SSH 隧道完全指南：本地端口转发 / 远程转发 / 动态 SOCKS 代理 / 内网穿透实战

SSH 隧道是 Linux 运维和开发中最被低估的功能之一——它能让你在不改变任何服务器防火墙规则的前提下，安全地访问远端数据库、将本地服务暴露到公网、或者搭建一个临时 SOCKS5 代理。

本文用真实场景驱动，完整讲解 SSH 三种端口转发模式，附带 ~/.ssh/config 持久化写法和 AutoSSH 自动重连配置。

一、SSH 隧道三种模式速览#

1
本地转发 -L  [本地端口] → [SSH服务器] → [目标主机:目标端口]
2
              ↑ 解决：安全访问远端内网服务（数据库、Redis...）
3

4
远程转发 -R  [SSH服务器端口] → [SSH服务器] → [本地端口]
5
              ↑ 解决：将本地服务暴露到公网（内网穿透）
6

7
动态转发 -D  [本地SOCKS端口] → [SSH服务器] → 任意目标
8
              ↑ 解决：临时 SOCKS5 代理（不需要安装代理软件）

参数	名称	流量方向	典型场景
`-L 本地端口:目标主机:目标端口`	本地端口转发	本地 → 远端	访问远端内网数据库
`-R 远端端口:本地主机:本地端口`	远程端口转发	远端 → 本地	内网穿透，暴露本地服务
`-D 本地端口`	动态转发（SOCKS代理）	本地 → 远端（任意目标）	临时代理上网

二、本地端口转发（-L）：安全访问远端数据库#

2.1 场景：远端数据库只绑定 127.0.0.1#

生产数据库通常不对外开放端口（防火墙封锁 5432），只能在服务器本地访问。通过 SSH 本地转发，可以在你的笔记本上直接连接：

1
# 命令格式
2
# ssh -L [本地端口]:[目标主机]:[目标端口] [SSH用户]@[SSH服务器]
3

4
# 场景：将本地 15432 端口转发到服务器上的 PostgreSQL（127.0.0.1:5432）
5
ssh -L 15432:localhost:5432 yourname@your-server.ip -N
6

7
# 参数说明：
8
# -L 15432:localhost:5432  本地15432 → 服务器上的 localhost:5432
9
# -N                        不执行远程命令，纯转发用途
10
# localhost                 这个 localhost 是相对于 SSH 服务器的！
11

12
# 连接建立后，在另一个终端用本地客户端连接：
13
psql -h 127.0.0.1 -p 15432 -U appuser -d mydb
14
# 或用 DBeaver / TablePlus 等 GUI 工具连接 127.0.0.1:15432

2.2 转发到远端内网的其他服务器#

SSH 跳板机场景：服务器 A（有公网 IP）→ 服务器 B（内网，无公网 IP，跑着数据库）

1
# 通过跳板机 A 访问内网 B 上的数据库
2
# B 的内网 IP 为 192.168.1.100，端口 3306（MySQL）
3
ssh -L 13306:192.168.1.100:3306 yourname@A的公网IP -N
4

5
# 本地连接：
6
mysql -h 127.0.0.1 -P 13306 -u dbuser -p

2.3 写入 ~/.ssh/config（持久化）#

1
Host prod-db-tunnel
2
    HostName your-server.ip
3
    User yourname
4
    IdentityFile ~/.ssh/id_ed25519
5
    LocalForward 15432 localhost:5432      # PostgreSQL
6
    LocalForward 16379 localhost:6379      # Redis
7
    LocalForward 18080 localhost:8080      # Web 服务
8
    ServerAliveInterval 60
9
    ServerAliveCountMax 3
10

11
# 使用方式（一条命令开启所有隧道）：
12
# ssh -N prod-db-tunnel

三、远程端口转发（-R）：内网穿透#

3.1 场景：将本地开发服务器暴露到公网#

你的开发机没有公网 IP，但你有一台境外 VPS。通过 SSH 远程转发，外部用户可以通过访问 VPS 的某个端口来访问你本地的服务：

1
# 命令格式
2
# ssh -R [远端端口]:[本地主机]:[本地端口] [SSH用户]@[SSH服务器]
3

4
# 将本地 3000 端口（前端开发服务器）暴露到 VPS 的 8080 端口
5
ssh -R 8080:localhost:3000 yourname@your-vps.ip -N
6

