踏み台サーバーとは？ 必要性やメリット、AWSでの構築方法も解説

リモートワークやクラウドサービスの普及により、さまざまな場所から社内システムへアクセスする機会が増えました。便利になった一方で、セキュリティリスクもまた増加しています。サーバーが外部から容易にアクセス可能な状態では、不正アクセスのターゲットにされる恐れがあるのです。対策の一つとして、サーバーへのアクセスを中継する踏み台サーバーの利用が効果的です。踏み台サーバーを利用することでサーバーへのアクセスを制御し、セキュアな運用が可能になります。本記事では、踏み台サーバーの概要や必要性、メリット、AWSにおける踏み台サーバーについて解説します。

踏み台サーバーとは

踏み台サーバーとは、目的のサーバーにログインするために中継するサーバーのことです。ほかのサーバーに接続するための踏み台となる役割から、踏み台サーバーと呼ばれます。またジャンプサーバーやBastion（要塞）サーバーと呼ばれることもあります。

踏み台サーバーの必要性

サーバーが外部から直接SSH接続できる環境は不正アクセスのターゲットとなる可能性が高く、セキュリティ上好ましくありません。そこでSSH接続を踏み台サーバーからのみ許可することで、接続元のIPアドレスを制限し不正アクセスのリスクを軽減できます。目的のサーバーにログインするには、まず踏み台サーバーにログインし、踏み台サーバーからSSHやRDPなどの方法で目的のサーバーに接続するという二段階のステップを踏むことになります。不正アクセスは大きなビジネスリスクにつながることから、踏み台サーバーの利用はセキュリティ強化の一環として有効でしょう。

踏み台サーバーのメリット

踏み台サーバーを利用することで得られる具体的なメリットについて解説します。

アクセス元、アクセス時間を制御できる

先に紹介したようにサーバーへのアクセスを踏み台サーバーからのみに限定することで、外部から直接アクセスできなくなり、不正に侵入されるリスクを軽減できます。さらに踏み台サーバーへのアクセスはメンテナンス作業などに必要な特定のIPアドレスからのみを許可することで、よりセキュアな環境にすることが可能です。
また踏み台サーバーを通常は停止させておき、メンテナンスに必要な時間帯だけ起動することで、アクセスできる時間帯を限定することもできます。

操作ログの管理

誰が、いつ、どこから、どのリソースにアクセスしたかというログを取ることができます。そのため万が一事故が起きた場合も調査に役立ちます。また踏み台サーバーを経由していないアクセスを確認した場合、不正なアクセスと迅速に判断できることもメリットです。

AWSにおける踏み台サーバー

AWS環境でも、踏み台サーバーを構築しAWSリソースへ安全にリモートアクセスすることが推奨されています。

AWS環境での踏み台サーバーの構築

AWS環境では、Linuxベースの踏み台ホストをパブリックサブネット（インターネットからアクセス可）に構築し、メンテナンスに必要な外部IPアドレスからのみアクセスを許可します。外部からアクセスさせたくないサーバーはプライベートサブネット（インターネットからアクセス不可）に置きます。メンテナンスの際はLinux踏み台ホストにリモートアクセスし、そこからプライベートサブネット上のサーバーへ安全にアクセスできます。

参考：AWS「AWSでのLinux踏み台ホスト」https://aws.amazon.com/jp/quickstart/architecture/linux-bastion/ （2022/7/29確認）

セキュリティグループの設定

セキュリティグループとはVPC（AWSのネットワーク）上で通信制御をするファイアウォール機能です。インバウンドとアウトバウンドのトラフィックに対し、どこから（インターネットを含むすべての場所・ほかのセキュリティグループ・特定のIPアドレスなど）どのような通信（プロトコル及びポート範囲）を許可するか制御します。インバウンドはこちらに向かう通信、アウトバウンドは外に出ていく通信です。セキュリティグループを正しく設定しないと踏み台サーバーの役割が果たせないため、非常に重要です。

たとえばパブリックサブネット上に踏み台サーバー、プライベートサブネット上にメンテナンス対象サーバーがある場合、一例ですが以下のようなセキュリティグループを設定します。

割当て先	インバウンド	アウトバウンド
踏み台サーバー	メンテナンスに必要な拠点のグローバルIPアドレスのSSH通信を許可	メンテナンス対象サーバーのプライベートIPアドレスへのRDP通信orSSH通信を許可

割当て先	インバウンド	アウトバウンド
メンテナンス対象サーバー	踏み台サーバーのプライベートIPアドレスからのRDP通信orSSH通信を許可	なし

SSHポートフォワーディング

メンテナンス対象がWindowsサーバーの場合、踏み台のLinuxホストからRDP通信を行うにはSSHポートフォワーディングという機能を使用します。ポートフォワーディングとは指定ポートにきた通信を、別のサーバーの指定ポートに転送する機能です。Tera Termをはじめ多くのリモートログオンクライアントソフトでポートフォワーディングは可能なため、踏み台サーバーは最小コストのLinuxホストでも問題ありません。

AWS Systems ManagerのSession Manager

AWS Systems ManagerではSession Managerというポートフォワーディング機能も提供しています。Session Managerを利用すれば踏み台サーバーと同様、AWS環境のリソースに安全にアクセスすることが可能です。Session Managerを利用すれば踏み台サーバーが不要になるため、踏み台サーバーに対する監視運用やセキュリティ対策が不要になるメリットがあり、踏み台サーバーの代わりとして置き換えるケースも多いです。ただしSession Managerを使用するために新たな設定が必要なことや、管理・運用しなくてはならない事項が増えるため、環境や要件に応じて選択するのがおすすめです。

Session Managerについて詳しくは以下の記事で紹介しています。
Session Managerを利用してEC2へセキュアに接続する方法 | ベアサポートブログ

まとめ

踏み台サーバーの活用は、社内の重要なリソースを不正アクセスから守るための効果的なセキュリティ対策です。ほかにもログの管理をメリットもあります。AWSをはじめとするクラウド環境でも踏み台サーバーは推奨されているため、自社の環境に合わせた踏み台サーバーの活用を検討してみてはいかがでしょうか。