踏み台サーバを使ってSSH多段階接続したい

Question

鯖管初心者です。現在とある会社の鯖管をしています。
主に受託開発をメインにしているため，サービスごとにVPSサーバがいくつかある，という状況です。
しかしそれだとセキュリティ上で問題があるため，1つ踏み台サーバを用意して，そこから多段階接続？をして，セキュリティを高めてくれ，と要求されました。

しかしながらまだまだ鯖管初心者であるため，なにが必要なのか，なにをインストールすればいいかわかりません。
もし参考にするべきサイト，書籍などあれば教えていただきたく思います。

Answer 1

VPSサーバは触ったことがないので一般的なOSレイヤの回答になります。

VPSコントロールパネルからの制御等は除きます。

なお、参考サイトについてはここで記載すると問題になりそうなので、
検索サイトでの検索ワードのみ提示とさせてください。

まず、接続先のサーバ(踏み台から接続されるサーバ)は、踏み台サーバからしか接続できない設定をします。
加えて踏み台サーバへの接続も制限したほうが良いでしょう。
ただし、設定を間違えると、接続することが出来なくなる可能性がありますので、要注意です。
検証環境で手順を確立してから、本番環境に導入することをお勧めします。

もし、VPSコントロールパネルとかからコンソールを見る方法があるのであれば問題ありませんが。

接続先のサーバの設定です。
踏み台サーバを「192.168.1.1」と仮定して説明します。

1)iptables
検索ワード：「iptables SSH」

/etc/sysconfig/iptables
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

上記はssh接続のデフォルト設定ですが、sshはすべてのクライアントから許可となっています。
これを以下に変更。
-A INPUT -s 192.168.1.1 -p tcp --dport 22 -j ACCEPT

これで、ssh接続は踏み台サーバからのみ許可となります。
コンフィグ変更後はiptablesを再起動です。

2)sshd
検索ワード：「SSH 設定」
/etc/ssh/sshd_config

まず、基本としてrootユーザのログインを禁止します。
PermitRootLogin no

接続するユーザを限定するとよりセキュアです。
ただし予めユーザはOSに用意しておく必要があります。
AllowUsers "接続許可するユーザ名"

複数ユーザの場合はグループで制御すると便利です。
予めグループ作成の上、許可するユーザは該当グループに所属している必要があります。
AllowGroups "接続許可するグループ名"

コンフィグ変更後はsshdを再起動します。

次に踏み台サーバへの接続ですが、接続先サーバと同様にiptables、sshdで任意の制御をします。
/etc/sysconfig/iptables
-A INPUT -s "接続元のネットワーク or IPアドレス" -p tcp --dport 22 -j ACCEPT

/etc/ssh/sshd_config
PermitRootLogin no

加えて公開鍵認証方式にするとよりセキュアです。
検索サイトで「SSH 公開鍵」とかで検索すると参考サイトに出会えます。
手順は少し長いので、参考サイトを参照してください。

Answer 2

サーバーの構成がどのようになっているのかわからないため、もっとも単純な方法を記載いたします。
OSもLinuxであるという前提で説明いたします

通常、Linuxサーバーであれば、すでにSSHは設定されているはずなので、踏み台となるサーバーからログインするサーバーの/etc/hosts.denyと/etc/hosts.allowで接続可能IPを指定してあげればいいだけです。
/etc/hosts.denyに「sshd : all」として全SSH接続を拒否して、/etc/hosts.allowに「sshd: IPアドレス」です。
たとえば、踏み台となるサーバーのIPアドレスが、「192.168.2.1」ならば、/etc/hosts.allowは「sshd : 192.168.2.1」になります