7
# 现在外部用户访问 http://your-vps.ip:8080 就能访问你的本地服务

3.2 让远端监听公网地址（GatewayPorts）#

默认情况下，远程转发只绑定 VPS 的 127.0.0.1（只有 VPS 本机能访问），要让外部网络也能访问，需要修改 VPS 的 SSH 配置：

1
# 在 VPS 上修改 /etc/ssh/sshd_config
2
GatewayPorts yes    # 或 GatewayPorts clientspecified
3

4
systemctl restart sshd
5

6
# 然后在本地指定绑定到全部地址
7
ssh -R 0.0.0.0:8080:localhost:3000 yourname@your-vps.ip -N
8
# 0.0.0.0 表示绑定 VPS 的所有网络接口（公网可访问）

3.3 结合 Nginx：让内网穿透看起来更专业#

1
# VPS 上的 Nginx 配置：将域名指向 SSH 隧道
2
server {
3
    listen 80;
4
    server_name dev.your-domain.com;
5

6
    location / {
7
        proxy_pass http://127.0.0.1:8080;  # SSH 远程转发的本地端口
8
        proxy_set_header Host $host;
9
        proxy_set_header X-Real-IP $remote_addr;
10
        proxy_http_version 1.1;
11
        proxy_set_header Upgrade $http_upgrade;
12
        proxy_set_header Connection "upgrade";  # 支持 WebSocket
13
    }
14
}

四、动态端口转发（-D）：临时 SOCKS5 代理#

4.1 基本用法#

1
# 在本地 1080 端口创建 SOCKS5 代理，出口为 SSH 服务器
2
ssh -D 1080 yourname@your-server.ip -N
3

4
# 后台运行（加 -f）
5
ssh -fN -D 1080 yourname@your-server.ip

4.2 让浏览器走 SOCKS 代理#

Chrome / Firefox 安装 SwitchyOmega 插件：

新建情景模式 → 类型：代理服务器
代理协议：SOCKS5，代理服务器：127.0.0.1，端口：1080
切换到此情景模式即可

4.3 让命令行工具走 SOCKS 代理（proxychains）#

1
# 安装 proxychains
2
apt install -y proxychains4
3

4
# 配置文件 /etc/proxychains4.conf
5
# 在末尾 [ProxyList] 部分添加：
6
# socks5 127.0.0.1 1080
7

8
# 使用：在命令前加 proxychains
9
proxychains curl https://ipinfo.io     # 查看出口 IP（应为 SSH 服务器的 IP）
10
proxychains git clone https://github.com/...  # git 走代理
11
proxychains pip install package-name   # pip 走代理

4.4 macOS 系统代理设置#

1
# 临时设置终端代理变量
2
export ALL_PROXY=socks5://127.0.0.1:1080
3
export HTTP_PROXY=socks5://127.0.0.1:1080
4
export HTTPS_PROXY=socks5://127.0.0.1:1080
5

6
# 验证
7
curl -s https://ipinfo.io/ip
8

9
# 取消
10
unset ALL_PROXY HTTP_PROXY HTTPS_PROXY

五、AutoSSH：保持隧道连接稳定#

SSH 隧道遇到网络抖动会断开，AutoSSH 自动检测并重连：

1
apt install -y autossh
2

3
# 用 autossh 替代 ssh（其余参数相同）
4
# -M 0：不使用 AutoSSH 的监控端口，改用 SSH 自带的 ServerAlive 机制
5
autossh -M 0 -fN \
6
  -L 15432:localhost:5432 \
7
  -o "ServerAliveInterval 30" \
8
  -o "ServerAliveCountMax 3" \
9
  yourname@your-server.ip

