はじめに
踏み台サーバを作ってWebサーバへのSSHを基本閉じておくことでセキュアにしたい。
問題点
Webサーバ側のインバウンドルールのSSHに踏み台サーバのセキュリティグループを指定した場合、踏み台サーバからWebサーバのプライベートIPを指定するとSSH接続が出来るが、パブリックIPを指定するとSSH接続が出来ない。
↑Webサーバのインバウンドルール
解決のための仮説
Q.EC2インスタンスからパブリックIPに対してSSHすると、インターネットを通った上でSSHすることになっているのでは？
(つまりSSH元IPは踏み台サーバのパブリックIPになっているという意味)
1.Webサーバのインバウンドルールに踏み台サーバのパブリックIPからのSSHを許可する
2.パブリックIPを指定してSSHする
通ったため、恐らく仮説は正しかった。
最後に
インバウンドルールにセキュリティグループを指定すると、そのセキュリティグループを持つ EC2インスタンスのローカルIPからの通信(VPC内に閉じた通信) を許可するという意味合いになっていると思います。