SSH隧道或SSH端口转发是一种在客户端和服务器计算机之间创建加密的SSH连接的方法,通过该连接可以中继服务端口。

SSH转发对于传输使用未加密协议的服务(例如VNC或 FTP ),访问受地理限制的内容或绕过中间防火墙的网络数据很有用。基本上,您可以转发任何TCP端口并通过安全的SSH连接建立隧道流量。

三种类型的SSH端口转发:

  • 本地端口转发。 -将连接从客户端主机转发到SSH服务器主机,然后转发到目标主机端口。
  • 远程端口转发。 -将端口从服务器主机转发到客户端主机,然后转发到目标主机端口。
  • 动态端口转发。 -创建SOCKS代理服务器,该服务器允许跨多个端口进行通信。

在本文中,我们将讨论如何设置本地,远程和动态加密的SSH隧道。

本地端口转发

本地端口转发使您可以将本地(ssh客户端)计算机上的端口转发到远程(ssh服务器)计算机上的端口,然后再转发到目标计算机上的端口。

在这种类型的转发中,SSH客户端侦听给定的端口,并将与该端口的任何连接通过隧道传输到远程SSH服务器上的指定端口,然后再连接到目标计算机上的端口。目标计算机可以是远程SSH服务器或任何其他计算机。

本地端口转发通常用于连接到内部网络(例如数据库或VNC服务器)上的远程服务。

在Linux,macOS和其他Unix系统中,创建本地端口转发将-L选项传递给ssh客户端:

ssh -L [LOCAL_IP:]LOCAL_PORT:DESTINATION:DESTINATION_PORT [USER@]SSH_SERVER

使用的选项如下:

  • [LOCAL_IP:]LOCAL_PORT-本地计算机的IP和端口号。如果省略LOCAL_IP,则ssh客户端将绑定到本地主机。
  • DESTINATION:DESTINATION_PORT -目标机器的IP或主机名和端口。
  • [USER@]SERVER_IP -远程SSH用户和服务器IP地址。

可以将大于1024的任何端口号用作LOCAL_PORT。小于1024的端口号是特权端口,并且只能由root用户使用。如果您的SSH服务器正在侦听22 (默认)以外的端口,请使用-p [PORT_NUMBER]选项。

目标主机名必须可以从SSH服务器解析。

假设您有一个MySQL数据库服务器在内部(专用)网络上的计算机db001.host上运行,并且可从计算机pub001.host访问的端口3306上,并且您想使用本地计算机mysql客户端进行连接到数据库服务器。为此,您可以像这样转发连接:

ssh -L 3336:db001.host:3306 user@pub001.host

运行命令后,系统会提示您输入远程SSH用户密码。输入后,您将登录到远程服务器并建立SSH隧道。 设置基于SSH密钥的身份验证,然后不输入密码即可连接到服务器是一个好主意。

现在,如果将本地计算机数据库客户端指向127.0.0.1:3336,则连接将通过充当中间服务器的pub001.host计算机转发到db001.host:3306 MySQL服务器。

您可以在一个ssh命令中将多个端口转发到多个目标。例如,您在计算机db002.host上运行了另一台MySQL数据库服务器,并且想要从本地客户端连接到这两个服务器,您将运行:

ssh -L 3336:db001.host:3306 3337:db002.host:3306 user@pub001.host

要连接到第二台服务器,请使用127.0.0.1:3337

如果目标主机与SSH服务器相同,而不是指定目标主机IP或主机名,则可以使用localhost

假设您需要通过VNC连接到远程计算机,该计算机在同一服务器上运行,并且无法从外部访问。您将使用的命令是:

ssh -L 5901:127.0.0.1:5901 -N -f user@remote.host

-f选项告诉ssh命令在后台运行,告诉-N不要执行远程命令。我们正在使用localhost,因为VNC和SSH服务器在同一主机上运行。

如果在设置隧道时遇到问题,请检查远程SSH服务器配置,并确保AllowTcpForwarding未设置为no。默认情况下,允许转发。

远程端口转发

远程端口转发与本地端口转发相反。它允许您将远程(ssh服务器)计算机上的端口转发到本地(ssh客户端)计算机上的端口,然后再转发到目标计算机上的端口。

在这种类型的转发中,SSH服务器侦听给定端口,并将与该端口的任何连接通过隧道传输到本地SSH客户端上的指定端口,然后该本地SSH客户端连接到目标计算机上的端口。目标计算机可以是本地计算机,也可以是任何其他计算机。

