SSHを活用したリモート接続の世界に、ご興味はありますか？昨年の投稿ではSSHキーの生成、基本接続コマンド、そしてローカルポートフォワーディング(`-L`オプション)について取り上げました。今回はSSHのもう一つの強力な機能である**リバースポートフォワーディング(Reverse Port Forwarding)**、つまり`-R`オプションについて詳しく見ていきましょう。

`-L`オプションが「私のコンピュータから外部にトンネルを作って外部リソースにアクセスする」ものであれば、`-R`オプションはその逆です。「外部コンピュータから私のコンピュータにトンネルを作って内部リソースにアクセスできるようにする」、まるで壁にドアを作るような機能です。

---

## リバースポートフォワーディングとは？ (-Rオプションの概要) {#sec-561045904a03}

一般的にリモートサーバー(Server A)からローカルコンピュータ(Client B)に直接接続することは困難です。Client BがプライベートIPアドレスを使用していたり、ファイアウォールの内側にいたり、固定IPを持たない場合がほとんどだからです。

このような状況でリバースポートフォワーディング(`-R`オプション)を使用すると、**Client BがServer AにSSH接続を確立する際に、同時にServer A上にトンネルを構築し、Server Aの特定のポートへの要求をClient Bの特定のポートに転送**できるようになります。

簡単に言えば:

1. **Client B (私のコンピュータ)**が**Server A (外部サーバー)**にSSH接続を試みます。
2. この時`-R`オプションを使用して「Server AのX番ポートへの要求を私のコンピュータ(Client B)のY番ポートに転送してほしい」と指示します。
3. これにより**Server A**に接続した他の外部ユーザーが**Server AのX番ポート**にアクセスすると、その要求はSSHトンネルを通じて**Client BのY番ポート**に転送されます。

まるで**Client BがServer Aに「私に接続できるドアを作ってください」と頼んでいる**ようなものです。

![SSHリバースポートフォワーディングフローチャート: 外部要求がサーバーを経由してローカルに転送される構造](/media/whitedec/blog_img/ssh_reverse_forwarding_diagram.webp)

---

## `-R`コマンドの構成 {#sec-aa84c207fb69}
リバースポートフォワーディングの基本コマンド形式は次の通りです。

```bash
ssh -R [リモート_ポート]:[対象_ホスト]:[対象_ポート] [リモート_サーバー_ユーザー]@[リモート_サーバー_アドレス]
```

各要素を詳しく見てみましょう。

* **`ssh`**: SSHクライアントを起動するコマンド。 
* **`-R`**: リバースポートフォワーディングオプション。 
* **`[リモート_ポート]`**: トンネルを作る**リモートサーバー(Server A)のポート番号**です。外部ユーザーがこのポートに接続するとClient Bのリソースに接続されます。 
* **`[対象_ホスト]`**: これは、Client B (私のコンピュータ)内でアクセスするリソースのホスト名またはIPアドレスです。**Client Bが`[リモート_サーバー_ユーザー]@[リモート_サーバー_アドレス]`に接続してトンネルを確立した際に、この`[対象_ホスト]`が指定するリソースに接続されます**。ほとんどの場合`localhost` (つまりClient B自身)になります。 
* **`[対象_ポート]`**: **Client B (私のコンピュータ)内で開いているサービスのポート番号**です。外部からの要求が最終的に到達する場所です。 
* **`[リモート_サーバー_ユーザー]@[リモート_サーバー_アドレス]`**: トンネルを確立する**外部サーバー(Server A)のユーザーアカウントとアドレス**です。Client BがServer Aに接続する経路となります。 

**例:**

私のローカルコンピュータ(Client B)の8080番ウェブサーバーに、外部サーバー(Server A)の8888番ポートを通じて接続したい場合:

```bash
# Client B (私のコンピュータ)で実行  
ssh -R 8888:localhost:8080 user@server_a_public_ip
```

このコマンドが正常に実行されると、`server_a_public_ip`にSSHで接続された状態になります。この時、他のコンピュータから`http://server_a_public_ip:8888`に接続すると、実際にはClient B (私のコンピュータ)の8080番ポートにアクセスします。

---
## リバースポートフォワーディングはいつ役立つのでしょうか？ (開発過程での活用) {#sec-ebf496dd40ff}


リバースポートフォワーディングは、一般的なSSH接続では解決できない特定の状況において、非常に強力な機能となります。特に開発過程で有用に活用できます。


### 1. NAT/ファイアウォールの裏にあるローカル開発サーバーを公開 {#sec-c5b4f1f3b3dd}
* **問題状況:** 自宅や会社の内部ネットワークで開発中のウェブアプリケーション（例：`localhost:3000`で実行中）があり、このアプリケーションを外部のチームメンバーやクライアントに見せたいが、ローカルコンピュータがプライベートIPを使用しているため外部から直接アクセスできません。ルーターや会社のファイアウォール設定は複雑で、管理者の承認が必要な場合があります。  
* **解決:** パブリックIPを持つ外部サーバー（例：AWS EC2インスタンス、VPS）を経由してローカル開発サーバーを外部に公開できます。

```bash
# 私のローカル開発マシン (Client B) で実行
ssh -R 80:localhost:3000 your_user@your_public_server.com
# または80番ポートはroot権限が必要なため、別のポートを使用 (例: 8080)
ssh -R 8080:localhost:3000 your_user@your_public_server.com
```


