パブリックなインスタンス経由でプライベートサブネットに配置したインスタンスにSSH接続：aws

Tweet

Pocket

awsでパブリックなインスタンス経由でプライベートサブネットに配置したインスタンスにSSH接続する覚書です。

作成手順

1. VPC作成
2. インターネットゲートウェイ作成＆VPCアタッチ
3. パブリックサブネット用ルートテーブル作成
   • ターゲットにインターネットゲートウェイを指定
4. パブリックサブネット作成
   • パブリックサブネット用ルートテーブルに関連付ける
5. パブリックサブネットにNATゲートウェイ作成
6. プライベートサブネット用ルートテーブル作成
   • ターゲットにNATゲートウェイを指定
7. プライベートサブネット作成
   • プライベートサブネット用ルートテーブルに関連付ける
8. プライベートサブネットにEC2インスタンスを作成
   • パブリックIPは割り当てない
   • セキュリティグループにVPCのdefaultを設定
9. パブリックサブネットにEC2インスタンスを作成
   • パブリックIPを割り当てる
   • インバウンドルールでSSHを許可したセキュリティグループを設定
   • セキュリティグループにVPCのdefaultを追加（プライベートサブネットのインスタンスに接続するため）

SSH接続

OSがUbuntuの例です。

# aws public
Host aws_public
  HostName        {{グローバルIP}}
  IdentityFile    /path/to/private_key
  User            ubuntu

# aws private
Host aws_private
  HostName        {{プライベートIP}}
  IdentityFile    /path/to/private_key
  User            ubuntu
  ProxyCommand   ssh -W %h:%p aws_public

セキュリティグループ

• セキュリティグループは、複数組み合わせて適用するのが一般的
• VPCのデフォルト（セキュリティグループ ID (sg-xxxxxxxx)）のセキュリティグループ
  「同じセキュリティグループに割り当てられているネットワークインターフェイス（および関連付けられているインスタンス）からのインバウンドトラフィックを許可します。」
  https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/VPC_SecurityGroups.html#DefaultSecurityGroup
• セキュリティグループはステートフル
  https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/VPC_SecurityGroups.html