SSH 端口转发与配置固化：-L、-R、-D 与 ~/.ssh/config

一句话记法

上一节讲的两种代理，ssh 自己就能开一条 —— 不用装客户端、不用配订阅， 只要你能登上那台机器。区别是它同时解决另一个问题：集群在跳板机后面， 后面每一节要连的机器都在那道门里。

三个参数，-L、-R、-D，记混是常态。有一个特别好用的口诀：

左边那一侧开新端口。

• ssh -L 本地端口:目标:端口 —— 新端口开在本地（Local）
• ssh -R 远端端口:目标:端口 —— 新端口开在远端（Remote）
• ssh -D 本地端口 —— 新端口开在本地，而且是个 SOCKS5 代理

再配一个顺序记法：ssh -L local:remote、ssh -R remote:local —— 参数首字母和第一个地址的归属永远一致。

下面这张图把所有形态放在一起，看完再往下读会顺很多：

约定一套贯穿全节的拓扑（同样来自原文）：

本地转发 -L：把远端服务搬到本地

最常用的一个。远端有个服务只监听 localhost，你在本地开一个端口去访问它：

ssh -f -N -L 8080:localhost:80 203.0.113.30
curl localhost:8080

这里的 localhost:80 是在 remote 上解析的 —— 它指的是 remote 自己的 80 端口。 这一点是理解后面所有变体的关键：冒号后面那个地址，永远由 sshd 那一侧解析。

-f -N 是长期挂隧道的标配：-N 不执行远程命令只做转发，-f 转到后台。

把目标地址从 localhost 换成一个 remote 能访问到的地址，就变成了经跳板访问内网：

ssh -f -N -L 8081:172.16.0.40:80 203.0.113.30

这就是"用跳板机连数据库"的标准做法：本地连 localhost:8081，实际打到 VPC 里的 RDS。

-J 加 -L：访问第三台机器自己的 loopback

上面那招有个盲区：如果目标服务只监听在 private 自己的 127.0.0.1 上呢？ remote 也连不上它。这时候要用 -J（ProxyJump）把 SSH 会话终结在 private 上：

ssh -f -N -J 203.0.113.30 -L 8082:localhost:9000 172.16.0.40

差别就在这里：-J 的跳板只负责中转字节，SSH 会话本身建立在最终主机上， 所以 -L 里的 localhost 解析成 private 自己。

远程转发 -R：把本地服务暴露到远端

方向反过来：你本地跑着一个服务，想让远端（或经由远端的其他人）访问：

ssh -f -N -R 0.0.0.0:8080:localhost:80 203.0.113.30

GatewayPorts yes

同样，把源地址从 localhost 换成家里另一台设备（ssh -f -N -R 0.0.0.0:8081:192.168.0.10:80 remote）， 就能把内网设备暴露出去。这是最朴素的"内网穿透"：不需要公网 IP， 只需要一台能 ssh 上去的公网机器。

动态转发 -D：本机变成 SOCKS5 代理

前面几种都要事先知道目标地址。-D 不需要 —— 它在本地开一个 SOCKS5 代理， 目标地址由每个请求自己带：

ssh -f -N -D 1080 203.0.113.30
curl --socks5-hostname localhost:1080 172.16.0.40:80
curl --socks5-hostname localhost:1080 172.16.0.50:80   # 同一条隧道，不同目标

注意客户端必须会说 SOCKS5（所以 curl 要用 --socks5-hostname）， 代理基础 那节讲过。浏览器可以直接配 SOCKS5 代理， 命令行工具靠 ALL_PROXY 或 proxychains。

看一遍完整路径，注意出口 IP 和 DNS 解析都发生在服务器那一侧：

汇总表

把长命令收进 ~/.ssh/config

上面这些命令都很长，每次敲一遍不现实：

# 全局默认（放在文件开头）
Host *
  ServerAliveInterval 30
  ServerAliveCountMax 3
  ControlMaster auto
  ControlPath ~/.ssh/cm-%C
  ControlPersist 10m

# 跳板机
Host bastion
  HostName bastion.example.com
  User ops
  IdentityFile ~/.ssh/id_ed25519_ops

# 内网机器：一律经跳板机
Host 10.20.*
  User root
  ProxyJump bastion

# 具体某台，带端口转发
Host db-prod
  HostName 10.20.3.40
  ProxyJump bastion
  LocalForward 15432 localhost:5432

之后 ssh db-prod 就自动经跳板、自动建好本地 15432 转发，ssh 10.20.3.99 匹配通配符自动经跳板。

两条匹配规则要记住：

1. 从上往下匹配，每个参数取第一次出现的值 —— 所以希望全局生效的参数（上面那组保活与复用） 要放在开头，作为兜底的 Host * 才放最后。
2. Host 是别名，HostName 才是真实地址，两者可以完全不同。

ssh -G db-prod | grep -E 'hostname|user|proxyjump|localforward|controlpath'
# 连不上时看它读了哪些文件、应用了哪些块
ssh -vvv db-prod 2>&1 | grep -E 'Reading configuration|Applying options'

ProxyJump 与 ProxyCommand

-J / ProxyJump 是现代写法，底层等价于老的 ProxyCommand ssh -W；多级跳板用逗号串起来 （ssh -J bastion1,bastion2 10.20.3.40）。

