュリティポリシーを変更することで、他のサービスポートを一時的に解放することは可能ですが、時間のかかるトラブルシューティング操作の場合、機密ポートを長時間公開するとセキュリティ上のリスクが高まります。 SSH トンネルテクノロジーにより、セキュリティポリシーを変更することなく、クラウドホストのサービスポートをローカル操作にマッピングできます。これにより、送信されるデータが暗号化されるだけでなく、ツールやブラウザを介してローカルで対象サービスにアクセスできるようになり、便利で安全になります。

2. SSHトンネルの原理

この記事における SSH トンネル技術の適用シナリオは次のとおりです。

写真

SSH トンネルを正常に確立するには、次の前提条件を満たす必要があります。

パーソナルコンピュータには SSH プロトコルをサポートするソフトウェアをインストールする必要があり、Windows システムには Cygwin などのソフトウェアをインストールする必要がある場合があります。
クラウドホストのファイアウォールセキュリティポリシーでは、SSH プロトコルで使用されるデフォルトポートであるポート 22 へのアクセスを許可する必要があります。
クラウドホストでは、リモートホストが SSH プロトコルを使用して正常にログインできるように、SSH プロトコルをサポートするソフトウェアパッケージもインストールする必要があります。

SSH トンネルは主にパソコンから確立されます。上図によると、SSH トンネルの確立プロセスは次のようになります。

パソコン上でカスタムポートを開きます。ここではポート5478が選択されています。このポートには特別な要件はありません。他のポートと競合しない限り、実際の状況に応じて選択できます。ポート 5478 はトンネルの始まりと考えることができます。
トンネルリモート接続を確立するには、リモートホストの SSH ログインアカウントとパスワードを入力します。接続を正常に確立するには、ファイアウォールのポート 22 が開いている必要があります。ここでの SSH リモートログインは、パーソナルコンピューターのポート 5478 から始まり、リモートクラウドホストのポート 22 まで拡張されたトンネルの延長として見ることができます。
リモートホストの実際のサービスポートをローカルトンネルの開始ポート 5478 にマップします。マッピング関係は、トンネルの仕上げ作業と見なすことができます。クラウドホストのポート 22 からトンネルが接続された後、リモートホストのローカルサービスポートとの接続を確立する必要があります。ローカルサービスにポート 3306 のデータベースサービスがあると仮定すると、最終的にはポート 5478 とパーソナルコンピューターのポート 3306 間の接続が開かれ、ファイアウォールの背後にあるクラウドホストサービスへのローカルアクセスが実現します。