RLoginでSSHポートフォワードを設定する｜踏み台経由で内部Webへ接続

自分のPCからは目的のサーバーへ直接通信できないけれど、踏み台サーバーからなら通信が届く。このようなときに使えるのが、SSHのポートフォワードです。

たとえば、内部Webサーバー10.0.0.20は社内ネットワークからしかアクセスできず、自分のPCからは開けないとします。一方、踏み台サーバーはその内部Webサーバーにアクセスでき、自分のPCから踏み台へはSSH接続できる状態です。

• 自分のPC → 内部Webサーバー：直接は通信が届かない
• 自分のPC → 踏み台サーバー：SSH接続できる
• 踏み台サーバー → 内部Webサーバー：通信が届く

踏み台から目的のサーバーへ通信してもらう仕組み

そこで、RLoginで踏み台へSSH接続し、自分のPCの通信をSSH経由で踏み台へ渡して、踏み台から目的のサーバーへ接続してもらいます。ポートフォワードを設定すると、手元のブラウザーを使ったまま、この経路で内部Webサーバーへアクセスできます。

この手順では、PC内の127.0.0.1:18080を通信の入口にします。ブラウザーでhttp://127.0.0.1:18080/を開いたときの流れは次のとおりです。

1. 手元のブラウザーが、PC内の入口127.0.0.1:18080へ通信します。
2. RLoginがその通信を、接続済みのSSH経由で踏み台へ送ります。
3. 踏み台が接続元となって、内部Webサーバーの10.0.0.20:80へ接続します。
4. 内部Webサーバーからの応答が踏み台とSSH接続を経由して戻り、手元のブラウザーに表示されます。

自分のPCから直接届くようにするのではなく、届く場所にいる踏み台を経由して通信する、と考えるとイメージしやすいでしょう。ブラウザーを踏み台上で起動する必要はありません。ただし、SSHでログインするだけでは転送されないため、RLoginに通信の入口と転送先を設定します。

この使い方をローカルポートフォワードと呼びます。PCと踏み台の間はSSHで暗号化されますが、踏み台から内部サーバーまでの通信方式は、接続するサービスによって決まります。

どのようなときに利用できるか

• 内部Web画面をブラウザーで開きたいとき：踏み台からだけアクセスできる管理画面や開発中のWebアプリを、手元のPCで確認できます。今回の記事ではこの使い方を説明します。
• 内部データベースへ手元のツールから接続したいとき：転送先をデータベースのホストとポートに設定し、データベースクライアントの接続先をPC内の待ち受けアドレスとポートにします。データベース自体の認証も必要です。
• SSH接続先のサーバー内だけで待ち受けるサービスを利用したいとき：転送先を踏み台側の127.0.0.1とサービスのポートにすると、そのサーバー内のサービスへ接続できます。

利用には、踏み台へSSH接続できること、踏み台から転送先へ到達できること、SSHサーバーで必要な転送が許可されていることが必要です。この手順で転送するのは指定したTCPポートの通信で、PC全体の通信が切り替わるわけではありません。

ここからは、踏み台の接続設定を追加し、ローカルポート18080から内部Webサーバーのポート80へ転送する手順を、実際の設定画面で説明します。

使用したバージョンは、Windows版RLogin 2.24.1です。

今回の接続例と設定値

ここでは、踏み台サーバーを経由して、内部Webサーバー10.0.0.20のポート80へアクセスする前提で説明します。ご自身がアクセスしたいIPアドレスとポート番号に置き換えて読み進めてください。

SSH接続先は踏み台、ポートフォワードの転送先は内部Webサーバーです。この2つを区別して入力します。

踏み台のホスト名はbastion.example.com、ユーザー名はdemoを例にしています。こちらもご自身の接続先に合わせてください。踏み台へのSSHログインと、踏み台から転送先への通信が可能であることが前提です。エントリー名は、接続先を見分けやすい名前を自由に付けられます。

1．踏み台の接続設定を追加する

RLoginのサーバー選択画面「Server Select」を開き、設定を追加したいタブを選んで「新規」をクリックします。ここでは「test」タブを例に説明します。タブ名は任意で、新規設定画面の「タブ」欄で指定できます。

