Intel NUC で自宅 Ubuntu 開発環境構築と SSH Port Forwarding によるアクセス

構成

外出先の Laptop から Sakura VPS を踏み台にして NUC に SSH 接続したい。

構成としては以下のようになる。

[nuc]--1-->|<--3--[vps]----|<--2--[laptop]

このとき NUC から VPS には SSH できるが、逆は NUC に IP が無いためできない。

そこで、 NUC と VPS の SSH を張りっぱなしにしておき、 laptop からの SSH をそこを通して NUC に届けるのが Port Forwarding だ。

まず NUC から VPS に -R で SSH をつなぐ。

# nuc から vps
$ ssh user@vps -NR 22222:localhost:22

これを繋ぎっぱなしにする。

次に、外出した laptop から vps につなぐ、これは普通の SSH

# laptop から vps
$ ssh user@vps

最後に、入った VPS の上で、 localhost:22222 に対して SSH する

# vps に入ったあと vps から nuc
$ ssh user@localhost -p 22222

最初に VPS の 22222 ポートへの通信を、 NUC の 22 に転送するように SSH を貼っている。

NUC 上で sshd が動いていれば、 VPS 上で 22222 に対して SSH すると、 NUC に入れるという仕組みだ。

これを、いつでも接続できるようにしておく。

~/.ssh/config

まず、 SSH 接続を維持しやすい設定にするため、 config を以下のようにする。

Host reverse-ssh
  HostName $vps
  User $user
  ServerAliveInterval 60
  ExitOnForwardFailure yes
  TCPKeepAlive no

Forward に失敗したり、応答が返らなければ落ちる。ただし TCP の接続が一時的に不安定になっても影響を受けないといった設定だ。

肝は、変な状態でとどまらず、おかしかったら落ちることだ。落ちれば、後述の方法で再接続できる。

これで最初のコマンドは以下のようになる。

# nuc から vps
$ ssh reverse-ssh -NR 22222:localhost:22

autossh

まず NUC から VPS への reverse ssh は、常に貼っておかないと使いたいとき使えない。

もし接続が落ちても自動で再接続する必要がある。

これは autossh というツールを使うと、簡単にできるらしいので入れてみる。

autossh は ssh と同じコマンドで使うと、 ssh プロセスをフォークして監視し、 ssh が落ちたら再度フォークしてくれるツールだ。

$ autossh reverse-ssh -NR 22222:localhost:22

しかし autossh 自体が落ちてもだれも面倒を見てくれない。

また、 PC を再起動した場合は、自分で実行しないといけない。

そこで、これを systemd に登録する。

systemd

systemd への登録はレベルによって場所が変わる。

今回のようなユーザ単位のサービスの場合は ~/.config/systemd/user/ に登録することになる。

しかし、ここはユーザがログインしたときに実行されるため、再起動してユーザがログインする前には実行されない。

そこで、起動時にユーザのサービスが起動されるように以下を実行する。

$ sudo loginctl enable-linger $USER

ところが、これが何故か動かない。

Could not enable linger: No such file or directory

探すと /var/lib/systemd/linger/$USER を touch するとか色々ワークアラウンドが出てくるが、実行しても有効化できなかった。

どうやら systemd のバグらしい。

仕方ないので、普通に system レベルで登録してしまうことにした。

ということで、以下を /etc/systemd/system/autossh.service として作成。

[Unit]
Description=keep ssh tunnel
After=network-online.target ssh.service

[Service]
Type=simple
RestartSec=3
Restart=always
TimeoutStopSec=10

Environment="AUTOSSH_PORT=0"
Environment="AUTOSSH_GATETIME=0"
ExecStart=/usr/bin/autossh reverse-ssh -NTR 22222:localhost:22

[Install]
WantedBy=multi-user.target

(しかし、これなら autossh 無くても systemd で ssh を監視するだけで良かった気もする)

ところがこのままでは ssh が sudo で実行されるため、 ~/.ssh/config は使われず reverse-ssh が解釈されない。

面倒なので ~/.ssh/config に書いた内容を /etc/ssh/ssh_config に書いてしまうことにした。

これで一応 ssh 接続は維持できた。

若干の不安もあるので、制限を色々かけておく。

sshd_config

NUC には、 VPS からの key を用いた ssh のみを許可したい。

まず /etc/ssh/sshd_config でパスワードによる接続を無効にする。

PasswordAuthentication no

これで鍵がなければ入れない。

UFW

ufw を使って、 NUC の 22 へのアクセスを VPS の IP に限定する。

これにより、意図しないアクセスを防ぐことができる。

そうでなくても Ubuntu Desktop に sshd を入れた時点で、ほかも締め付けておきたい。

以下のようなスクリプトで行った。

ufw reset

ufw default deny incoming
ufw default allow outgoing

ufw allow from $(vsp_ip) to any port 22

ufw enable
ufw reload
ufw status numbered

変更があったら、このスクリプトを更新して叩き直せばリセットして再設定できる。

(デフォルトの UFW の設定を全部すっ飛ばしたが、デフォルトがなにやっているのかよくわからなかったので、困ったら自力で治す)

authorized_keys

authorized_keys の最初には、 SSH で接続してくる IP の制限が指定できる。

今回は、 VPS からの forwarding しか受け付けない設定にしたい。

この場合、 NUC には localhost からアクセスしていることになるため、 NUC の ~/.ssh/authorized_keys で、該当行の先頭に以下を追加する。

from="127.0.0.1" ssh-xxx xxxxxxxxxxxxxxxxx

これで、経路が VPS の Port Forwarding を用いた経路一択になったはずだ。