概述
SSH 会自动加密和解密一切 SSH 客户端与服务端之间的网络数据。可是，SSH 还一同供给了一个十分有用的功能，这便是端口转发。它能够将其他 TCP 端口的网络数据经过 SSH 链接来转发，并且自动供给了相应的加密及解密服务。这一过程有时也被叫做“地道”（tunneling）。这是由于 SSH 为其他 TCP 衔接供给了一个安全的通道，避免了用户名，密码以及隐私信息的明文传输。例如，Telnet，SMTP，LDAP 这些 TCP 运用。 假如工作环境中的防火墙约束了一些网络端口的运用，可是答应 SSH 的衔接，那么也是能够经过将 TCP 端口转发来运用 SSH 进行通讯。总的来说 SSH 端口转发能够供给两大功能：
- 加密 SSH Client 端至 SSH Server 端之间的通讯数据。
- 突破防火墙的约束完成一些之前无法树立的 TCP 衔接。
本地转发
当开发机的Mysql只能从跳板机连上，我怎样才干越过跳板机来拜访长途Mysql呢？
ssh -L [local host:]<local port>:<remote host>:<remote port> <SSH hostname>
看起来十分的令人费解，不清楚的问题不过便是三个，what? where? how?
- what : 运用本地转发，监听本地的某个端口，当运用拜访这个端口的时分，ssh会将恳求截取到，经过跳板机作为中心前言，转发到服务器上。 服务器处理完成后，数据再原路回来完成整个链路。ssh服务在这个过程中完成了加密，转发，解密，通讯的操作。
- where : 在客户端（也称本地、SSH Client）上做这个事情
- how : 运用以下指令装备,就能够到达拜访本地9527端口转发到服务器的3306端口啦
ssh -L 9527:服务器:3306 root@跳板机
解释为，当拜访本机的9527的端口时，被加密后转发到跳板机的ssh服务，服务器的3306端口
留意的点
- SSH 端口转发是经过 SSH 衔接树立起来的，咱们有必要坚持这个 SSH 衔接以使端口转发坚持收效。一旦封闭了此衔接，相应的端口转发也会随之封闭。
- 咱们只能在树立 SSH 衔接的一同创立端口转发，而不能给一个现已存在的 SSH 衔接增加端口转发。
- 好了，咱们现已在本地 树立了端口转发，那么已然咱们在监听本地的9527端口，那么其他机器也拜访本地的9523端口会不会自动转发呢？比方能否新增加一台客户端2来直连续接客户端的9527 端口？答案是不行的，在干流 SSH 完成中，本地端口转发绑定的是 lookback 接口，这意味着只要 localhost 或许 127.0.0.1 才干运用本机的端口转发 , 其他机器建议的衔接只会得到“ connection refused. ”。好在 SSH 一同供给了 GatewayPorts 关键字，咱们能够经过指定它与其他机器同享这个本地端口转发。
ssh -g -L <local port>:<remote host>:<remote port> <SSH hostname>
- 当然了，你能够随意的指定remote host，假如你要拜访的服务就在跳板机上，由于防火墙又不能直接拜访到，那么
remote host和SSH hostname能够是同一台
长途转发
我的开发机上布置了一个mysql服务，我想回家今后还是连上我处于内网开发机上的mysql服务，这个时分咱们怎样弄呢？
ssh -R [ssh server host:]<SSH server port>:<local host>:<local port> <SSH hostname>
- what ：运用长途转发，监听公网服务器的某个端口，当运用拜访这个端口的时分，ssh会将恳求截取到，经过ssh客户端作为中心前言，转发到真实供给服务的服务器上。 服务器处理完成后，数据再原路回来完成整个链路。
- where : 在内网服务器上运转此指令
- how ：运用以下指令装备,就能够到达拜访外网机器9527端口转发到内网服务器的3306端口啦
ssh -R 9527:内网机器:3306 root@公网机器
让公网服务器监听9527端口的拜访，如有拜访，就加密后经过ssh服务转发恳求到内网机器ssh客户端，再由内网机器ssh客户端解密后转发到内网机器3306端口。这听起来有点奇怪，由于这个时刻内网服务器充当了两个人物，便是ssh客户端和server端。用下图的展示看起来更直观一点
ssh -R 9527:内网机器:3306 root@公网机器