5.1 systemd 服务（开机自启）#

1
# 创建 systemd 服务文件
2
cat > /etc/systemd/system/ssh-tunnel-db.service << 'EOF'
3
[Unit]
4
Description=SSH Tunnel to Production DB
5
After=network.target
6

7
[Service]
8
Type=simple
9
User=yourname                              # 运行用户（有 SSH 密钥的用户）
10
ExecStart=/usr/bin/autossh -M 0 -N \
11
  -L 15432:localhost:5432 \
12
  -o "ServerAliveInterval=30" \
13
  -o "ServerAliveCountMax=3" \
14
  -o "ExitOnForwardFailure=yes" \
15
  -i /home/yourname/.ssh/id_ed25519 \     # 明确指定密钥路径
16
  yourname@your-server.ip
17
Restart=always
18
RestartSec=10
19

20
[Install]
21
WantedBy=multi-user.target
22
EOF
23

24
systemctl daemon-reload
25
systemctl enable --now ssh-tunnel-db.service
26
systemctl status ssh-tunnel-db.service

六、ProxyJump：通过跳板机连接深层服务器#

传统的跳板机方式需要先 SSH 到跳板机，再从跳板机 SSH 到目标服务器。ProxyJump（-J）可以一步完成：

1
# 命令格式
2
# ssh -J 跳板机 目标服务器
3

4
# 通过跳板机 A 连接内网服务器 B
5
ssh -J yourname@jumphost.ip yourname@192.168.1.100
6

7
# 多级跳板（A → B → C）
8
ssh -J yourname@A,yourname@B yourname@C

~/.ssh/config 写法（推荐）#

1
# 跳板机
2
Host jumphost
3
    HostName jumphost.ip
4
    User yourname
5
    IdentityFile ~/.ssh/id_ed25519
6

7
# 内网服务器（通过跳板机访问）
8
Host inner-server
9
    HostName 192.168.1.100
10
    User yourname
11
    ProxyJump jumphost             # 通过 jumphost 跳转
12
    IdentityFile ~/.ssh/id_ed25519
13

14
# 另一台内网服务器，同时建立 DB 隧道
15
Host inner-db-server
16
    HostName 192.168.1.200
17
    User yourname
18
    ProxyJump jumphost
19
    LocalForward 15432 localhost:5432

1
# 使用（和直连一样简单）
2
ssh inner-server
3
ssh -N inner-db-server   # 开启 DB 隧道

七、实用技巧与注意事项#

7.1 后台运行与终止#

1
# 后台运行 SSH 隧道（-f 后台，-N 不执行命令）
2
ssh -fN -L 15432:localhost:5432 yourname@server.ip
3

4
# 查找并终止后台 SSH 隧道进程
5
ps aux | grep 'ssh.*-[LRD]'
6
# 找到 PID 后
7
kill <PID>
8
# 或一键关闭所有 SSH 转发进程（谨慎使用）
9
pkill -f "ssh.*-N"

7.2 ControlMaster：复用 SSH 连接#

1
# ~/.ssh/config 添加（同一主机多次连接复用一个 TCP 连接）
2
Host *
3
    ControlMaster auto
4
    ControlPath ~/.ssh/control/%h_%p_%r   # 需要手动创建目录
5
    ControlPersist 10m                    # 主连接关闭后保持 10 分钟
6

7
mkdir -p ~/.ssh/control

7.3 常见错误排查#

错误信息	原因	解决
`channel 3: open failed: connect failed`	目标端口未开放或服务未运行	检查目标服务器的服务是否启动
`bind: Address already in use`	本地端口已被占用	换一个本地端口，或 `kill` 占用进程
`Warning: remote port forwarding failed`	VPS 上 `GatewayPorts` 未开启	sshd_config 设置 `GatewayPorts yes`
隧道经常断开	长时间无数据传输被断开	添加 `ServerAliveInterval 60`
`Permission denied (publickey)`	密钥未上传或权限错误	`ssh-copy-id` 重传公钥，检查 `~/.ssh` 权限

相关文章：

SSH 是现代服务器运维的基石，熟练掌握 SSH 隧道可以解决大量实际问题，而无需安装额外的工具或开放额外的防火墙端口。