Dockerでトンネルコンテナを構築し、ホストからトンネルコンテナを経由して接続・別コンテナからトンネルコンテナを経由して接続を行いたい

Question

前提・実現したいこと

DockerにてAWSのRDSにトンネルを張るトンネルコンテナを構築したいと思っています。

一番聞きたいこと

• ホストPCからトンネルコンテナを利用してAWS上のRDSに接続したい
• 別コンテナからトンネルコンテナを利用してAWS上のRDSに接続したい

###　詳細
流れとしては、
0. WEBコンテナ
0. DB踏み台コンテナ
0. RDS
のフローで接続を行いたいと思っていますが、まずは検証を行いたいのです。

ssh-agent自体をvolumesとして指定しマウントしてそのまま使用することで秘密鍵の指定等を省いています。
現在ホストから3306ポート指定でmysql-clientで接続をしようとしてもトンネルコンテナのポートフォワードがうまく認識してくれない（もしくはコマンド指定が間違っている）
ので正しい指定方法があれば教えていただきたいです。

トンネルコンテナの中からのRDSの接続は成功しています。

ベースOSにAmazonLinuxを使用しているのは、こちらの事情なので変更はできません。また、Webコンテナはまだ作成していません。

該当のソースコード

現時点でのdocker-composeとdockerfileになります。(一部伏せています)

version: "3.9"
services:
  test:
    build:
      context: ./test
      dockerfile: Dockerfile
    tty: true


  db-tunnel:
    container_name: db
    build:
      context: ./ssh-db
      dockerfile: Dockerfile
    tty: true
    ports:
      - "3306:3306"
    volumes:
      - ./ssh-db/entrypoint.sh:/db/entrypoint.sh:ro
      - /run/host-services/ssh-auth.sock:/tmp/ssh-agent.sock
    entrypoint: ./entrypoint.sh
    command: /bin/bash
    working_dir: /db
    environment:
      SSH_AUTH_SOCK: "/tmp/ssh-agent.sock"
      USER_NAME: ${USER}

ssh-db/Dockerfile

FROM --platform=linux/x86_64 amazonlinux:2.0.20191217.0

RUN yum -y update && \
  yum -y install openssh-clients

# DEBUG
# RUN yum install -y https://dev.mysql.com/get/mysql57-community-release-el7-11.noarch.rpm
# RUN yum install -y mysql-community-client

ssh-db/entrypoint.sh

#!/bin/bash

username=`echo ${USER_NAME} | sed -e 's/./-/g'`

ssh -f -N -L 33306:foo.bar.hoge:3306 ${username}@xxx.xxx.xxx.xxx -o ServerAliveInterval=30 -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no

exec "$@"

補足情報（FW/ツールのバージョンなど）

• MacBook Pro (13-inch, M1, 2020) BigSur 11.4
• Docker version 20.10.6, build 370c289

Comments

[TaichiYanagiya]

db-tunnel から直接 RDS(foo.bar.hoge) へ接続するのではなく、xxx.xxx.xxx.xxx を経由する(xxx.xxx.xxx.xxx から RDS(foo.bar.hoge) へ接続する)のでしょうか？

[yum3]

説明が漏れてしまい、申し訳ありません。
そのような認識で問題ないです。
xxx.xxx.xxx.xxx.は踏み台(bastion)です。

Answer 1

Listen アドレスとポート番号を確認ください。

ssh -f -N -L 33306:foo.bar.hoge:3306 ${username}@xxx.xxx.xxx.xxx (略)

db-tunnel の [127.0.0.1]:33306 を Listen し、そこへ接続があった場合、xxx.xxx.xxx.xxx 経由で foo.bar.hoge:3306 に転送する設定です。

Listen アドレスが 127.0.0.1 ですので、db-tunnel コンテナ内からしか接続できません。
外部から接続するには Listen アドレスに db-tunnel コンテナの IPアドレス、または、0.0.0.0 を明示する必要があります。

また、Docker 側で ports: "3306:3306" ですので、ホストの 3306 番ポートへの接続を db-tunnel コンテナの 3306 番ポートに転送しますが、db-tunnel 側の Listen ポート 33306 とくい違っています。
db-tunnel 側の Listen ポートも 3306 にするといいのではないでしょうか。

ssh -f -N -L 0.0.0.0:3306:foo.bar.hoge:3306 ${username}@xxx.xxx.xxx.xxx (略)

Comments

[yum3]

ありがとうございます。0.0.0.0を明示して、Docker内のipアドレスで指定することで別コンテナからもトンネルをうまく利用することができました。明示しないとローカルホストがデフォになってしまうんですね・・・。知識が足りていませんでした。
ありがとうございました！