| 一文彻底搞懂ssh的端口转发 | 您所在的位置：网站首页 › ssh传输数据解码 › 一文彻底搞懂ssh的端口转发 |
一文彻底搞懂ssh的端口转发
|
文章目录
背景什么是端口转发？本地端口转发本地端口转发的语法场景1场景二ssh -L参数解释ssh 远程端口的安全问题
远程端口转发远程端口转发的语法场景一远程端口转发和本地端口转发要在哪台服务器上执行场景二ssh -R 参数解释
端口转发的选项端口转发需要修改哪些ssh配置开机自动建立隧道参考
背景
端口转发是突破网络域隔离的一个手段。在学习这个知识的时候需要不断自问 为什么需要端口转发？应用场景是什么呢？ 什么是端口转发？SSH 隧道或 SSH 端口转发可以用来在客户端和服务器之间建立一个加密的 SSH 连接如下图，通过它来把本地流量转发到服务器端，或者把服务器端流量转发到本地。 比如从本地访问服务器上的 MySQL 管理后台，或者把本地的服务暴露在公网上。 比如从公网上访问你家里的的NAS或图书馆. 端口转发分为本地端口转发和远程端口转发. 本地端口转发 本地端口转发的语法 # ssh -L [LOCAL_IP:]LOCAL_PORT:DESTINATION:DESTINATION_PORT [USER@]SSH_SERVER # 这时 SSH 客户端会监听本地的端口 LOCAL_PORT，把所有发给改端口的 TCP 连接都发给指定的服务器， #然后再连接到目标机器。这个目标机器通常是服务器自己，也可以是任何其他机器。在目标机器看来， #这个请求来自 SSH 服务器，相当于连到了服务器的内网。 场景1例如你被封在家，想连接到公司的数据干活。IT部门只给了你一个跳板机172.16.1.60。 你在家里用笔记本连上wifi就可以连上这个机器。 这个机器是公司外网的出口。这也是做过一次NAT转换的。 现在你可以连接数据库了，可是跳板机上没有你习惯使用的工具，例如navicat. 此时在不麻烦it同时的前提下你可以通过远程端口转发来解决这个问题. (如果公司网路有堡垒机或者其他网络隔离设备可能会禁掉) 大致架构如下 需要做的就是将远程的数据库3306上的服务通过对外的跳板机映射到本地，你就可以使用navicat连接数据库了。 在你本地的git bash中或者powershell执行以下命令 ssh -N -L -f 3301:192.168.122.76:3306 172.16.1.60这个ssh命令的意思是所有跟3301端口的TCP数据传输都会直接通过ssh通过在服务器172.16.1.60 上转发给数据库服务器(192.168.122.76:3306)。 也就是说将本地的3301 端口应到了内网的3306端口。
这里3301 并不是打错了。毕竟3306 是个知名端口。如果有人扫描到你的机器3306是开启的，可能会发起攻击影响内网的数据库服务, 所以一般都会伪装一个端口。例如你去阿里上买一个rds. 数据库连接一般都有不是原生端口？ 远程端口转发“远程端口转发”（remote forwarding）当然是指绑定远程端口的转发 将远程（ssh 服务器）机器上的端口转发到本地（ssh 客户端）机器上的端口，然后再转发到目标机器上的端口。 远程端口转发的语法 #[REMOTE:]REMOTE_PORT- 远程 SSH 服务器上的 IP 和端口号。空的REMOTE意味着远程 SSH 服务器将绑定到所有接口。 #DESTINATION:DESTINATION_PORT- 目标机器的 IP 或主机名和端口。 #[USER@]SERVER_IP- 远程 SSH 用户和服务器 IP 地址。 ssh -R [REMOTE:]REMOTE_PORT:DESTINATION:DESTINATION_PORT [USER@]SSH_SERVER 场景一场景如下图，外网可以访问内部的一个服务，在任何有网络的地方(而不再限制在某台主机上，应用更广泛)都可以访问你的服务啦。 注意: 在公网上需要放行安全组8888这个端口。 在10.0.0.4上执行远程端口转发命令，该主机和公网22端口可达。(其实只要求公网能ssh到10.0.0.4就可以了，企业里面一般都是出口松进口严) 本地: 就在你本地就可以了 远程: 在中转服务器上执行。 update 2024年5月19日15:42:09 aws rds 没有外网无法访问，但是ec2可以访问。可以在本地通过开启一个ssh隧道代理ec2上. 后来ec2 办公室也无法访问，必须通过杭州阿里云的机器ssh登录ec2.所以就只能远程开启一个ssh隧道. 场景二
无论是本地端口转发还是远程端口转发，都需要在服务器上配置 。 这个参数一般好像都关闭的. /etc/ssh/sshd_config： GatewayPorts yes如果长时间保持连接，那么还需要开启： TCPKeepAlive yes顾名思义 TCPKeepAlive 运行在 TCP 层，通过发一个空包来保持连接。如果你的服务器有复杂的防火墙，或者本地所在的网络运营商比较奇怪，这个包可能会被丢掉。这时可以用 ServerAliveInterval 60 来在 SSH 协议一层保持连接。方便起见这些参数也可以在建立连接时指定，比如： ssh -L 8080:localhost:33062 [email protected] -o TCPKeepAlive=true ServerAliveInterval=60也可以装一个 autossh 包，让它来托管 ssh 服务，这样会更稳定： autossh -NR 8080:localhost:32400 [email protected]以上 ssh 命令都可以在 Linux 或 MacOS 下工作，如果在 Windows 下也有其他的选择。比如你安装了 WSL，那么可以在 WSL 里执行上述命令。也可以安装一个 SSH 客户端，比如在 PuTTY 下可以在“连接->SSH->隧道”里相应地设置本地和远程端口、IP。 开机自动建立隧道在 Linux 下可以把上述命令直接写成一个 systemd 脚本，可参考 使用 systemd 管理 Node.js 应用 一文；在 Windows 下可以利用任务计划程序建立一个任务，如果本地安装有 WSL，可以添加一个 Action 设置命令为 wsl 参数为 autossh -NR 8080:$(cat /etc/resolv.conf | grep nameserver | awk '{print $2}'):32400 example.com注意 WSL2 启用了 HyperV 运行在某个子网下，宿主机器的 IP 是不确定的，需要用 cat /etc/resolv.conf | grep nameserver | awk ‘{print $2}’ 来获得 WSL 宿主机器的 IP。 参考【1】 ssh配置优化 【2】windows创建隧道 |
至此你就可以使用navicat连接本地的3301 端口连接远程数据库服务了.
【本文地址】