在Linux,macOS和其他Unix系统中,要创建远程端口转发,请将-R选项传递给ssh客户端:

ssh -R [REMOTE:]REMOTE_PORT:DESTINATION:DESTINATION_PORT [USER@]SSH_SERVER

使用的选项如下:

  • [REMOTE:]REMOTE_PORT-远程SSH服务器上的IP和端口号。空REMOTE表示远程SSH服务器将在所有接口上绑定。
  • DESTINATION:DESTINATION_PORT -目标计算机的IP或主机名和端口。
  • [USER@]SERVER_IP -远程SSH用户和服务器IP地址。

本地端口转发通常用于使外部人员可以访问内部服务。

假设您正在本地计算机上开发Web应用程序,并且想向开发人员显示预览。您没有公共IP,因此其他开发人员无法通过Internet访问该应用程序。

如果您可以访问远程SSH服务器,则可以按照以下步骤设置远程端口转发:

ssh -L 8080:127.0.0.1:3000 -N -f user@remote.host

上面的命令将使ssh服务器在端口8080上侦听,并将所有从该端口传输到端口3000上的本地计算机的隧道。

现在,您的同伴开发人员可以在浏览器中输入the_ssh_server_ip:8080并预览您的应用程序。

如果您在设置远程端口转发时遇到问题,请确保在远程SSH服务器配置中将GatewayPorts设置为yes

动态端口转发

动态端口转发使您可以在充当SOCKS代理服务器的本地(ssh客户端)计算机上创建套接字。当客户端连接到该端口时,连接将转发到远程(ssh服务器)计算机,然后再转发到目标计算机上的动态端口。

这样,所有使用SOCKS代理的应用程序都将连接到SSH服务器,并且服务器会将所有流量转发到其实际目的地。

在Linux,macOS和其他Unix系统中,创建动态端口转发(SOCKS)会将-D选项传递给ssh客户端:

ssh -R [LOCAL_IP:]LOCAL_PORT [USER@]SSH_SERVER

使用的选项如下:

  • [LOCAL_IP:]LOCAL_PORT-本地计算机的IP和端口号。如果省略LOCAL_IP,则ssh客户端将绑定到本地主机。
  • ​​ [USER@]SERVER_IP -远程SSH用户和服务器IP地址。

动态端口转发的典型示例是通过SSH服务器建立Web浏览器流量的隧道。

以下命令将在端口9090上创建SOCKS隧道:

ssh -D 9090 -N -f user@remote.host

建立隧道后,您可以配置应用程序以使用它。 本文介绍了如何配置Firefox和Google Chrome浏览器以使用SOCKS代理。

必须为要通过其传输流量的每个应用程序分别配置端口转发。

在Windows中设置SSH隧道

Windows用户可以使用PuTTY SSH客户端创建SSH隧道。您可以在此处下载PuTTY。

启动,然后在Host name (or IP address)字段中输入SSH服务器IP地址。

Connection菜单下,展开SSH并选择Tunnels。选中Local单选按钮以设置本地,Remote设置为远程,Dynamic设置为动态端口转发。

  • 如果要设置本地转发,请在Source Port中输入本地转发端口。在Destination字段中输入目标主机和IP,例如localhost:5901
  • 对于远程端口转发,请在Source Port字段中输入远程SSH服务器转发端口,然后在Destination中输入目标主机和IP,例如localhost:3000
  • 如果要设置动态转发,请在Source Port字段中仅输入本地SOCKS端口。

单击Add按钮,如下图所示

返回Session页面以保存设置,因此您无需每次都输入它们。在Saved Session字段中输入会话名称,然后单击Save按钮。

选择保存的会话并通过单击Open按钮登录到远程服务器。

将显示一个新窗口,询问您的用户名和密码。输入用户名和密码后,您将登录到服务器并启动SSH隧道。

设置公钥身份验证将使您无需输入即可连接到服务器密码。

结论

我们向您展示了如何设置SSH隧道并通过安全的SSH连接转发流量。为了易于使用,您可以在 SSH配置文件中定义SSH隧道,或创建将建立SSH隧道的 Bash别名

如果您遇到问题或有反馈,请在下面发表评论。

如果你喜欢我们的内容可以选择在下方二维码中捐赠我们,或者点击广告予以支持,感谢你的支持