軽量なngrok代替：RustとGoのマイクロプロキシ

Edgeコンピューティング、ホームラボ、IoT開発の急速な進化の中で、ローカルサービスを安全にパブリックインターネットに公開することは常に中心的な課題でした。長年にわたり、開発者は商用の集中型サービスに頼り、Network Address Translation (NAT)ファイアウォールを突破するための穴を開けてきました。しかし、2026年のエコシステムの成熟に伴い、ニッチながら非常に情熱的なトレンドが浮上しています：開発者は重厚な商用プロキシサービスを、RustやGoで書かれた超ミニマリストツールに置き換えつつあります。

これらのマイクロプロキシはエンタープライズプラットフォームを目指していません。彼らは遠慮なく小さく、驚くほど高速で、完全にオープンソースです。IoT趣味者やエッジネットワークのアーキテクトが低メモリデバイス上でアプリケーションを動かす場合、軽量なngrokの代替を見つけることは贅沢ではなく必要不可欠となっています。

この記事では、Bore、Rathole、Chiselといったツールのアーキテクチャと実用例に深く掘り下げながら、これらの特殊なネットワーキングツールの台頭を探ります。なぜ開発者が切り替えているのか、Raspberry Piのlocalhostトンネルを設定する方法、そして次の組み込みプロジェクトに最適なbore vs ratholeの議論を締めくくります。

---

現代のトンネリングの肥大化

ミニマリストな代替案に入る前に、この変化を促した背景を理解することが重要です。ローカル開発サーバーやホームアシスタントダッシュボード、リモートIoTセンサーを公開するには、NATや厳格なファイアウォールを回避する必要があります。

従来は、複雑なSSHリバースポートフォワーディング（ssh -R）を使って実現していました。これは効果的でしたが、接続の切断や特定のsshd_configの変更を必要とし、専用のVPSが必要でした。その後、SaaSトンネルプロバイダーの時代が到来し、これらのサービスは開発者にとって魔法のような体験を提供：1つのコマンドで、ローカルマシンを指すHTTPSで保護された公開URLを瞬時に提供します。

しかし、これらのプラットフォームが成長するにつれ、単なる開発者ツールから巨大なエッジ配信ネットワークへと変貌を遂げました。これにより、認証層、トラフィック検査、負荷分散、WAFなどのエンタープライズ機能が導入されましたが、その一方で次のような摩擦も生まれました：

1. リソースのオーバーヘッド： フルスケールのエッジプラットフォームのクライアントデーモンはリソースを多く消費します。MacBook M3なら無視できますが、Raspberry Pi Zeroや制約のある組み込みLinuxデバイスでは顕著です。
2. 帯域幅と接続制限： 商用プラットフォームの無料プランは帯域やアクティブなトンネル数、ドメインのローテーションを制限し、自動化されたワークフローを破壊します。
3. クローズドエコシステム： 多くの現代的なトンネルクライアントはクローズドソースです。セキュリティに敏感なホームラボユーザーやプライベートインフラを運用する場合、クローズドソースのネットワークデーモンは致命的です。

これらの制約に対する反応として、オープンソースのマイクロプロキシの復興が起こっています。RustやGoといった現代的なシステムレベル言語で構築され、単一バイナリ展開、メモリ安全性、ほぼゼロのランタイム依存性を実現しています。

---

Chisel：Goプロキシのスイスアーミーナイフ

現代のネットワーキングツールを語るとき、Go（Golang）はその卓越した並行性モデルと堅牢な標準ライブラリのおかげで最初に思い浮かびます。ミニマリストなトンネリングの世界では、chisel reverse proxyが究極のスイスアーミーナイフとして君臨しています。

Chiselとは？

Chiselは、HTTP上で高速なTCP/UDPトンネルを確立し、SSHで保護されたツールです。Jaime Pilloraによって作成され、MITライセンスの下で公開されています。Goで完全に書かれ、クライアントとサーバーを一つの実行ファイルにまとめています。2026年半ば時点で、GitHubのスターは約16,500、フォークは1,600を超え、最新リリース（v1.11.8）はGo 1.27.0でビルドされており、積極的にメンテナンスされていることが示されています。

Chiselの仕組み

“HTTP上”のフレーミングは少し具体的です：ChiselはHTTP(S)リクエスト上にWebSocket接続を開き、その上でSSH認証されたセッションを多重化します。暗号化されたチャネルを持つこのセッションは、一つの接続を通じてやり取りされます。最初のハンドシェイクはUpgradeヘッダーを持つ普通のHTTPリクエストのように見えるため、多くの企業プロキシやCDNを通過可能です。Cloudflare（WebSocket有効化済み）やHerokuでも動作確認済みです。ただし、Upgradeヘッダーを除去するプロキシ（厳格な企業プロキシなど）はChiselを完全にブロックします。したがって、すべての環境でDPI回避ツールとしては使えません。

暗号化は必須です。起動時にサーバーはメモリ内でECDSA鍵ペアを生成し、そのフィンガープリントを出力します。クライアントは--fingerprintでそのフィンガープリントを固定し、中間者攻撃を検出します。信頼できるネットワーク外での運用には推奨される方法です。

主要な特徴（READMEに基づく検証）

• 単一実行ファイル： サーバーとクライアントの別パッケージをインストール不要
• HTTP（WebSocketアップグレード経由）トランスポート： WebSocketをサポートするほとんどのファイアウォールやCDNを通過可能。ただし、Upgradeヘッダーを除去するものは不可
• 組み込みのSOCKS5： サーバーは完全なSOCKS5プロキシとして動作可能。ブラウザやシステムのトラフィックをトンネル経由でルーティングできる
• リバースポートフォワーディング： サーバーはクライアントのローカルサービスにマッピングされるポートを公開可能（--reverseオプション）
• 自動再接続： クライアントは指数バックオフで自動再接続

2026年のセキュリティ：ミニマリストツールもパッチが必要

オープンソースだからといってバグから免れるわけではありません。2026年には、Chiselに関する高重大度の脆弱性が2件公開されました： - SSHハンドシェイク後のExtraData注入による認証ファイルACLバイパス（GHSA-24fp-5v3p-rvpw、2026年5月） - 制限された認証済みクライアントがSOCKS5チャネルを通じて任意のサーバー内部TCPサービスにアクセスできるバイパス（GHSA-397r-r4gr-x5pg、2026年6月）

修正はv1.11.7以降で導入され、重要な変更です。SOCKS5アクセスはusers.jsonの`