FinalShell 隧道功能怎么用？SSH 本地转发与远程转发教程

SSH 隧道（SSH Tunneling），也被称为端口转发（Port Forwarding），是 SSH 协议中最强大也最容易被忽视的功能之一。它允许你通过一个安全的 SSH 连接来转发任意 TCP 端口的流量，从而在不安全的网络上创建加密的“隧道”。对于开发者、系统管理员乃至普通用户而言，掌握 SSH 隧道技术，特别是在 FinalShell 这样强大的终端工具中运用自如，将极大地拓展你管理和访问网络资源的能力。

本文将作为一份详尽的指南，深入解析 SSH 本地转发（Local Forwarding）和远程转发（Remote Forwarding）的工作原理、应用场景，并手把手教你如何在 FinalShell 中进行配置和使用。

深入理解 SSH 隧道：网络连接的瑞士军刀

在开始实操之前，让我们先来建立对 SSH 隧道的基本理解。

什么是 SSH 隧道？

简单来说，SSH 隧道就是利用 SSH 加密通道，将一个网络端口的流量安全地转发到另一个网络端口。这个过程就像在两个网络节点之间挖了一条加密且不可见的“地下通道”，所有通过这条通道的数据都受到 SSH 的保护。它解决了在公共网络上传输敏感数据时的安全问题，同时也能够穿透防火墙，访问通常无法直接到达的服务。

为什么需要 SSH 隧道？核心应用场景

SSH 隧道的应用场景非常广泛，以下是一些典型的用例：

访问内网资源：当你的数据库、Web 服务器、缓存服务（如 Redis）或管理面板部署在远程服务器的内网中，无法直接从外部访问时，可以通过 SSH 隧道建立连接。
绕过防火墙限制：在某些受限的网络环境中，你可能无法直接访问特定的外部服务。通过将流量转发到一台允许访问的中间服务器，SSH 隧道可以帮助你绕过这些限制。
加密不安全的协议：如果你需要使用一些不加密的协议（如 HTTP、FTP、SMTP）传输敏感信息，通过 SSH 隧道可以为这些流量提供端到端的加密保护。
暴露本地服务到公网：开发者希望将本地开发环境的服务（例如一个本地运行的 Web 应用）临时暴露给外部测试或演示，而无需部署到生产环境。
提升安全性与隐私：通过将流量通过一台受信任的服务器转发，可以一定程度上隐藏你的真实 IP 地址，并防止中间人攻击。

FinalShell 简介与 SSH 隧道配置入口

FinalShell 是一款功能强大、界面友好的 SSH 客户端，集成了 SSH 终端、文件管理、服务器监控等诸多功能。它不仅提供了命令行操作的便利，还通过图形界面大大简化了许多复杂配置，包括 SSH 隧道。

在使用 FinalShell 配置隧道前，请确保你已经安装并成功连接到你的远程 SSH 服务器。

通常，你可以在 FinalShell 的“连接”或“会话”管理界面中找到隧道相关的配置入口。当你成功连接到一个服务器后，右键点击连接或在连接属性中查找“隧道”或“端口转发”选项，即可进入隧道管理界面。

FinalShell dashboard displaying server performance metrics 图1：FinalShell 控制面板展示服务器性能指标，确保连接正常是配置隧道的前提。

SSH 本地转发（Local Forwarding, `-L`）：从外部访问内部资源

本地转发是最常用的一种隧道类型，它允许你从本地机器访问远程 SSH 服务器所在网络中的服务。

本地转发的核心概念

本地转发的原理是：将远程服务器上的某个端口（目标服务）映射到你本地机器的一个端口。当你访问本地机器上的这个映射端口时，流量会通过 SSH 隧道被安全地转发到远程 SSH 服务器，再由远程服务器转发给目标服务。

简单来说，就是：本地监听端口 -> SSH 隧道 -> 远程服务器 -> 目标主机：目标端口。

在命令行中，对应的 SSH 命令通常是： ssh -L [本地监听端口]:[目标主机或IP]:[目标端口] user@ssh_server_ip

[本地监听端口]：你本地机器上用于访问服务的端口，可以随意选择一个未被占用的端口。
[目标主机或IP]：远程 SSH 服务器所在的网络中，你真正想要访问的服务的主机名或 IP 地址。这可以是 localhost（如果服务就在 SSH 服务器本机上）、内网 IP 或其他可达的外部 IP。
[目标端口]：目标服务实际监听的端口。
user@ssh_server_ip：你的 SSH 用户名和远程 SSH 服务器的 IP 地址。

本地转发的应用场景举例

访问远程内网数据库：你的 MySQL 数据库部署在远程服务器的内网，端口 3306，并且只允许 localhost 访问。你可以通过本地转发，在本地机器上使用 Navicat 等工具连接到 localhost:3307 来访问远程数据库。
访问受保护的内部管理页面：某些内部 Web 应用或管理后台可能仅限于 SSH 服务器的内网 IP 访问。
测试远程服务器上的 Web 服务：你可以在本地浏览器中访问 localhost:[本地端口] 来测试远程服务器上运行的 Web 应用。