ProxyCommand 今天主要用在另一件事上：ssh 不读 HTTP_PROXY 环境变量， 要走 SOCKS5 代理只能这么写：

Host github.com
  User git
  ProxyCommand nc -x 127.0.0.1:1080 %h %p
  # nc 版本不带 -x 时用 socat
  # ProxyCommand socat - SOCKS4A:127.0.0.1:%h:%p,socksport=1080

这一条同时解决了 git clone git@github.com:... 走代理的问题 —— git 的 ssh 传输就是调用 ssh，配置在这里对它一样生效。 占位符只要记三个：%h 目标主机名、%p 目标端口、%r 远程用户名。

ControlMaster：第二次连接秒开

每次 ssh 都要重新做 TCP 握手 + 密钥交换 + 认证，经跳板机时开销翻倍。 连接复用把它降到接近零：第一次连接一两秒，之后每次都是毫秒级。 对频繁执行远程命令的脚本（ansible、批量运维）收益尤其大。

ls -l ~/.ssh/cm-*            # 当前有哪些复用连接
ssh -O check db-prod         # 某台是否有活跃主连接
ssh -O exit db-prod          # 主动关掉主连接

让隧道长期活着：三层做法

-f -N 只解决了"挂后台"，没解决"断了自动回来"。

第一层，保活：

Host tunnel-*
  ServerAliveInterval 30      # 每 30 秒发一次心跳
  ServerAliveCountMax 3       # 连续 3 次没回应就断开
  ExitOnForwardFailure yes    # 端口绑定失败就退出，别留假隧道
  TCPKeepAlive no

保活用 ServerAliveInterval 而不是 TCPKeepAlive：前者走 SSH 协议层的加密通道， 中间设备无法伪造；后者是 TCP 层的明文探测，可能被中间设备欺骗性应答。

ExitOnForwardFailure yes 是最容易被忽略但最重要的一条： 默认情况下端口被占用或 GatewayPorts 没开时，ssh 照样连上、只是不转发 —— 你会对着一个"进程还在"的假隧道排查很久。

第二层，自动重连：

autossh -M 0 -f -N -L 8080:localhost:80 tunnel-host \
  -o ServerAliveInterval=30 -o ServerAliveCountMax=3 -o ExitOnForwardFailure=yes

-M 0 表示不用 autossh 自己的监控端口，改为依赖 SSH 的保活机制 —— 这是现在的推荐用法。

第三层，systemd 模板单元 —— 生产环境的正解，开机自启 + 崩溃重启 + 日志统一：

# /etc/systemd/system/ssh-tunnel@.service
[Unit]
Description=SSH tunnel to %i
After=network-online.target
Wants=network-online.target

[Service]
User=tunnel
ExecStart=/usr/bin/ssh -N %i \
  -o ServerAliveInterval=30 -o ServerAliveCountMax=3 \
  -o ExitOnForwardFailure=yes -o BatchMode=yes
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target

systemctl enable --now ssh-tunnel@db-prod
journalctl -u ssh-tunnel@db-prod -f

模板单元（@ 形式）的好处是一份文件管所有隧道，%i 就是 ~/.ssh/config 里的主机别名，转发配置写在 config 里。

sudo -u tunnel ssh-keyscan -H bastion.example.com >> /home/tunnel/.ssh/known_hosts

服务端：把隧道能力收紧

一个能 ssh 上跳板机的账号，默认就能把跳板机当代理访问它所在的整个网络。 生产跳板机应该给隧道用途单独建账号并收紧：

# /etc/ssh/sshd_config
Match User tunnel-only
    AllowTcpForwarding local          # 只允许 -L，禁掉 -R
    PermitOpen 10.20.3.40:5432        # 白名单：只能转发到这个目标
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no
    ForceCommand /usr/sbin/nologin    # 不给 shell

sshd -t && systemctl reload sshd      # 改完先语法检查再 reload

给隧道用途单独建账号、只放通必要的目标，比事后审计有用得多。

检查点

这节课的落点

• 口诀：左边那一侧开新端口；-L local:remote、-R remote:local
• -L/-R 里冒号后面的地址由 sshd 那一侧解析，这是所有变体的关键
• 只监听 loopback 的远端服务要用 -J 把会话终结在目标机上
• -R 默认只绑 loopback，绑 0.0.0.0 需要服务端 GatewayPorts yes
• -D 是本地 SOCKS5，出口和 DNS 都在服务器侧；客户端必须会说 SOCKS5
• ~/.ssh/config 把长命令变成别名；Host 是别名、HostName 才是真实地址， 从上往下取第一次出现的值
• ssh -G <host> 是排查配置的第一条命令，直接给出合并后的最终参数
• ssh 不读代理环境变量，走 SOCKS5 要用 ProxyCommand nc -x；这同时解决 git over ssh
• 多跳用 ProxyJump 而不是 ssh -A —— 私钥全程留在本地
• ControlMaster 让第二次连接毫秒级；三个坑：主连接断则全断、路径过长（用 %C）、 改配置后要 ssh -O exit 才生效
• 长期隧道三层：ServerAliveInterval + ExitOnForwardFailure yes → autossh -M 0 → systemd 模板单元（必须 BatchMode=yes + 免密钥 + 预填 known_hosts）
• 服务端用 Match User 收紧：AllowTcpForwarding local、PermitOpen 白名单、 AllowAgentForwarding no