SSH端口转发

最新推荐文章于 2024-05-17 00:58:22 发布
最新推荐文章于 2024-05-17 00:58:22 发布
阅读量1k 收藏 4
点赞数
分类专栏： linux 安全和加密 文章标签： ssh linux 安全与加密 端口转发 通信
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/sxy2475/article/details/77949585
版权

SSH端口转发

关于SSH端口转发

原理

SSH 会自动加密和解密所有SSH 客户端与服务端之间的网络数据。但是，SSH 还能够将其他TCP 端口的网络数据通过SSH 链接来转发，并且自动提供了相应的加密及解密服务。这一过程也被叫做“隧道”（tunneling），这是因为SSH 为其他TCP 链接提供了一个安全的通道来进行传输而得名。例如，Telnet，SMTP，LDAP 这些TCP 应用均能够从中得益，避免了用户名，密码以及隐私信息的明文传输。而与此同时，如果工作环境中的防火墙限制了一些网络端口的使用，但是允许SSH 的连接，也能够通过将TCP 端口转发来使用SSH 进行通讯。

两大应用
  • 加密SSH Client 端至SSH Server 端之间的通讯数据
  • 突破防火墙的限制完成一些之前无法建立的TCP 连接

实验前准备

实验前的准备工作非常重要,关乎实验能否顺利的进行,请务必在每台主机上完成准备工作

关闭防火墙

CentOS 7关闭防火墙的方法

root&Centos7: ~#systemctl disable firewalld.service
Removed symlink /etc/systemd/system/basic.target.wants/firewalld.service.
Removed symlink /etc/systemd/system/dbus-
org.fedoraproject.FirewallD1.service.
#禁止防火墙自启动
root&Centos7: ~#systemctl stop firewalld.service
#关闭防火墙
root&Centos7: ~#iptables -vnL
Chain INPUT (policy ACCEPT 4044 packets, 482K bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 77 packets, 7544 bytes)
 pkts bytes target     prot opt in     out     source               destination
 #确认防火墙已经关闭

CentOS 6关闭防火墙的方法

[root@localhost ~]# chkconfig iptables off
#禁止防火墙自启动
[root@localhost ~]# service iptables stop
#关闭防火墙
iptables: Setting chains to policy ACCEPT: filter          [  OK  ]
iptables: Flushing firewall rules:                         [  OK  ]
iptables: Unloading modules:                               [  OK  ]
[root@localhost ~]# iptables -vnL
                ……此处省略部分显示内容……
关闭SElinux策略
[root@localhost ~]# sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config
#禁用SElinux策略
[root@localhost ~]# grep SELINUX=disabled /etc/selinux/config
#确定SELINUX=disabled，已经将SElinux策略禁用
SELINUX=disabled
[root@localhost ~]# setenforce 0
#设置SELinux当前状态为Permissive
[root@localhost ~]# getenforce
#获取SELinux当前状态
Permissive
检查是否已安装Telnet服务

Telnet服务有两个软件包，请确认都已经安装。
telnet-server：此软件包为server包，用于接收Telnet client的连接
telnet：此软件包是client包，用于连接Telnet service

[root@localhost ~]# rpm -qa telnet-server
[root@localhost ~]# rpm -ql telnet
package telnet is not installed
#使用rpm -ql 或rpm -qa查看软件包是否已经安装。上面是没有安装的显示。
[root@localhost ~]# rpm -qa telnet-server
telnet-server-0.17-48.el6.x86_64
[root@localhost ~]# rpm -ql telnet
/usr/bin/telnet
/usr/share/man/man1/telnet.1.gz
#使用rpm -qa可以查看到软件包或使用rpm -ql 查看到软件包安装目录，则说明包已经安装。
安装Telnet服务

若没有安装Telnet服务的这两个软件包，则使用yum安装。

[root@localhost ~]# yum list |grep telnet
telnet-server.x86_64                     1:0.17-48.el6                    cdrom
telnet.x86_64                            1:0.17-48.el6                    cdrom
#确认要安装的软件包都在yum源中。
[root@localhost ~]# yum install -y telnet-server telnet
#使用yum同时安装缺少的两个软件包，如果只缺少一个，则只安装对应缺少的那个软件包。
[root@localhost ~]# rpm -ql telnet-server
[root@localhost ~]# rpm -ql telnet
#确认两个软件包都已经安装全。
启动Telnet服务

