本記事はリンクアンドモチベーションAdventCalendar2024の13日目の記事です。
はじめに
こんにちは！リンクアンドモチベーションでSREをしている井川と申します。
本記事は、AWSのプライベートサブネットのEC2にSSH接続を試した際の学びをまとめたものです。
今回は「プライベートサブネットのEC2にSSH接続する」という具体的なGoalを設定しながら、それに必要な設定や手順を整理していきます。
また、複数の方法を試し、それぞれのメリット・デメリットについても触れるので、ぜひ最後までご覧ください。
プライベートサブネットのEC2へのSSH接続イメージ
プライベートサブネットは、インターネットから直接アクセスできないため、一度踏み台サーバーを経由する必要があります。
踏み台サーバーとは、パブリックサブネットに置く中継用のサーバーで、この踏み台サーバーにSSH接続をしてそこから改めて目的のサーバーにSSH接続をします。
ちなみに、NATゲートウェイは使わないのかという疑問を持たれるかもしれませんが、NATゲートウェイでは外部から接続できません。
というのも、NATゲートウェイはパブリックサブネットのリソースからインターネットにアクセスするためのもので、外部からのアクセスを許可していないためです。
プライベートサブネットのEC2へのSSH接続手順
手順は以下の通りです。
-
インターネットからSSH接続できるEC2をパブリックサブネットに作成する
-
踏み台サーバーからのSSH接続を許可するセキュリティグループを作成する
（パブリックサブネットに作成したEC2のプライベートipを指定する） -
上記セキュリティグループを紐付けたEC2をプライベートサブネットに作成する
しかし、上記設定では、踏み台サーバーから目的サーバーにSSH接続する際に、キーペアが見つからず接続できません。
その問題を解決する方法が2種類あります。
キーペアを踏み台サーバーに保存する方法とSSH Agent Forwardingを利用する方法です。
それぞれ方法を解説していきます。
キーペアを踏み台サーバーに保存する方法
この考え方はシンプルです。
ローカルに保存したキーペアを参照できない場合、踏み台サーバーにそのキーペアをコピーすれば良いというものです。
scpというコマンドを用いて、ローカルに保存したキーペアを踏み台サーバーにコピーします。
scp -i 踏み台サーバー用のキーペア 送信したいファイル（目的サーバー用のキーペア） ec2-user@踏み台サーバーのIPアドレス:~/.ssh
これにより、下記の通りプライベートサブネットのEC2にSSH接続できます。
まず、ローカルにあるキーペアを使って踏み台サーバーにSSH接続します。
ssh -i キーペア ec2-user@踏み台サーバーのIPアドレス
そして、踏み台サーバーにあるキーペアを使って目的サーバーへSSH接続します。
ssh -i ~/.ssh/キーペア ec2-user@目的サーバーのIPアドレス
ただし、この接続方法だと、パブリックサブネットのEC2にキーペアを保存することになるため、設定ミスや攻撃により漏洩するリスクがあります。
そのため、パブリックサブネットのEC2にキーペアを保存せずプライベートサブネットのEC2にSSH接続をする方法でも試してみます。
SSH Agent Forwardingを利用する方法
ssh-agentという秘密鍵の管理を効率化するプログラムを利用します。
まずは、今回使っているキーペアを登録します。
ssh-add xxxx.pem
そして、踏み台サーバーにSSH接続する際に-Aオプションをつけることで踏み台サーバーでssh-agentに登録されたキーペアを利用できます。
ssh -A ec2-user@踏み台サーバーのIPアドレス
その上で、踏み台サーバーから目的サーバーへSSH接続します。
オプションをつける必要はありません。
ssh ec2-user@目的サーバーのIPアドレス
まとめ
今回、踏み台サーバーを用いてプライベートサブネットのEC2にSSH接続する中で、認証のための方法が2種類あることをまとめました。
2つを比較すると、キーペアを踏み台サーバーに保存する方法が簡単ですが、セキュリティのリスクがあるため、SSH Agent Forwardingを利用する方法の方が安全に思えます。
しかし、現在はSession Managerを使った、踏み台サーバーを用いない接続方法もあるため、そちらも学んで今後の実業務に活かしていきたいと思います。