SSH 端口轉發：本地、遠程和動態轉發詳解

作者：TseKing 2025-08-07 06:00:00

本綜合指南將帶您了解三種主要的端口轉發類型（本地、遠程和動態），提供詳細的設置說明、實際用例和故障排除技巧。

SSH 端口轉發允許處于潛在不安全網絡中的設備進行通信而不被攻擊。管理遠程數據庫、操作分布式系統或安裝安全控制的人員需要了解 SSH 端口轉發。本綜合指南將帶您了解三種主要的端口轉發類型（本地、遠程和動態），提供詳細的設置說明、實際用例和故障排除技巧。您將學習如何安全地訪問遠程服務、繞過防火墻，并在傳輸敏感數據時保護隱私。每個概念都通過實際示例和需要避免的常見陷阱進行說明，使您更容易在自己的環境中實現這些技術。

一、什么是 SSH 端口轉發？

Secure Shell（SSH）端口轉發，通常稱為 SSH 隧道，是一種將網絡流量重定向通過加密 SSH 連接的強大技術。此方法在兩臺計算機之間創建一個安全隧道，使您即使在不安全的網絡（如公共 Wi-Fi 或互聯網）上也能安全地傳輸數據。

可以把 SSH 端口轉發想象成兩個位置之間的安全專用隧道。就像物理隧道提供受保護的通道一樣，SSH 端口轉發為您的網絡流量創建了一條受保護的路徑，使其免受潛在竊聽者或惡意行為者的攻擊。

SSH 端口轉發主要有三種類型，每種類型適用于不同的用例：

本地端口轉發（ssh -L）：將流量從您的本地計算機轉發到遠程服務器。有助于像在本地運行一樣訪問遠程服務。
遠程端口轉發（ssh -R）：將流量從遠程服務器轉發到您的本地計算機。非常適合將本地服務暴露給遠程網絡。
動態端口轉發（ssh -D）：創建一個可以通過 SSH 連接轉發各種類型流量的 SOCKS 代理。非常適合安全的網頁瀏覽或訪問多個服務。

讓我們詳細探討每種類型，以了解它們的具體應用以及如何有效地實現它們。

二、本地端口轉發（ssh -L）

本地端口轉發在您的本地計算機和遠程服務器之間創建一個安全隧道。以下是它的工作原理和用途：

1. 工作原理

當您設置本地端口轉發時，實際上是在創建一條安全路徑，將來自您計算機上特定端口的流量發送到遠程服務器上的特定端口。所有這些通信都通過加密的 SSH 隧道進行，這意味著您的數據受到保護，不會被任何試圖攔截它的人獲取。

主要優點：

防火墻訪問：如果您需要訪問被防火墻阻止的服務，本地端口轉發可讓您在保持安全性的同時繞過這些限制。
安全的數據庫連接：使用遠程數據庫時，您可以創建一個加密所有數據傳輸的安全連接，保護敏感信息。
Web 應用程序訪問：您可以像在本地計算機上一樣安全地訪問在遠程服務器上運行的 Web 應用程序。
開發測試：開發人員可以在本地測試遠程服務，從而更輕松地調試和開發應用程序。

安全功能，連接受到 SSH 加密的保護，這意味著：

所有數據在傳輸過程中都經過加密
連接經過身份驗證
隧道可防止未經授權的訪問
您的數據免受竊聽或篡改

這使得本地端口轉發成為安全遠程訪問和開發工作的重要工具。

2. 語法

ssh -L local_port:destination_host:destination_port username@ssh_server

3. 示例

讓我們看一個實際場景，您需要安全地連接到遠程 PostgreSQL 數據庫。假設您在本地進行開發項目，而數據庫托管在遠程服務器上，運行在其默認端口 5432 上。要建立安全連接，您可以使用如下的本地端口轉發：

ssh -L 5433:localhost:5432 user@remote-db.com

現在，本地連接到 localhost:5433 會將流量安全地轉發到 remote-db.com 上的 PostgreSQL 數據庫。這意味著任何配置為連接到 localhost:5433 的應用程序實際上都將通過加密的 SSH 隧道與遠程數據庫通信。

常見錯誤：混淆端口。始終確保本地端口和目標端口與您預期的連接設置匹配。例如，如果您嘗試連接到遠程 MySQL 數據庫的 3306 端口，請確保在 SSH 命令中指定正確的目標端口。

三、遠程端口轉發（ssh -R）

遠程端口轉發創建一個安全隧道，將流量從遠程服務器路由回您的本地計算機。這種轉發類型在您需要將本地服務暴露給外部用戶或系統的場景中特別有用。當以下情況發生時，它尤其有價值：

本地開發測試：您希望與遠程團隊成員或客戶共享本地開發環境以進行測試和反饋。
NAT/防火墻繞過：您的本地計算機位于 NAT 或限制性防火墻之后，阻止直接外部訪問。
本地服務的遠程訪問：您需要提供對本地服務（如 Web 服務器、數據庫或在您計算機上運行的開發工具）的安全訪問。
臨時服務暴露：您希望臨時暴露本地服務，而無需修改網絡配置或防火墻規則。

