SSH 隧道与端口转发技术

本地端口转发（ssh -L local_port:destination_host:destination_port user@ssh_server）会在您的本地计算机上绑定一个端口。发送到该本地端口的流量会通过加密的 SSH 连接传输到 SSH 服务器，然后由 SSH 服务器连接到目标位置。本地应用程序只需与 localhost 通信，SSH 会安全地将流量传送到远程目标。

本地端口转发的常见使用场景，是访问防火墙后面的内部数据库。使用 ssh -L 5432:db.internal:5432 user@bastion 后，您的本地 PostgreSQL 客户端会连接到 localhost:5432。堡垒主机会将这些流量转发到内部数据库服务器，而该服务器无法从互联网直接访问。

远程端口转发（ssh -R remote_port:local_host:local_port user@ssh_server）会在远程 SSH 服务器上绑定一个端口。当外部客户端连接到该远程端口时，流量会通过 SSH 隧道返回您的本地计算机。这样，您就可以通过面向互联网的服务器，将本地运行的服务暴露给外部网络。

当您的计算机位于 NAT 后面、无法直接接收传入连接时，远程转发尤其有用。通过建立到公共服务器的反向隧道，您可以让外部客户端通过该公共服务器访问本地服务。一些远程访问工具和物联网设备管理系统也会使用这种技术。

动态端口转发（ssh -D local_port user@ssh_server）会在您的本地计算机上创建 SOCKS5 代理。任何支持 SOCKS5 的应用程序都可以通过该代理路由流量，而这些流量看起来会来自 SSH 服务器。这样实际上可以将您的浏览流量通过远程网络进行路由，适合访问受地理位置限制的资源，或绕过本地网络过滤。

反向隧道功能强大，但也会带来安全风险。如果服务器允许 GatewayPorts，远程转发的端口就会对公共互联网开放，而不只对 localhost 开放。入侵带有反向隧道的计算机后，攻击者可能会访问内部服务。组织应监控未经授权的反向隧道，并在 SSH 配置中限制 GatewayPorts。

SSH 服务器配置会控制隧道功能。AllowTcpForwarding 控制是否允许本地和远程端口转发。AllowStreamLocalForwarding 控制 Unix 套接字转发。将这些选项设置为 no 可以为所有用户禁用隧道；您也可以按用户或组进行限制。禁用不必要的转发可以缩小攻击面。

SSH 支持创建 tun 网络接口，以实现完整的 IP 隧道（ssh -w）。这样，SSH 就可以成为轻量级 VPN，传输的是完整的 IP 数据包，而不只是特定的 TCP 连接。服务器必须启用 PermitTunnel。虽然这种方式的效率低于专用 VPN 软件，但它无需安装其他软件，并且可以利用现有的 SSH 基础设施。

SSH 连接复用（ControlMaster 和 ControlPath 设置）会为新会话重用现有的 SSH 连接。这样可以显著加快与同一主机建立的后续连接，在脚本化环境中尤其有价值。借助共享连接，还可以让隧道跨多个 SSH 会话持续保持。

网络管理员可以通过异常的流量模式检测 SSH 隧道：例如，端口 22 上长时间保持的 TCP 连接、对于本应只承载终端流量的连接而言异常高的数据量，或者连接建立后又访问已知的敏感目的地。深度数据包检测无法查看 SSH 内容，但元数据分析可以标记可疑的隧道行为。

对于经授权的使用，请记录所有隧道及其用途。使用 -N（不执行命令）配合隧道，避免不必要地打开命令行环境；使用 -f（后台运行），让隧道在后台运行而不阻塞您的终端。对于持久隧道，请使用 AutoSSH 或 systemd 套接字激活，以便在连接断开时自动重启隧道。

您希望通过一台公网 SSH 服务器，将本地开发服务器（运行在端口 3000 上）暴露到互联网。应使用哪种转发类型？

SSH 隧道回顾：本地转发（-L）可以从您的计算机安全地访问内部服务，远程转发（-R）可以通过公网服务器暴露本地服务，动态转发（-D）可以创建 SOCKS5 代理来路由应用层流量，tun 转发可以实现完整的 IP VPN，而服务器上的 AllowTcpForwarding 则控制这些功能。