SSHトンネリングとポートフォワーディングの手法

ローカルポートフォワーディング（ssh -L local_port:destination_host:destination_port user@ssh_server）は、ローカルマシン上のポートをバインドします。そのローカルポートに送られたトラフィックは、暗号化されたSSH接続を通ってSSHサーバーへ移動し、SSHサーバーが送信先へ接続します。ローカルアプリケーションはlocalhostと通信するだけで、SSHがトラフィックをリモートの送信先へ安全に届けます。

ローカルポートフォワーディングの一般的な使用例は、ファイアウォールの内側にある内部データベースへアクセスすることです。ssh -L 5432:db.internal:5432 user@bastionを実行すると、ローカルのPostgreSQLクライアントはlocalhost:5432に接続します。踏み台ホストがこのトラフィックを内部データベースサーバーへ転送するため、インターネットから直接到達できないデータベースにもアクセスできます。

リモートポートフォワーディング（ssh -R remote_port:local_host:local_port user@ssh_server）は、リモートのSSHサーバー上のポートをバインドします。外部クライアントがそのリモートポートに接続すると、トラフィックはSSHトンネルを通ってローカルマシンへ戻ります。これにより、インターネットに接続されたサーバーを介して、ローカルで実行中のサービスを外部に公開できます。

リモートフォワーディングは、マシンがNATの内側にあり、着信接続を直接受けられない場合に特に便利です。パブリックサーバーへのリバーストンネルを作成すると、外部クライアントがそのパブリックサーバーを経由してローカルサービスに到達できるようになります。この手法は、一部のリモートアクセスツールやIoTデバイス管理システムでも使用されています。

動的ポートフォワーディング（ssh -D local_port user@ssh_server）は、ローカルマシン上にSOCKS5プロキシを作成します。SOCKS5に対応したアプリケーションは、このプロキシを通じてトラフィックをルーティングできます。トラフィックはSSHサーバーから発信されたように見えます。これにより、閲覧トラフィックをリモートネットワーク経由で実質的にルーティングできるため、地域制限されたリソースへのアクセスや、ローカルネットワークのフィルターの回避に役立ちます。

リバーストンネルは強力ですが、セキュリティリスクも生じます。サーバーでGatewayPortsが許可されている場合、リモート転送ポートはlocalhostだけでなくパブリックインターネットからもアクセス可能になります。リバーストンネルが設定されたマシンが侵害されると、攻撃者が内部サービスへ到達できる可能性があります。組織では、不正なリバーストンネルを監視し、SSH設定でGatewayPortsを制限する必要があります。

SSHサーバーの設定によって、トンネリング機能を制御できます。AllowTcpForwardingは、ローカルおよびリモートのポートフォワーディングを許可するかどうかを制御します。AllowStreamLocalForwardingは、Unixソケットの転送を制御します。これらをnoに設定すると、すべてのユーザーでトンネリングが無効になります。また、ユーザー単位またはグループ単位で制限することもできます。不要なフォワーディングを無効にすると、攻撃対象領域を縮小できます。

SSHは、完全なIPトンネリングのためにtunネットワークインターフェースを作成できます（ssh -w）。これにより、特定のTCP接続だけでなく、IPパケット全体をトンネルする軽量なVPNとしてSSHを利用できます。サーバーではPermitTunnelを有効にする必要があります。専用のVPNソフトウェアより効率は劣りますが、追加のソフトウェアが不要で、既存のSSHインフラストラクチャを活用できます。

SSH接続の多重化（ControlMasterおよびControlPath設定）では、既存のSSH接続を新しいセッションで再利用します。これにより、同じホストへの2回目以降の接続が大幅に高速化されるため、スクリプト環境で特に有用です。共有接続を使用すると、複数のSSHセッションにわたってトンネルを維持することもできます。

ネットワーク管理者は、通常とは異なるトラフィックパターンからSSHトンネルを検出できます。たとえば、ポート22で長時間維持されるTCP接続、端末トラフィックだけを運ぶはずの接続としては予想外に多いデータ量、接続確立後に機微な情報を扱うことで知られる宛先への接続などです。ディープパケットインスペクションではSSHの内容を確認できませんが、メタデータ分析によって不審なトンネルの挙動を検出できます。

許可された用途で使用する場合は、すべてのトンネルとその目的を文書化してください。不要なシェルを開かないよう、トンネルでは -N（コマンドなし）を使用し、端末をブロックせずに実行するには -f（バックグラウンド）を使用してください。永続的なトンネルには、接続が切断されたときに自動的にトンネルを再起動するAutoSSHまたはsystemdのソケットアクティベーションを使用してください。

SSHトンネリングの復習です。ローカルフォワーディング（-L）はマシンから内部サービスへ安全にアクセスし、リモートフォワーディング（-R）はパブリックサーバー経由でローカルサービスを公開します。動的フォワーディング（-D）はアプリケーションレベルのトラフィックルーティング用にSOCKS5プロキシを作成し、tunフォワーディングは完全なIP VPNを有効にします。サーバーのAllowTcpForwardingは、これらの機能を制御します。