その後、`your_public_server.com:8080`にアクセスすると、実際にはあなたのローカルマシンで実行中のウェブアプリケーション(`localhost:3000`)にアクセスします。これで外部からあなたの開発状況をリアルタイムで確認できます。
### 2. ウェブフック(Webhook)テスト {#sec-a9d70afd2864}
* **問題状況:** 決済システム、Gitリポジトリ(GitHub/GitLab)、メッセージングプラットフォームなどで発生するウェブフックイベントをローカル開発サーバーでテストしたいですが、ウェブフックはパブリックURLにのみ送信できます。
* **解決:** リバースポートフォワーディングを通じてローカルウェブフックエンドポイント（例：`localhost:5000/webhook`）をパブリックサーバーの特定のURLにマッピングできます。

```bash
# 私のローカル開発マシン (Client B) で実行  
ssh -R 5000:localhost:5000 your_user@your_public_server.com
```


これでウェブフックの設定に`http://your_public_server.com:5000/webhook`を入力すると、ウェブフックイベントがあなたのローカルサーバーに送信され、テストできます。
### 3. リモートサーバーの特定ポートに直接アクセス (セキュリティネットワークのバイパス) {#sec-797b4b624b1d}

* **問題状況:** 遠隔地の特定サーバー(Client B)にインストールされたデータベースや内部管理ツール（例：`localhost:9000`で実行）に直接アクセスしたいものの、当該サーバーはファイアウォールにより外部から特定ポートが閉じられているか、プライベートネットワーク内にあります。しかし、Client Bは外部のパブリックサーバー(Server A)へのSSH接続が可能です。
* **解決:** Client BがServer AにSSH接続しながらリバースポートフォワーディングを通じてServer Aに「私の9000番ポートに接続できる通路を設けてほしい」と要求します。

```bash
# Client B (ファイアウォール裏のサーバー) で実行
ssh -R 9000:localhost:9000 your_user@server_a_public_ip
```

これであなたのコンピュータ（または他の外部コンピュータ）から`server_a_public_ip:9000`にアクセスすると、Client Bの9000番ポートサービスにアクセスできるようになります。


### 4. 一時的なデモまたは共有 {#sec-a7e2c00da901}

* **問題状況:** 同僚に私のローカルで実行中の特定アプリケーションの動作を見せたい場合や、短時間だけ外部に公開してフィードバックを受け取りたい場合などです。  
* **解決:** 簡単なリバースポートフォワーディングで特定期間のみローカルサービスを外部に公開できます。デモが終了したらSSHセッションを終了してアクセスを遮断できるので便利です。

---

## リバースポートフォワーディング使用時の注意事項 {#sec-5fa97b274bb8}


* **`GatewayPorts yes`**: リバースポートフォワーディングで開かれたリモートポートは、基本的にSSHサーバー(`server_a_public_ip`)が稼働しているマシンからのみアクセス可能です。もしSSHサーバー外部の他のコンピュータでもこのポートに接続できるようにするには、SSHサーバーの`sshd_config`ファイルに`GatewayPorts yes`設定を追加し、SSHサービスを再起動する必要があります。この設定はセキュリティに影響を与える可能性があるため、注意して使用する必要があります。

* **セキュリティ:** リバースポートフォワーディングはローカルネットワークの特定ポートを外部に公開するため、必ず信頼できるサーバーにのみ使用するべきです。公開されるサービスのセキュリティ脆弱性を事前に点検する必要があります。

* **SSHセッション維持:** リバースポートフォワーディングトンネルはSSHセッションが維持されている間のみ有効です。バックグラウンドで継続して実行するには`ssh -fN -R ...`のように`f` (バックグラウンド実行)と`N` (リモートコマンド実行しない)オプションを組み合わせて使用するのが一般的です。

---

## おわりに {#sec-8fd6c64a6c65}


SSHリバースポートフォワーディング(`-R`オプション)は複雑なネットワーク環境やファイアウォールの裏で特定サービスを外部に公開する際に非常に有用な機能です。特に開発過程でローカル環境を外部と共有したり、ウェブフックテストを行う際に、強力な生産性向上ツールとなります。

もし理解しにくい概念だと感じたなら、実際に試してみることで習得するのが一番です。あなたの開発ワークフローにSSHリバースポートフォワーディングを積極的に活用してみてください！

**疑問があれば、いつでもコメントで質問してください！**