連接通過加密的 SSH 隧道建立，確保遠程服務器和您的本地計算機之間的所有流量保持安全，并免受未經授權的訪問。

1. 命令語法

ssh -R remote_port:local_host:local_port username@remote_ssh_server

2. 示例場景

要在您的本地計算機（localhost）上啟用可從 remote-ssh.com 訪問的遠程調試，您可以設置遠程端口轉發。這使您能夠將本地調試端口安全地暴露給遠程服務器，以便進行遠程調試會話。執行以下命令：

ssh -R 9000:localhost:9000 user@remote-ssh.com

現在，遠程服務器端口 9000 上的流量將安全地轉發到您本地系統的端口 9000。這意味著任何嘗試連接到遠程服務器上端口 9000 的應用程序或服務將通過加密的 SSH 隧道自動重定向到您本地計算機的端口 9000。

3. 重要配置說明

要啟用遠程端口轉發，您需要將 SSH 服務器配置為接受傳入連接。這需要兩個步驟：

(1) 編輯 SSH 服務器配置文件（/etc/ssh/sshd_config）并設置：

GatewayPorts yes

(2) 重啟 SSH 服務以應用更改：

sudo systemctl restart sshd

如果沒有此配置，SSH 服務器將只接受從 localhost 接口到轉發端口的連接，從而限制遠程端口轉發的功能。

四、動態端口轉發（ssh -D）

動態端口轉發創建一個 SOCKS 代理，通過安全的 SSH 隧道路由網絡流量，有效地對您的連接進行匿名處理。此強大功能在您的計算機上創建一個本地 SOCKS 代理服務器，將所有流量通過 SSH 連接轉發到遠程服務器，然后由遠程服務器向互聯網發出實際請求。此方法在以下情況下特別有用：

安全瀏覽：在使用公共或不受信任的網絡時加密所有 Web 流量
繞過網絡限制：訪問當前網絡中可能被阻止的資源
隱私保護：通過遠程服務器路由流量來隱藏您的實際 IP 地址
應用級代理：允許單個應用程序通過安全隧道路由其流量

動態端口轉發創建的 SOCKS 代理比本地或遠程端口轉發更靈活，因為它可以處理多種類型的流量和協議，而不僅僅是特定端口。它在應用層工作，與大多數支持 SOCKS 代理的網絡應用程序兼容。

1. 動態端口轉發的語法

ssh -D local_port username@ssh_server

2. 示例用例

要使用動態端口轉發創建安全的代理隧道，您需要建立一個創建本地 SOCKS 代理的 SSH 連接。此代理會將所有網絡流量通過加密的 SSH 隧道路由到遠程服務器，從而提供增強的安全性和隱私性。以下是設置方法：

ssh -D 8080 user@secure-server.com

要使用 SOCKS 代理，請將您的應用程序或瀏覽器配置為使用 localhost:8080 作為代理服務器。以下是在常見應用程序中的設置方法：

(1) Firefox：

轉到“設置”>“網絡設置”
選擇“手動代理配置”
在“SOCKS 主機”字段中輸入 127.0.0.1
在“端口”字段中輸入 8080
選擇“SOCKS v5”作為代理類型

(2) Chrome/Edge：

安裝“SOCKS 代理”擴展程序，如“Proxy SwitchyOmega”
創建新的代理配置文件
將代理服務器設置為 127.0.0.1:8080
選擇 SOCKS5 作為協議

(3) 系統范圍（Linux/macOS）：

設置 http_proxy 和 https_proxy 環境變量：

export http_proxy="socks5://127.0.0.1:8080"
export https_proxy="socks5://127.0.0.1:8080"

此配置對于在不安全網絡上進行安全 Web 瀏覽特別有用，因為所有流量都將通過 SSH 隧道加密。您可以通過在啟用代理之前和之后檢查 IP 地址來驗證代理是否正常工作。

五、在 SSH 配置文件中配置 SSH 端口轉發

SSH 端口轉發也可以使用 SSH 配置文件（~/.ssh/config）方便地設置。此方法簡化了重復配置。

Host db-forward
    HostName remote-db.com
    User user
    LocalForward 5433 localhost:5432

連接方式：

ssh db-forward

1. 多端口的 SSH 端口轉發

您可以通過在單個 SSH 命令中多次指定 -L 或 -R 選項來同時轉發多個端口。這使您能夠在一個連接中創建多個端口轉發隧道，這在需要訪問遠程服務器上的多個服務時非常有用。例如，您可能希望同時轉發 Web 服務器端口和數據庫端口。

ssh -L 8080:localhost:80 -L 5432:localhost:5432 user@server.com

2. Linux 上的 SSH 端口轉發

Linux 通過其終端界面提供原生 SSH 支持，使設置和管理 SSH 端口轉發變得簡單。大多數 Linux 發行版通常預先安裝了 SSH 客戶端，您可以直接從命令行使用它，無需額外軟件。

要在 Linux 上使用 SSH 端口轉發：

打開終端
使用帶有適當轉發選項的 ssh 命令
連接到遠程服務器

本地端口轉發的基本語法是：

ssh -L local_port:remote_host:remote_port user@ssh_server

根據前面所述，對遠程或動態轉發進行相應調整。

責任編輯：趙寧寧來源： Linux運維部落