Posted inホームラボ

DockerでApache Guacamoleを構築：RDP・SSH・VNCにブラウザ経由で安全にアクセスできるゲートウェイ

HomeLab tutorial - IT technology blog
HomeLab tutorial - IT technology blog

リモートアクセスの現場で直面する悪夢

半年前、自宅ラボの14台のVM、3台のAWS EC2インスタンス、そして数台のエッジRaspberry Piからなる環境の管理は、運用上の大混乱に陥っていました。日常業務ではPuTTY、Windowsのリモートデスクトップ（MSTSC）、Remmina、TigerVNCという4つの異なるデスクトップツールを使い分ける必要があり、新しいノートPCに切り替えたり、制限の厳しいクライアント端末から作業したりすると、ワークフローが瞬時に破綻してしまっていたのです。

インフラへの再接続は常に苦痛を伴いました。容量の大きいデスクトップクライアントをインストールしたり、デバイス間で秘密鍵をコピーしたり、WireGuardのUDPトラフィックやカスタム送信ポートを遮断する企業プロキシと格闘したりしなければなりませんでした。

従来のリモートアクセスが大規模環境で破綻する理由

一般的な管理者向けのセットアップには、アーキテクチャ上4つの大きな欠陥があります。

  • 直接的なポート開放のリスク: ポート3389（RDP）、22（SSH）、5900（VNC）をインターネットに直接公開することは極めて危険です。ファイアウォールを開放してから15分もしないうちに、Shodanの自動スキャンやブルートフォースボットの標的になります。
  • クライアント環境への依存: 従来のプロトコルでは専用ソフトウェアが必須です。iPad、Chromebook、あるいは制限された社用PCから障害対応を行おうとしても、すぐに行き詰まってしまいます。
  • 厳格なネットワークフィルタリング: OpenVPNやWireGuardなどの標準的なVPNは特定のUDP/TCPポートを使用します。ホテルの厳しいWi-Fiや企業プロキシでは、これらのパケットは即座にドロップされてしまいます。
  • セッション可視性の分散: 多数のスタンドアロンマシンにまたがるクリップボード権限、アクティブなユーザーセッション、監査ログの管理は、運用上の大きな盲点を生み出します。

リモートアクセスソリューションの比較

単一のツールに統一する前に、ステージングサーバーおよび本番サーバーで4つのアプローチを検証しました。

ソリューション 構築の手間 クライアント要件 ファイアウォール親和性 セキュリティ体制
ポートフォワーディング（NAT） 5分 専用クライアントアプリ 低い（非標準ポートの遮断） 重大なリスク（WANに直接露出）
WireGuard / OpenVPN 30分 専用クライアント + root/管理者権限 普通（UDPが頻繁に制限される） 高い（暗号化トンネル）
商用SaaS（AnyDesk/TeamViewer） 10分 各ホストへのベンダーエージェント導入 良好（アウトバウンドHTTPS） サードパーティ依存＆サブスクリプション費用
Apache Guacamole ゲートウェイ 20分 最新のHTML5対応ブラウザ 極めて優秀（標準のポート443 HTTPS） 高い（分離されたプロキシアーキテクチャ）

解決策：DockerでApache Guacamoleを運用する

Apache GuacamoleはクライアントレスのHTML5ゲートウェイとして機能します。接続対象サーバーのポートがブラウザに直接公開されることはありません。代わりに、Guacamoleサーバーが標準のWebSocketまたはHTTPトンネルを介してリモート画面を描画します。これにより、Chrome、Firefox、Safariなどのブラウザ上で直接、完全なデスクトップセッションやターミナルシェルを操作できます。

私はこのコンテナ構成を本番環境で直近2四半期運用し、ダウンタイムゼロを達成しています。以下が、今すぐデプロイできるDocker構成の全容です。

1. アーキテクチャの概要

このスタックは3つの軽量コンテナで構成されています。

  1. guacd: RDP、SSH、VNCのストリームをGuacamoleプロトコルに変換する、C言語ベースのネイティブプロキシデーモン。
  2. guacamole: HTML5 Webインターフェースの配信と認証処理を担う、Apache Tomcat上で動作するJavaサーブレット。
  3. guacamole-db (PostgreSQL): ユーザー認証情報、詳細な接続パラメータ、セッションログ、監査履歴を保存するデータベース。

