Webサーバにリバースプロキシサーバ経由で接続する理由につきまして

Question

Webサーバを立てて不特定多数の人にサイトを公開する場合に
以下の構成になっているのをみかけました。

色々と調べた結果、明確な回答を見つけられなかったのですが、
きっと管理者からのSSH接続に関してリバースプロキシサーバ経由で
Webサーバに接続する理由は以下の点だと推測しました。

・一般ユーザからアクセスできるwebサーバのポートは必要最低限（80,443）にしたい。
・管理者からのSSH接続はIPアドレス制限をかけ、使用しない場合proxyサーバを停止することでセキュリティリスクの低減ができる。

上記２点を気にしなければWebサーバへの直接アクセスもSSH接続を許容し
SSHにはIPアドレス制限をすれば特にProxy経由にする必要もないかと思いました。

上記２点以外に何かメリットがあるのかわからず質問させて頂きました。
どなたかご存知の方がいらっしゃいましたらご教示頂けませんでしょうか。

よろしくお願いいたします。

Answer 1

そうですね。
自分が思いつくのでは、以下の2つが真っ先に思い浮かびます。

• 高可用性
• サイジング

まず、この絵を作っている人は、Webが1台であるとは限らない場合も
考えてこの絵を描いています。

Webが2台になると、その前にLBを置かなくてはいけないし、
LBを置いた瞬間、もう管理者がメンテナンス等でサーバにアクセスしたい時、
一般ユーザがアクセスする際に経由するLBを使ってSSHはしないですよね？

SSHをする際に、proxy経由するって絵では書いてありますが、
まぁ、これは踏み台サーバだと認識しておけば良いと思います。
要は、同じ経路は通らない前提で考えてねと伝えたいだけだと思いますので。

なので、この絵は

• 高可用性（1台が止まっても、一般ユーザはwebを利用できる）
• サイジング（webが2台以上になっても、構成が変わらない）

の2つも考えられて作られています。

Comments

[IPU]

あぁ、タイトルに回答するなら、この絵で書いてあるSSHは、運用（メンテナンス）用だと思います。
なので、WebサーバにSSHするのは、単純にサーバへログインする用とかですよ。

[maimai99]

ご回答ありがとうございます！
高可用性とサイジングですね。
たしかにLBが追加されたら踏み台サーバがないとだめですね。
すごく参考になりました。
ありがとうございます！

Answer 2

質問者さんの構成ですと、NATインスタンス（Proxyサーバ）とWEBサーバが同じサブネットに存在するので、意味がないように見えてしまうのだと思います。

本来の利用方法は、PublicSubnet経由でPrivateSubnetにアクセスするという構成をしています。
VPCのNATゲートウェイ経由か、PublicSubnetにNATインスタンスを配置させ、PrivateSubnetに存在するWEBサーバにアクセスしなければ意味がありません。
PrivateサブネットはPublicSubnet→PrivateSubnetアクセスを22番ポートに限定し、外部アクセスを制限するという目的があります。

個人で使うのであれば、直接アクセスでも何ら問題はないのですが、BtoBだと必ずセキュリティ担保の話が出てきます。
セキュリティ責任がどこにあるのか明確に示さねばならないため、このクラウドモデルが存在します。

古い資料ですが、多くのクラウド構成の根底にあるクラウドデザインパターンというものがありますので一読してみてください。

■FYI
Ondemand Activation パターン

Comments

[maimai99]

詳細ご教示ありがとうございます！

やはりPrivateSubnetを置いて直接アクセスさせない構成にするのがBtoBでは求められますよね。

頂いたリンクの資料も参考にさせていただきます。
ありがとうございます。