通过ssh反向连接内网主机的方法(防火墙的主机)

一、SSH反向连接内网主机详解

当目标主机处于防火墙或网络地址转换（NAT）设备后方时，传统的SSH直连方式往往无法奏效。此时，借助SSH反向连接技术，即可由内网主机主动向外网控制端发起连接，构建一条可靠的加密访问通道。这项技术的原理看似复杂，实际操作只需遵循清晰的“四步法”即可轻松完成。

首先，请确保内网主机和外网主控端均已安装并运行正常的SSH服务，这是所有操作的基础前提。

核心操作的第一步，需要在被控制的内网主机上执行。输入以下命令：

ssh -f -N -R 10000:localhost:22 username@主控端ip

这条命令包含了几个关键参数：-f 使连接进入后台运行，-N 表示不执行远程命令仅建立隧道，而 -R 则用于创建反向端口转发。其功能是在外网主控端的10000端口与内网被控端的22端口（默认SSH服务端口）之间，搭建一条加密的单向通信隧道。

隧道建立后，如何实际使用呢？第二步，在外网主控端执行登录命令：

ssh username@localhost -p 10000

请注意，此处的username应替换为内网被控主机的系统用户名，端口号则指定为先前映射的10000。这条指令的含义是：“通过本机（主控端）的10000端口发起SSH连接”。命令执行成功后，您将直接获得内网主机的远程终端访问权限，过程简洁高效。

二、配置SSH公钥认证实现免密登录

频繁输入密码不仅影响效率，在需要自动化执行的脚本中更是难以操作。SSH公钥认证机制正是为此而设计，它允许客户端在不输入密码的情况下安全地登录服务器。以下以广泛使用的OpenSSH为例，介绍标准的配置流程。

实践表明，配置成功的关键在于遵循正确的步骤并设置恰当的文件权限。

1. 客户端生成并发送公钥

首先进入客户端的SSH配置目录：cd ~/.ssh。

接下来生成密钥对。推荐执行的命令为：ssh-keygen -t dsa -b 1024。该命令指定使用DSA算法生成1024位长度的密钥。系统会提示输入密钥存储路径和密钥口令（passphrase），若追求完全免密登录，可直接按回车键跳过设置。

密钥生成后，目录下会出现两个文件：id_dsa（私钥，必须严格保密）和id_dsa.pub（公钥）。下一步是将公钥传输至远程服务器，可使用SCP命令：scp id_dsa.pub server_user@服务器IP:~/.ssh/id_dsa.pub.client。为公钥添加一个 .client 后缀有助于在服务器端清晰识别密钥来源。

2. 服务器端配置授权密钥

登录到目标服务器，同样进入其~/.ssh目录。

将客户端上传的公钥追加到授权文件中：cat id_dsa.pub.client >> authorized_keys。

随后是至关重要的一步，许多连接故障都源于此处的疏忽：为该授权文件设置严格的权限。执行命令：chmod 0600 authorized_keys。这确保了文件仅对所有者可读写，OpenSSH服务端会强制检查此项权限。

至此，配置全部完成。此后从该客户端SSH连接此服务器时，系统将自动使用密钥进行身份验证，无需再手动输入密码。

三、实战场景：外网访问内网主机完整方案

将上述SSH反向隧道与公钥认证两项技术结合，可完美解决一个典型难题：如何从外部网络稳定、安全地访问一台位于私有网络内部、没有公网IP地址的计算机。

我们设定一个常见场景：假设您公司的办公电脑位于企业内网（IP：192.168.1.1），而家中拥有一台具备固定公网IP的服务器（IP：100.100.100.100）。在常规网络条件下，只能从公司主动访问家中服务器。

那么，如何实现从家中服务器反向连接公司内网电脑？解决方案的核心正是利用SSH反向隧道，构建一条从公司内部指向家庭服务器的“专属加密链路”。

操作步骤分步解析

第一步，在内网主机（公司电脑）上发起反向隧道连接。 执行如下命令：

ssh -NfR 2222:localhost:22 your_user@100.100.100.100 -p 22

参数解读：
- -Nf 使会话保持后台运行且不执行远程命令。
- -R 2222:localhost:22 是核心，它指示在家中服务器（100.100.100.100）上监听2222端口，并将所有抵达此端口的流量，通过加密隧道转发至公司电脑的22号SSH端口。
- 命令末尾指定了家中服务器的登录凭证及SSH端口号。

执行后，可使用ps aux | grep ssh命令确认隧道进程是否正常运行。

第二步，在家庭服务器上验证隧道并完成登录。
首先检查端口监听状态：netstat -antp | grep 2222。若能看到一条监听地址为127.0.0.1:2222的记录，则表明反向隧道已成功建立。此配置意味着隧道仅接受来自服务器本地的连接，提升了安全性。

最后，在家中的服务器终端内，执行：ssh -p 2222 your_user@localhost。
该命令通过本地2222端口，将SSH请求经由已建立的反向隧道，无缝送达公司内网主机，实现免跳板直接登录。

提升连接稳定性与自动化程度

在实际部署中，常会面临两个挑战：一是反向隧道可能因网络波动意外断开；二是手动建立连接仍需交互认证。

针对认证问题，通过前面第二节完成SSH公钥配置后，即可实现完全免密登录，彻底解决此障碍。

针对隧道断连问题，一个有效的策略是部署一个守护进程脚本，定期检查隧道活跃状态并在断开时自动重连。以下是该思路的一个简明实现示例：

#!/bin/bash
while true; do
# 监测反向隧道进程是否存在
RET=$(ps ax | grep "ssh -NfR 2222:localhost:22" | grep -v "grep")
if [ "$RET" = "" ]; then
echo "检测到隧道中断，正在尝试重新连接..."
ssh -NfR 2222:localhost:22 your_user@100.100.100.100
fi
sleep 60 # 设置检查间隔为60秒
done

将此脚本设置为系统服务或后台任务，即可持续保障SSH隧道的通畅。结合公钥免密认证，您便获得了一套从外网安全、稳定、自动化访问内网主机的企业级完整解决方案。

如果在登录过程中遇到如“Permission denied (publickey,gssapi-with-mic)”这类错误提示，请不必担心。此类问题通常源于两个常见原因：要么是客户端公钥未准确添加到服务器的authorized_keys文件内，要么是服务器端SSH目录或相关文件的权限设置不符合安全要求。请依照第二节的指引回头仔细核对这两个环节，绝大多数问题都能顺利排查解决。