「ssh ProxyCommandを利用した多段ssh」の版間の差分

2013年10月6日 (日) 20:14時点における版

sshd のアクセス元の制限をしている環境では、ssh でログインするために、特定のサーバーを経由してログインすることがあります。中継サーバーを利用した、多段 ssh を簡単にする方法を説明します。OpenSSHのnetcatモードを利用します。

読み方

セキュリティを目的として、アクセス元を制限することは多くあります。アクセスの制限は、 hosts.allow やファイアーウォールなどで行えます。ネットワークの構成が理由で、プライベートネットワークのサーバにアクセスするために、ゲートウェイとなるサーバを経由するケースもあります。

クライアントからターゲットの間にある中継サーバーたちは、 ssh のプロキシ、踏み台サーバー(乗っ取られたサーバーという意味ではなく)、ssh ゲートウェイサーバーなどと呼ばれています。

多段 ssh とは、たとえば、以下の経路のことです。

local - gw1 - target1
local - gw1 - gw2 - target2

多段 ssh を実行する場合に、面倒なやり方として以下のログイン手順があります。

local% ssh gw1
gw1% ssh target1

毎回、この作業をやるのは、面倒です。また、中継するサーバーが増えると、効率が悪くなります。

OpenSSH 5.4 以降の netcat モードを利用する方法以外に、ncat / netcat を使用して、同様のことが実現できます。

ssh には、 ProxyCommand という機能が提供されています。

サーバへ接続するときに使うコマンドを指定します。このコマンドは、ユーザのシェルで実行されます。

~/.ssh/config (ssh_config) に ProxyCommand を定義することにより、多段 ssh を簡単にできます。

この ProxyCommand ディレクティブは、 netcat (nc, ncat) を併用すると便利です。

下記の多段 ssh を簡単にする方法を説明します。

local - gw1 - target1

~/.ssh/config (ssh_config) に下記の設定を行います。

Host target1
	ProxyCommand ssh -q -W %h:22 gw1

ssh の -W は、netcat モードを有効にするオプションです。 netcat モードは、OpenSSH 5.4 で実装されました。

下記の多段 ssh を簡単にする方法を説明します。

local - gw1 - gw2 - target2

~/.ssh/config (ssh_config) に下記の設定を行います。

Host target2
	ProxyCommand ssh -q -W %h:22 gw2
Host gw2
	ProxyCommand ssh -q -W %h:22 gw1

@@ 行1: / 行1: @@
-<!--
-vim: filetype=mediawiki
--->
 [[sshd]] のアクセス元の制限をしている環境では、[[ssh]] でログインするために、特定のサーバーを経由してログインすることがあります。中継サーバーを利用した、多段 [[ssh]] を簡単にする方法を説明します。[[OpenSSH]]の[[netcat]]モードを利用します。
@@ 行9: / 行6: @@
 == 概要 ==
 セキュリティを目的として、アクセス元を制限することは多くあります。アクセスの制限は、 [[hosts.allow]] や [[ファイアーウォール]] などで行えます。
 ネットワークの構成が理由で、プライベートネットワークのサーバにアクセスするために、ゲートウェイとなるサーバを経由するケースもあります。
@@ 行31: / 行27: @@
 == ProxyCommand ==
 [[ssh]] には、 ProxyCommand という機能が提供されています。
@@ 行58: / 行53: @@
 === 中継サーバー１台のssh ===
 下記の多段 ssh を簡単にする方法を説明します。
   local - gw1 - target1
@@ 行85: / 行79: @@
 == 関連項目 ==
+* [[sshの使い方]]
 * [[ssh]]
 * [[ncat]]
 * [[netcat]]
 * [[hosts.allow]]
+<!--
+vim: filetype=mediawiki
+-->