ssh端口转发详解

247次阅读

共计 4081 个字符，预计需要花费 11 分钟才能阅读完成。

ssh 是个多用途的工具，不仅可以远程登录，还可以搭建 socks 代理、进行内网穿透，这是利用它的端口转发功能来实现的。

所谓 ssh 端口转发，就是在 ssh 连接的基础上，指定 ssh client 或 ssh server 的某个端口作为源地址，所有发至该端口的数据包都会透过 ssh 连接被转发出去；至于转发的目标地址，既可以指定，也可以不指定，如果指定了目标地址，称为定向转发，如果不指定目标地址则称为动态转发：

定向转发
定向转发把数据包转发到指定的目标地址。目标地址不限定是 ssh client 或 ssh server，既可以是二者之一，也可以是二者以外的其他机器
动态转发
动态转发不指定目标地址，数据包转发的目的地是动态决定的

因为 ssh 端口转发是基于 ssh 连接的，所以如果 ssh 连接断开，那么设置好的端口转发也会随之停止。

在设置端口转发之前，必须确认 ssh 的端口转发功能是打开的。

ssh 端口转发功能默认是打开的。控制它的开关叫做 AllowTcpForwarding，位于 ssh server 的配置文件 /etc/ssh/sshd_config 里：
AllowTcpForwarding yes
如果修改的话需要重启 sshd 服务才会生效。

设置端口转发之前要注意 iptables 设置，确保相应的端口未被屏蔽，如果嫌麻烦的话也可以临时禁用 iptables：
# service iptables stop

定向转发和动态转发的设置方法是不一样的，以下分别介绍。

设置定向转发

定向转发可以把一个 IP:Port 定向映射到另一个 IP:Port，源和目的都必须指定。源地址既可以是 ssh client 的某个端口，也可以是 ssh server 的某个端口：

如果源地址是 ssh client 的某个端口，称为本地转发（Local Port Forwarding），发往 ssh client 指定端口的数据包会经过 ssh server 进行转发；
如果源地址是 ssh server 的某个端口，则称为远程转发（Remote Port Forwarding），发往 ssh server 指定端口的数据包会经过 ssh client 进行转发.

ssh 端口转发详解

设置本地转发：

先看一下基本命令：

在 ssh client 上执行：
{ssh client}# ssh -g -N -f -o ServerAliveInterval=60 \
-L <local port>:<remote host>:<remote port> username@<ssh server>
参数的含义在后面有解释。

我们以下面的示意图为例：你想 telnet 连接 {remote host}，但是无法直达，你只能直接连接 ssh client，于是试图通过{ssh client} 到{ssh server}这条通道中转：

{you} — {ssh client} — {ssh server} — {remote host}

我们要做的是在 {ssh client} 上执行以下命令：

{ssh client} # ssh -g -L 2323:<remote-host>:23 username@<ssh-server>

输入口令之后，就跟普通的 ssh 登录一样，我们进入了 shell，在 shell 中可以正常操作，不同之处是，它同时还把 {ssh client} 的 2323 端口映射到了{remote host} 的 23 端口——亦即 telnet 端口，此后执行”telnet <ssh client> 2323″就相当于”telnet <remote-host>”，只要 shell 不退出，这个定向转发就一直有效。

注 1：如果以上命令不加”-g”选项，那么 SSH Client 上的监听端口 2323 会绑定在 127.0.0.1 上，意味着只有 SSH Client 自己才能连上。加上”-g”选项之后，SSH Client 才允许网络上其他机器连接 2323 端口。
注 2：以上命令会生成一个 shell，有时候并不符合我们的需要，因为多数时候我们只想要一个端口转发功能，挂一个 shell 是个累赘，而且 shell 一退出，端口转发也停了。这就是为什么我们需要”-N -f”选项的原因：
-N 告诉 ssh client，这个连接不需要执行任何命令，仅做端口转发
-f 告诉 ssh client 在后台运行
注 3：为了避免长时间空闲导致 ssh 连接被断开，我们可以加上”-o ServerAliveInterval=60″选项，每 60 秒向 ssh server 发送心跳信号。还有一个 TCPKeepAlive 选项的作用是类似的，但是不如 ServerAliveInterval 好，因为 TCPKeepAlive 在 TCP 层工作，发送空的 TCP ACK packet，有可能会被防火墙丢弃；而 ServerAliveInterval 在 SSH 层工作，发送真正的数据包，更可靠些。
如果不是以 root 身份设置端口转发的话，转发端口只能使用大于 1024 的端口号。

设置远程转发：

先看一下基本命令，分为两部分：

在 ssh server 上：
编辑 /etc/ssh/sshd_config，设置以下内容然后重启 sshd 服务
GatewayPorts yes
在 ssh client 上执行：
{ssh client}# ssh -f -N -o ServerAliveInterval=60 \
-R <ssh server port>:<remote host>:<remote port> username@<ssh server>

这次的实例如下所示，你想用 telnet 连接 {remote host}，但是无法直达，于是试图通过{ssh server} 到{ssh client}这条通道中转，注意与前面介绍的本地转发的不同之处是，本地转发的案例中你只能直接连接到 ssh client，而这里你只能直接连到 ssh server：

{you} — {ssh server} — {ssh client} — {remote host}

我们要做的是在 {ssh client} 上执行以下命令：

{ssh client} # ssh -f -N -R 2323:<remote-host>:23 username@<ssh-server>

输入口令之后，{ssh server}的 2323 端口映射到了 {remote host} 的 23 端口——亦即 telnet 端口，此后执行”telnet <ssh server> 2323″就相当于”telnet <remote-host>”。