这个时分便是让公网服务器监听9527端口的拜访，如有拜访，就加密后经过ssh服务转发恳求到跳板机ssh客户端上，再由ssh客户端解密后转发到内网机器3306端口上。
留意的点
- 有必要坚持ssh client到ssh server的 SSH 衔接以使端口转发坚持收效。一旦封闭了此衔接，相应的端口转发也会随之封闭。
- 咱们只能在树立 SSH 衔接的一同创立端口转发，而不能给一个现已存在的 SSH 衔接增加端口转发。
- 对于长途转发来说，
/etc/ssh/sshd_config里要把AllowTcpForwarding选项设置为yes，不然-R长途端口转发会失败。把/etc/sysctl.conf里的net.ipv4.ip_forward = 0设置为1 - 默许转发到长途主机上的端口绑定的是127.0.0.1，如要绑定0.0.0.0需求把
/etc/ssh/sshd_config里的GatewayPorts选项设置为yes。这个选项假如由于权限没法打开也有办法，可合作ssh -L将端口绑定到0.0.0.0,如下
ssh -R 127.0.0.1:9527:内网机器:3306 root@公网机器
ssh -L 0.0.0.0:9527:127.0.0.1:9527 root@127.0.0.1
本地转发与长途转发的差异与共同点
共同点：
- 都要坚持ssh不要断掉
- 都是在树立链接的一同创立端口转发
- 都是转发恳求
- 都是在ssh client上运转
差异：
- 本地转发是ssh client便是client,长途转发ssh client是server
- 本地转发是本地恳求长途的服务，长途转发是长途恳求本地的服务
- 实有理不清，听我的，转发是指转发恳求，本地转发便是把本地的恳求转发出去；长途转发便是把长途的恳求转发过来。
动态转发
我有一台香港服务器能上外网，凭什么我自己不能上外网！还真就能够。
前面咱们现已评论过了本地转发，长途转发，可是条件都是要求有一个固定的运用服务端的端口号。那假如没有端口号怎样办？等等，什么样的运用会没有这个端口号呢？嗯，比方说用浏览器，比方说 MSN 等等。
一同当咱们在一个不安全的 WiFi 环境下上网，用 SSH 动态转发来保护咱们的网页浏览及 MSN 信息无疑是十分必要的。
让咱们先来看一下动态转发的指令格局：
ssh -D <local port> <SSH Server>
ssh -qTFnN -D 127.0.0.1:9527 root@香港服务器
怎样运用
- 在浏览器里设置运用socks5署理127.0.0.1:9527，然后浏览器就能够拜访host1所在网络内的任何IP了。引荐chrome浏览器switchyOmega插件设置为下就能够了。
- 假如是一般指令行运用，运用proxychains-ng，参阅指令如下：
brew install proxychains-ng
vim /usr/local/etc/proxychains.conf # 在ProxyList装备段下增加装备 "socks5 127.0.0.1 9527"
proxychains-ng wget http://host2 # 在其它指令行前增加proxychains-ng即可
- 假如是ssh，则用以下指令运用socks5署理：
ssh -o ProxyCommand='/usr/bin/nc -X 5 -x 127.0.0.1:5000 %h %p' user@host2
转发常用的参数
用法
ssh -qTfnN -D 127.0.0.1:12345 test@222.333.444.555
-f 要求 ssh在执行指令前退至后台.它用于当ssh预备问询口令或密语,可是用户期望它在后台进行.该选项隐含了-n选项.
-N 不执行长途指令.用于转发端口.
-C 要求进行数据紧缩 (包含stdin, stdout, stderr以及转发X11和TCP/IP衔接 的数据).紧缩算法和gzip(1)的一样,协议第一版中,紧缩等级 “level” 用CompressionLevel选项操控.紧缩技术在modem线路或其他慢速衔接上很有用,可是在高速网络上反而 或许下降速度.能够在装备文件中对每个主机独自设定这个参数.
-g 答应远端主机衔接本地转发的端口
-q 安静模式.消除一切的正告和诊断信息
-T 制止分配伪终端
-n 把 stdin重定向到/dev/null (实际上防止从stdin读取数据). ssh在后台运转时一定会用到这个选项.它的常用技巧是长途运转X11程序.
引用
ssh 端口转发
一同前进
可私信我，也可 加我好友 咱们一同前进，还能够加Go言语交流群