2. データベース初期化スキーマの生成

Guacamoleでは、PostgreSQLが接続を受け付ける前に専用スキーマを作成しておく必要があります。公式のGuacamoleコンテナイメージからSQLスクリプトを直接生成します。

mkdir -p ~/guacamole/init
cd ~/guacamole

# 公式データベーススキーマを抽出
docker run --rm guacamole/guacamole /opt/guacamole/bin/initdb.sh --postgresql > ./init/01-initdb.sql

3. 本番向けDocker Compose設定

~/guacamole ディレクトリに docker-compose.yml ファイルを作成します。

version: '3.8'

services:
  guacamole-db:
    image: postgres:15-alpine
    container_name: guacamole_db
    restart: unless-stopped
    environment:
      POSTGRES_DB: guacamole_db
      POSTGRES_USER: guacamole_user
      POSTGRES_PASSWORD: ReplaceWithStrongDbPassword!
    volumes:
      - ./init:/docker-entrypoint-initdb.d:ro
      - pgdata:/var/lib/postgresql/data
    networks:
      - guac-internal

  guacd:
    image: guacamole/guacd:latest
    container_name: guacd
    restart: unless-stopped
    networks:
      - guac-internal

  guacamole:
    image: guacamole/guacamole:latest
    container_name: guacamole_web
    restart: unless-stopped
    depends_on:
      - guacamole-db
      - guacd
    environment:
      GUACD_HOSTNAME: guacd
      GUACD_PORT: 4822
      POSTGRESQL_HOSTNAME: guacamole-db
      POSTGRESQL_PORT: 5432
      POSTGRESQL_DATABASE: guacamole_db
      POSTGRESQL_USER: guacamole_user
      POSTGRESQL_PASSWORD: ReplaceWithStrongDbPassword!
    ports:
      - "127.0.0.1:8080:8080"
    networks:
      - guac-internal

volumes:
  pgdata:

networks:
  guac-internal:
    driver: bridge

4. スタックのデプロイと初期化

バックグラウンド（デタッチモード）でコンテナを起動します。

docker compose up -d

Webアプリケーションのログを監視し、データベースのマイグレーションがエラーなく完了することを確認します。

docker logs -f guacamole_web

Tomcatの初期化完了メッセージが表示されたら、ブラウザを開いて http://<YOUR_SERVER_IP>:8080/guacamole/ にアクセスします。

  • 初期ユーザー名: guacadmin
  • 初期パスワード: guacadmin

5. インストール後の必須セキュリティ設定

初回ログイン後は、以下のセキュリティ強化手順を必ず実施してください。

  1. Settings（設定）> Users（ユーザー）> guacadmin に移動し、直ちにパスワードを変更します。さらに安全性を高めるため、任意のユーザー名で新しい管理者ユーザーを作成し、デフォルトの guacadmin アカウントは完全に削除することをおすすめします。
  2. ポート8080の前面にリバースプロキシ（Nginx、Caddy、Traefikなど）を配置し、Let’s EncryptのTLS証明書を適用します。Guacamoleのトラフィックを暗号化されていないHTTP経由でルーティングしてはいけません。平文HTTPで送信されるキーストローク、パスワード、クリップボードデータは、公衆ネットワーク上で容易に傍受される危険性があります。
  3. Guacamole TOTP拡張機能をコンテナにマウントし、二要素認証（TOTP）を有効化します。

6. リモート接続の追加

Settings（設定）> Connections（接続）> New Connection（新規接続） から接続先ターゲットを追加します。

  • RDP（Windows）: RDP を選択し、接続先ホストのIPアドレスを指定、ポートに 3389 を設定して、Security mode を NLA（ネットワークレベル認証）に設定します。Windowsホストが自己署名証明書を使用している場合は、接続切断を防ぐために Ignore cert にチェックを入れます。
  • SSH（Linux）: SSH を選択し、ポート 22 とユーザー名を入力します。OpenSSHの秘密鍵を設定フィールドに直接貼り付けるか、ログイン時にパスフレーズを要求するように設定できます。
  • VNC（macOS / Linux GUI）: VNC を選択し、ポート 5900（または 5901 などのカスタムディスプレイ番号）を指定します。

本番運用6ヶ月で得られた実践的知見

Guacamoleを日々運用する中で見えてきた、知っておくべき運用のコツやパフォーマンス特性をいくつか紹介します。

  • クリップボードのTips: 内蔵のスライドメニュー（Windows/Linuxでは Ctrl + Alt + Shift、macOSでは Cmd + Ctrl + Shift で表示）には専用のテキストバッファが用意されています。これにより、SSHセッションへ複数行のスクリプトを貼り付ける際、ブラウザのクリップボードアクセス権限ブロックを完全に回避できます。
  • 極めて少ないリソース消費: 3つのコンテナスタック全体で、アイドル時のRAM使用量は約340MBに収まります。一般的な2コアVPS環境でも、1080pのRDPストリーミング中のCPU使用率はわずか6〜8%程度であり、ホストのリソース競合を最小限に抑えられます。
  • 監査ログとセッション記録: Guacamoleにはセッション記録機能が組み込まれており、リモートデスクトップの操作内容を軽量なベクターファイルとして保存できます。ギガバイト単位のディスク容量を消費することなく、後から管理者の操作内容を振り返ることが可能です。

すべての管理アクセスを暗号化されたブラウザベースのゲートウェイに集約することで、接続対象のマシンをパブリックインターネットに晒すことなく、あらゆるデバイスから安定して接続できるようになります。

Share:
Tags: