概要
次のような構成において、Clientから直接RemoteServiceにアクセスしたい。
どういうことかというと、RemoteServiceはNW内（図中の外部NW）からのアクセスしか許可されていない。例えば踏み台2からならアクセスできるが、図中の内部NW（Client、踏み台1）からはアクセスできない。
方針
多段SSHとSSHポートフォワーディングを使う。
Clientから自身の10080番ポートにアクセスすると、RemoteServiceの80番ポートにつながるように設定する。
設定
Clientの~/.ssh/configに下記を設定する。
~/.ssh/config
Host fumidai-1
HostName [踏み台１のIPアドレス]
Host fumidai-2
HostName [踏み台2のIPアドレス]
ProxyCommand ssh -W %h:%p fumidai-1
その上で、下記コマンドを実行する。
$ ssh -f -N -L 10080:[RemoteServiceのIPアドレス]:80 fumidai-2
[RemoteServiceのIPアドレス]は、fumidai-2からアクセス可能なものを指定する。今回の例では、RemoteServiceホストのプライベートIPアドレスになるはず。
試してみる
Clientにて下記を実行する。
curl localhost:10080
トラブルシューティング
10080番ポートつながらない
ローカル（Client）はLISTENしている？
確認：Linuxならnetstat -nltp、Macならlsof -i -P -n。
認証のエラーになる
ローカル（Client）からssh fumidai-1およびssh fumidai-2ができる？
できない場合
- 踏み台サーバのSSHのログをみる(RedHat系なら
/var/log/secure、Ubuntuなら/var/log/auth.log) - 踏み台１、踏み台2のユーザの設定を確認する
- ユーザ名が揃っているか
- ローカル（Client）で使用している秘密鍵のペアとなる公開鍵が正しく設定されているか
- ssh-agent周りを確認する
- ローカル（Client）にある秘密鍵を使って、踏み台1を超えて、踏み台2にログインするためにはssh-agentの力を借りる必要がある
- Macならデフォルトで起動しているはず
できる場合
- RemoteServiceホストで、サービス起動している？（そもそも）
- 他に何かあるかな…？
ClientがWindows
GitBashを使って、同様の手順で成功することを確認した。
ssh-agentの起動で一癖あったので、気をつける。（https://help.github.com/articles/generating-a-new-ssh-key-and-adding-it-to-the-ssh-agent/#adding-your-ssh-key-to-the-ssh-agent）
以上です。