FinalShell 中配置本地转发的详细步骤

FinalShell 将这一过程图形化，变得非常直观。

打开 FinalShell 并连接到 SSH 服务器：首先，打开 FinalShell，并连接到作为跳板机的远程 SSH 服务器。
进入隧道管理界面：在已连接的会话窗口中，通常在顶部菜单栏或右键点击会话标签，找到“工具” -> “隧道” 或直接在会话属性中找到“端口转发”选项卡。
添加本地转发规则：
- 点击“添加”按钮，选择“本地转发”。
- 本地端口：填写你希望在本地机器上监听的端口号，例如 3307。
- 远程主机：填写目标服务的实际主机名或 IP 地址。如果数据库就在你连接的 SSH 服务器上，这里填 127.0.0.1 或 localhost。如果是在 SSH 服务器同内网的另一台服务器上，填写那台服务器的内网 IP。
- 远程端口：填写目标服务实际监听的端口号，例如 MySQL 的 3306。
- 名称 (可选)：为这个隧道起一个易于识别的名称，例如“MySQL_Tunnel”。
- 备注 (可选)：添加一些说明。
保存并启动隧道：配置完成后，点击“保存”或“确定”。隧道列表里会出现你刚刚添加的规则。确保规则旁边的“启用”或“启动”开关是开启状态。
验证连接：现在，你可以在本地机器上使用相应的客户端工具，连接到 127.0.0.1:[你设置的本地端口]（例如 127.0.0.1:3307），实际上连接到的就是远程服务器内网的目标服务。

SSH 远程转发（Remote Forwarding, `-R`）：将本地服务暴露给远程

远程转发与本地转发恰好相反，它允许你将本地机器上的服务通过 SSH 隧道，暴露给远程 SSH 服务器，进而可能允许远程服务器的其他用户或外部网络访问。

远程转发的核心概念

远程转发的原理是：将你本地机器上的一个端口（本地服务）映射到远程 SSH 服务器的一个端口。当有用户访问远程 SSH 服务器上的这个映射端口时，流量会通过 SSH 隧道被安全地转发回你的本地机器，再由本地机器转发给本地服务。

简单来说，就是：远程服务器监听端口 -> SSH 隧道 -> 本地机器 -> 本地服务端口。

在命令行中，对应的 SSH 命令通常是： ssh -R [远程监听端口]:[目标主机或IP]:[目标端口] user@ssh_server_ip

[远程监听端口]：远程 SSH 服务器上用于监听的端口号。
[目标主机或IP]：远程 SSH 服务器通过 SSH 隧道访问的本地机器上的服务的主机名或 IP 地址。通常是 127.0.0.1 或 localhost。
[目标端口]：你本地机器上目标服务实际监听的端口。
user@ssh_server_ip：你的 SSH 用户名和远程 SSH 服务器的 IP 地址。

远程转发的应用场景举例

暴露本地开发环境的 Web 服务：你本地运行了一个 Web 服务（例如在 localhost:8000），希望让远程的客户或同事通过远程 SSH 服务器的 IP 地址访问到。
内网穿透：当你的本地机器在内网中，没有公网 IP，但你需要临时从外部访问本地服务时。你可以通过一台有公网 IP 的 SSH 服务器作为跳板。

FinalShell 中配置远程转发的详细步骤

打开 FinalShell 并连接到 SSH 服务器：和本地转发一样，首先连接到作为跳板机的远程 SSH 服务器。
进入隧道管理界面：在已连接的会话窗口中，找到“工具” -> “隧道” 或“端口转发”选项卡。
添加远程转发规则：
- 点击“添加”按钮，选择“远程转发”。
- 远程端口：填写你希望远程 SSH 服务器监听的端口号，例如 8080。注意，在 Linux 系统上，小于 1024 的端口需要 root 权限才能监听。
- 本地主机：填写你本地机器上目标服务的主机名或 IP 地址。通常填写 127.0.0.1 或 localhost。
- 本地端口：填写你本地服务实际监听的端口号，例如你本地 Web 服务器的 8000。
- 名称 (可选)：为这个隧道起一个易于识别的名称，例如“Local_Web_Dev”。
保存并启动隧道：配置完成后，点击“保存”或“确定”。隧道列表里会出现你刚刚添加的规则。确保规则旁边的“启用”或“启动”开关是开启状态。
验证连接：现在，从远程 SSH 服务器本身或者能访问远程 SSH 服务器 IP 的其他机器上，访问 ssh_server_ip:[你设置的远程端口]（例如 your_server_ip:8080），就可以访问到你本地机器上的服务了。

远程转发的权限与 `GatewayPorts`

远程转发有一个重要的配置项需要注意：GatewayPorts。默认情况下，为了安全，远程 SSH 服务器的 sshd 服务配置可能只允许远程转发的端口在 127.0.0.1 上监听（即只能从 SSH 服务器本机访问）。如果你希望其他机器（包括公网）也能访问这个远程转发的端口，你需要在远程 SSH 服务器的 /etc/ssh/sshd_config 文件中将 GatewayPorts 设置为 yes：

