转载自 » 宁哥的小站 » SSH端口转发实现内网穿透
“世界上最遥远的距离就是你在外网请求，我在内网测试。”
这句话的内容，对于开发人员来说，特别容易理解。很多情况下，我们的开发及测试环境在单位的内网下，只能通过位于内网的机器来连接操作，位于外网的机器是连不到内网环境的。比如说，如果我们周末在家工作，而家里的机器又不在单位内网环境下，那该如何连接内网的环境呢？难不成我们还要大周末的跑到单位去加班吗？
答案是否定的。这是种普遍又迫切的需求，叫“内网穿透”。这里我们使用SSH端口转发的技术，解决这种问题。
SSH本地端口转发
假设，host1和host2位于内网，host3位于外网，host3可以连接host1和host2，但host1不能连接host3和host2。我们要做的是，通过位于外网的host3，让host1来连接host2。
具体步骤
首先，在host1上进行如下操作：
ssh -L 2222:host2:22 user3@host3
其中，-L参数指定了“本地主机端口:目标主机:目标主机端口”。这表示，让host1作为sshd服务端，监听它自己的2222端口，然后将所有数据经由host3，转发到host2的22端口。
这种情况下，host1不能连接host3，但由于host1的配置，使得从host1到host3建立了一条“SSH隧道”。
然后，在host1上进行如下操作：
ssh -p 2222 user2@localhost
其中，-p参数指定了ssh连接的端口，默认为22，这里指定了2222端口。这表示，让host1作为ssh客户端，连接它自己的2222端口，相当于连接host2的22端口。
一般情况下，host2与host3为一台主机，换句话说，我们只要实现连接host3，那么再连接host2也不成问题。
这时，命令分别转换为：
ssh -L 2222:localhost:22 user3@host3
ssh -p 2222 user3@localhost
SSH本地端口转发的本质
本质上，SSH本地端口转发，主要是实现以下两个方面：
1\. 将本地主机的端口，转发到目标主机的端口
2\. 在本地主机上，连接本地主机的端口，相当于连接目标主机的端口
SSH远程端口转发
假设，host1和host2位于内网，host3位于外网，host1可以连接host3和host2，但host3不能连接host1和host2。我们要做的是，通过位于内网的host1，让host3来连接host2，也就是实现所谓的“内网穿透”。
具体步骤
首先，在host1上进行如下操作：
ssh -R 2222:host2:22 user3@host3
其中，-R参数指定了“远程主机端口:目标主机:目标主机端口”。这表示，让host3作为sshd服务端，监听它自己的2222端口，然后将所有数据经由host1，转发到host2的22端口。
这种情况下，host3不能连接host1，但由于host1的配置，使得从host1到host3建立了一条“SSH反向隧道”。
然后，在host3上进行如下操作：
ssh -p 2222 user2@localhost
其中，-p参数指定了ssh连接的端口，默认为22，这里指定了2222端口。这表示，让host3作为ssh客户端，连接它自己的2222端口，相当于连接host2的22端口。
一般情况下，host2与host1为一台主机，换句话说，我们只要实现连接host1，那么再连接host2也不成问题。
这时，命令分别转换为：
ssh -R 2222:localhost:22 user3@host3
ssh -p 2222 user1@localhost
SSH远程端口转发的本质
本质上，SSH远程端口转发，主要是实现以下两个方面：
1\. 将远程主机的端口，转发到目标主机的端口
2\. 在远程主机上，连接远程主机的端口，相当于连接目标主机的端口
SSH实现内网穿透
内网穿透，简单来说就是，利用位于外网的主机，来连接位于内网的主机，这符合SSH远程端口转发的情况。但由于实际情况中，SSH连接经常由于这样那样的问题，导致连接断开，因此我们不得不重新去在内网主机上建立与外网主机的连接，也就是维持这条“SSH反向隧道”，autossh能实现连接断开之后自动重连功能。
自动重连
autossh与ssh用法类似，只要将ssh命令替换成autossh命令即可，如下所示：
autossh -M 2345 -NTR 2222:localhost:22 user3@host3
其中，-M参数指定了autossh监听的端口，注意这里与其转发的端口要区分开。
另外，-N表示禁止执行远程命令，-T表示禁止分配伪终端，这两个参数结合起来表示SSH连接不允许用户交互执行远程操作，只能用来传数据，从而保证了远程主机的安全。
自动登录
每次重新建立连接，autossh都需要确认一下登录身份。要保证自动重连，前提就是要实现自动登录。
一种常见的做法，就是使用公钥登录进行免密登录，将host1上的公钥传送至host3上。这样，每次在进行SSH登录的时候，host3都会向host1发送一段随机字符串，host1用自己的私钥加密后将数据返回，然后host3用事先存好的公钥对返回的数据进行解密，如果成功，则证明host1的身份可信，允许直接登录，不再要求密码。
还有一种做法，就是利用sshpass将密码明文传输给autossh，如下所示：
sshpass -p "xxxxxx" autossh -M 2345 -NTR 2222:localhost:22 user3@host3
其中，-p参数指定了登录的密码。除了命令行输入密码的形式，sshpass还包含-f、-e等参数，分别支持文件输入密码及系统环境变量输入密码等形式，如图所示。
其他端口
实现内网穿透，除了转发22端口外，我们也可以转发其他应用的端口，如web服务的80端口、mysql的3306端口等，这里就不一一细说了。