以下は保存後のサーバー選択画面です。①がtestタブ、③が新規作成ボタンです。②には今回追加した設定が表示されています。

新規設定画面では、赤枠の番号に沿って次の項目を入力します。

1. エントリー：踏み台（記事用サンプル）
2. タブ：test
3. プロトコル：ssh
4. ホスト名：bastion.example.com
5. TCPポート：ssh（通常は22番）。変更されている環境では、そのポート番号を指定します。
6. ログインユーザー名：demo

接続先で認められた認証方式を設定してください。公開鍵認証を使用する場合は、この画面の「SSH認証鍵」から鍵を指定します。

この段階では画面下の「OK」を押さず、続けてポートフォワードを設定します。

2．「プロトコル」から「ポートフォワード」を開く

左側の①「プロトコル」を選び、SSH欄の②「ポートフォワード」をクリックします。

「SSH2 ポートフォワード」の一覧が開いたら、①「新規」をクリックします。内部Webサーバーへの転送では、この画面下部のX11転送は設定しません。

3．Localの待ち受けとConnectの転送先を入力する

「SSH2 ポートフォワード設定」で、次のように指定します。

1. Listened：Localを選択します。
2. 上側のHost Name：127.0.0.1を入力します。
3. 上側のPort：18080を入力します。
4. Connect側のHost Name：10.0.0.20を入力します。
5. Connect側のPort：80を入力します。
6. OKをクリックして一覧へ戻ります。

上側は手元のPCの待ち受け先、下側は踏み台から接続する宛先です。ここを逆にしないことがポイントです。公式説明でも、Localはローカル側での待ち受け、Connectは転送先のホストとポートとして案内されています。

待ち受けアドレスを127.0.0.1にすると、そのPC内から利用する構成になります。他のPCからも利用させる目的がない限り、0.0.0.0など全インターフェースで待ち受ける設定に変える必要はありません。

Connectに127.0.0.1を指定した場合は、ローカル転送では踏み台自身への接続になります。今回は別の内部サーバーへ転送するため、10.0.0.20を指定しています。

4．転送ルールのチェックを確認して保存する

一覧にlocal / 127.0.0.1 / 18080 / 10.0.0.20 / 80が並んでいることを確認します。①のチェックが付いていることが重要です。公式説明では、チェックを外した設定は残りますが、転送は実行されません。

②「OK」をクリックし、元のサーバー設定画面でも「OK」をクリックして保存します。「Server Select」のtestタブに「踏み台（記事用サンプル）」が追加されます。

保存結果は、エントリーを選んで「編集」（手順1の画像④）を開き、「プロトコル」→「ポートフォワード」で確認できます。転送先と有効チェックが正しく設定されていることを確認してください。

設定を保存するOKと、接続を始めるOKは画面が異なります。サーバー選択画面の右上にある「OK」は接続開始です。設定だけ保存して後で接続する場合は、ここでは「キャンセル」で閉じます。

5．SSH接続後にブラウザーで開く

踏み台の接続先と認証設定を確認したら、SSH接続を開始します。

1. testタブから対象の踏み台設定を選び、「OK」でSSH接続します。
2. 初回接続でホスト鍵を確認する場合は、管理者などから得た正しい指紋と照合してから進めます。
3. SSH接続した状態で、同じPCのブラウザーにhttp://127.0.0.1:18080/を入力します。
4. 内部Webサーバーの応答を確認します。利用中は踏み台へのSSH接続を維持し、終了後に切断します。

この例はHTTPの80番ポートを転送しています。SSHで暗号化されるのはPCと踏み台の間です。踏み台から内部サーバーまでのHTTP通信が、ポートフォワードによってHTTPSに変わるわけではありません。

HTTPSサイトやホスト名で表示先を切り替えるWebサーバーでは、URLのホスト名や証明書の扱いも確認が必要です。証明書警告を無視する方法を前提にはせず、管理者が用意したアクセス方法に合わせてください。

つながらないときの確認順

設定のバックアップと関連情報

作成した接続設定を別のPCへ移す場合は、RLogin設定のエクスポート方法まとめを参照してください。レジストリを使う手順は、RLoginの設定を別PCへ移行・共有するで説明しています。

参考資料

• RLogin公式マニュアル：「3.3 プロトコルのオプション設定」「3.3.3 ポートフォワードの設定」を参照。
• OpenSSH sshマニュアル：ローカルポートフォワード（-L）の通信経路を参照。