AWSのEC2でwebサーバ(プライベートサーバ)を起動したが踏み台経由で接続できないです

Question

助けてください

##やりたいこと
Macで踏み台サーバ経由でwebサーバにssh接続したい

configに追記して多段sshに挑戦

####.ssh/configに追記

Host bastion
  Hostname xx.xxx.xxx.xx
  User ec2-user
  IdentityFile ~/.ssh/xxxxxx.pem

Host web01
  Hostname xx.x.xx.xx
  User ec2-user
  IdentityFile ~/.ssh/xxxxxx.pem
  ProxyCommand ssh bastion -W %h:%p

sshで踏み台(bastion)には接続ができるが

webサーバ(web01)に接続しようとすると

下記のエラーが発生

channel 0: open failed: connect failed: Connection timed out
stdio forwarding failed
kex_exchange_identification: Connection closed by remote host

pingで確認

AWSコンソールでEC2インスタンス詳細画面にあるプライベート IPv4 アドレスを確認しpingコマンド打ってみても繋がらない感じがしています。

[ec2-user@ip-xxxxxxx ~]$ ping xx.xxx.xxx.xx
PING xxxxxxxx (xxxxxxxxx) 56(84) bytes of data.
^C
--- xxxxxxxxx ping statistics ---
11 packets transmitted, 0 received, 100% packet loss, time 10228ms

ググってみたのですが分からずに詰まっています。。。。。
ご教示いただけると助かります。

Comments

[tabuu]

踏み台サーバとWebサーバはどちらもEC2、クライアントと踏み台サーバはSSHで疎通確認済み、
ということでしょうか？

ネットワークの構成をもう少し詳しく

[kokotaro]

> 踏み台サーバとWebサーバはどちらもEC2、クライアントと踏み台サーバはSSHで疎通確認済み、
ということでしょうか？

はい。その状態です。

Answer 1

まず、bastionからweb01へのSSH接続は行えるのでしょうか。
そこから確認が必要です。

• 行える場合

.ssh/configの記載が間違っていないか確認する
Hostnameに指定するIPが間違っていたりしませんか？

• 行えない場合

AWS上のネットワーク周りの設定を確認する
web01が配置されているサブネットのルートテーブル設定が間違っていないか
web01のセキュリティグループが適切に設定されているか
など

ちなみに、pingを打ったところでセキュリティグループでICMPを許可していなければpingでの接続はできません。
SSHの接続確認をpingで行うのはやめたほうが良いです。プロトコルが違うので。
※ICMPを許可するべきか否かについてはちょうど過去に質問のやり取りがあったようなので
icmp を通すか、塞ぐか

Answer 2

踏み台サーバーとwebサーバーのセキュリティグループが違うことが原因でした。
両方ともデフォルトのセキュリティグループでしたがVPCネットワークが違っていました。
踏み台サーバーのVPCネットワークが間違えてたのでwebサーバーと同じVPCネットワークで踏み台のEC2インスタンス作成し、
セキュリティグループもwebサーバと同じデフォルトに設定することで多段SSHできました。
アドバイスくれた方ありがとうございます。