# /etc/ssh/sshd_config
GatewayPorts yes

修改后，记得重启 SSH 服务：sudo systemctl restart sshd 或 sudo service sshd restart。

SSH 动态转发（Dynamic Forwarding, `-D`）：构建 SOCKS 代理

除了本地转发和远程转发，SSH 隧道还支持动态转发（Dynamic Forwarding），它通常用于创建 SOCKS 代理。

动态转发的工作原理

动态转发不像前两者那样指定具体的“目标主机:目标端口”，而是将本地机器变成一个 SOCKS 代理服务器。当你的应用程序（如浏览器）配置为使用这个 SOCKS 代理时，所有通过该代理的流量都会通过 SSH 隧道转发到远程 SSH 服务器，再由远程服务器根据请求动态地连接到目标地址和端口。

动态转发的典型用途

全局代理，绕过网络限制：例如，你可以通过连接到一台境外的 SSH 服务器，在本地配置 SOCKS 代理，实现“科学上网”。
匿名化网络访问：所有流量都从 SSH 服务器的 IP 地址发出，有助于隐藏你的真实 IP。

FinalShell 中的简要配置

FinalShell 通常也支持动态转发的配置。

在隧道管理界面，选择“动态转发”。
填写“本地端口”，这是 SOCKS 代理在本地机器上监听的端口，例如 1080 或 7890。
启动隧道后，在你的浏览器或应用程序的代理设置中，配置 SOCKS 代理为 127.0.0.1:[你设置的本地端口]。

隧道连接的稳定性与常见问题排除

SSH 隧道偶尔会遇到断开或连接不稳定的情况。

保持隧道活跃：Keep-Alive 设置

为了保持 SSH 隧道的活跃，防止长时间无操作而被防火墙或路由器断开，可以配置 SSH 的 Keep-Alive 机制。在 FinalShell 中，你可以在会话属性或隧道设置中找到相关的“心跳包”或“Keep-Alive”选项，将其开启或调整发送间隔。

在 ~/.ssh/config 文件中也可以全局配置：

Host *
  ServerAliveInterval 60  # 每60秒向服务器发送一次心跳包
  ServerAliveCountMax 3   # 失败3次后断开连接

常见问题与解决方案

端口被占用（Address already in use）：
- 问题：你指定的本地监听端口或远程监听端口已经被其他程序占用。
- 解决方案：更换一个未被占用的端口。在 Linux/macOS 上，可以使用 netstat -tulnp | grep [端口号] 命令检查端口占用情况。
防火墙限制：
- 问题：本地机器或远程服务器的防火墙阻止了流量通过指定的端口。
- 解决方案：
  - 检查你本地机器的防火墙（如 Windows Defender、macOS 防火墙），确保允许 FinalShell 或 SSH 客户端进行网络通信。
  - 检查远程 SSH 服务器的防火墙（如 ufw、firewalld 或云服务商的安全组），确保 SSH 端口（通常是 22）是开放的，并且对于远程转发，确保你设置的远程监听端口也已开放。
SSH 服务器配置限制：
- 问题：SSH 服务器的 sshd_config 文件限制了端口转发。
- 解决方案：
  - 确保 /etc/ssh/sshd_config 中 AllowTcpForwarding 设置为 yes（默认通常是 yes）。
  - 对于远程转发，如果你希望其他机器访问远程监听端口，需要设置 GatewayPorts yes 并重启 SSH 服务（如前所述）。
认证失败：
- 问题：SSH 连接本身无法建立，导致隧道也无法启动。
- 解决方案：检查 SSH 用户名、密码或密钥是否正确。

Troubleshooting FinalShell connection drops and disconnections 图2：FinalShell 连接断开和掉线故障排除，确保 SSH 连接稳定是隧道功能正常工作的关键。

安全最佳实践与注意事项

虽然 SSH 隧道提供了强大的功能，但在使用时务必注意安全性：

使用强密码或 SSH 密钥对：这是 SSH 连接最基本的安全保障。始终使用复杂且唯一的密码，或更推荐使用 SSH 密钥对进行身份验证。
限制隧道访问权限：确保只有受信任的用户才能建立 SSH 连接和隧道。如果可能，在 sshd_config 中使用 AllowUsers 或 DenyUsers 进行控制。
定期审计日志：检查 SSH 服务器的认证日志（通常在 /var/log/auth.log 或 /var/log/secure）以发现任何异常的登录尝试。
最小化开放端口：只开放必要的端口，并配置防火墙规则限制访问来源。

总结：掌握 SSH 隧道，拓展网络边界

SSH 隧道功能是网络技术中一项不可多得的宝藏，它赋予了我们在复杂网络环境中安全、灵活地访问和管理资源的强大能力。通过 FinalShell 这样的现代化工具，即使是初学者也能相对容易地配置和利用本地转发、远程转发甚至动态转发，突破网络限制，保障数据安全。

希望这篇教程能帮助你全面理解并熟练运用 FinalShell 的 SSH 隧道功能。掌握这些技巧，你将能更高效、更安全地进行开发、管理和故障排除，真正做到游刃有余地穿梭于网络世界。

延伸阅读

若需进一步查阅，可先看本站以下教程：