使用SSH 远程转发访问内网香蕉派

oflyhigh (79)in #ssh • 6 years ago

之前使用SSH 动态转发实现了SOCKS5代理功能让Telegram X可以正常使用（现在用不到了），使用SSH本地转发实现了我bitshares witness_node 在多个IP及端口提供服务。

一般说到SSH转发，总是提到动态转发(-D)、本地转发(-L)以及远程转发(-R)，既然已经用到了两个转发，不试试最后一个颇有些厚此薄彼的意味。

需求

但是要试试总得编造出来一个需求啊，不然文章显得多水，我想了想，我有时候需要在外网访问家里的香蕉派，这该算是一个说得过去的需求吧？

其实，外网访问内网我觉得最方便的方法还是DDNS+NAT，以往我放家里的MQTT服务器、Apache服务器都是这么搞的，方便快捷好用，用同样的方法访问SSH也没啥问题。但是如果我用DDNS+NAT不就没SSH转发啥事了嘛，所以我姑且装作不知道DDNS+NAT的方法。

如何转发

man 手册中关于-R选项的部分介绍如下：

-R [bind_address:]port:host:hostport

Specifies that the given port on the remote (server) host is to be forwarded to the given host and port on the local side. This works by allocating a socket to listen to port on the remote side, and whenever a connection is made to this port, the connection is forwarded over the secure channel, and a connection is made to host port hostport from the local machine.

那么按照这个说明，我们的指令应该是这个样子：
ssh -f -N -R vps_ip:7890:localhost:22 user@vps_ip

-f -N啥的说过好多次啦，就不浪费篇幅了。

这个指令大致意思就是建立起来vps_ip 7890端口到我内网机器(香蕉派) 22端口的转发。也就是说如果我用putty之类的工具登陆vps_ip 7890端口，登陆的是我内网香蕉派的SSH服务。

测试了一下，果断被拒：

ssh -p 7890 localhost
但是如果从vps_ip机器上直接登陆则一切正常，也就是说有那么一点点问题。

问题所在

虽然我们达成了之前的目的，可以从外网访问内网香蕉派了，但是有点点瑕疵。我们需要先登陆vps_ip的机器，在SSH到内网香蕉派，也就是多费了一遍劲。

对于我这种懒人来讲，这是不可接受的，于是我就调查了一下问题在哪里？再来仔细看看-R选项的内容，第三段说明如下：

-R [bind_address:]port:host:hostport

By default, the listening socket on the server will be bound to the loopback interface only. This may be overridden by specifying a bind_address. An empty bind_address, or the address ‘*’, indicates that the remote socket should listen on all interfaces. Specifying a remote bind_address will only succeed if the server's GatewayPorts option is enabled (see sshd_config(5)).

也就是说，远端机器上默认只监听 loopback interface，如果需要监听所有地址，那么需要指定 bind_address或者*啥的，同时需要开启远端机器上SSHD的GatewayPorts 选项。