CentOS 6启动Telnet服务的方法

[root@localhost ~]# chkconfig telnet on
#设置telnet service状态为on
[root@localhost ~]# chkconfig --list telnet
telnet          on
#检查上一步的设置已生效
[root@localhost ~]# service xinetd start
Starting xinetd:                                           [  OK  ]
#启动xinetd服务
[root@localhost ~]# ss -ntl|grep :23
LISTEN     0      64                       :::23                      :::*
#确定TCP的23端口已经打开，Telnet服务已可以接受访问。

CentOS 7启动Telnet服务的方法

root&Centos7: ~# systemctl enable telnet.socket
Created symlink from /etc/systemd/system/sockets.target.wants/telnet.socket to /usr/lib/systemd/system/telnet.socket.
#设置telnet服务为开机自启动
root&Centos7: ~# systemctl start telnet.socket
#启动telnet服务
root&Centos7: ~# systemctl is-active telnet.socket
active
#验证Telnet服务当前是否为活动状态
root&Centos7: ~#ss -ntl|grep :23
LISTEN     0      128         :::23                      :::*

本地端口转发

这里写图片描述

A需要与C建立Telnet连接，但出于安全考虑A不能直接连接C，需要通过B做跳板机来连接C。Telnet是不加密传输的，为了保证A和B之间传输数据的安全，需要在A上建立本地端口转发，建立ssh安全隧道，实现加密传输。A到B走的是ssh协议，通信的数据经过封装，不用担心被截获，在内网可以走Telnet协议，实现安全通信。

建立本地端口转发
root&Centos6: ~#ss -nlt|grep 9527
#检查要使用的9527端口是否被占有，被占有则更换其他端口。
root&Centos6: ~#ssh -L 9527:172.18.22.200:23 -Nf 172.18.0.2
            ……此处省略部分显示内容……
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '172.18.0.2' (RSA) to the list of known hosts.
root@172.18.0.2's password:     #此处输入B主机的登录密码
#ssh -L 本地转发端口:要访问的目标主机:目标服务的端口 -Nf 跳板机地址
#       -L 建立本地端口转发
#       -f 后台启用
#       -N 不打开远程shell，处于等待状态
确认本地端口转发已经建立
root&Centos6: ~#ss -nt
State      Recv-Q Send-Q                                   Local Address:Port                                     Peer Address:Port
ESTAB      0      0                                        172.18.22.100:42368                                      172.18.0.2:22
#172.18.22.100与172.18.0.2已经建立连接，说明加密通信的隧道已经搭好。
root&Centos6: ~#ss -nlt|grep 9527
LISTEN     0      128               127.0.0.1:9527                     *:*
LISTEN     0      128                     ::1:9527                    :::*
#本地的9527端口已经打开并处于监听状态
使用创建好的加密隧道进行通信
root&Centos6: ~#telnet 127.0.0.1 9527
        ……此处省略部分显示内容……
Centos7 login: sun  #输入C主机的非root账户。
Password:   #输入密码
Last login: Tue Sep 12 22:30:37 from ::ffff:172.18.22.100
[sun@Centos7 ~]$
#已经看到了C主机的命令提示符说明远程连接成功。
查看A主机连接状态
root&Centos6: ~#ss -nt
State      Recv-Q Send-Q                                   Local Address:Port                                     Peer Address:Port
                    ……此处省略部分显示内容……
ESTAB      0      0                                            127.0.0.1:46686                                       127.0.0.1:9527
ESTAB      0      0                                        172.18.22.100:42368                                      172.18.0.2:22
#本机的9527端口连接了本机的46686端口，本机既是Telnet client也是Telnet service。
#本机的42368端口连接了B主机的22端口，建立了ssh通讯。
查看B主机连接状态
[root@localhost ~]# ss -nt
State      Recv-Q Send-Q                                   Local Address:Port                                     Peer Address:Port
ESTAB      0      0                                           172.18.0.2:39298                                   172.18.22.200:23
ESTAB      0      0                                           172.18.0.2:22                                      172.18.22.100:42368
#B主机同时连接这A和C主机，B主机连接的是C主机的23端口，也就是C主机Telnet服务的监听端口。
查看C主机连接状态
root&Centos7: ~#ss -nt
State      Recv-Q Send-Q                      Local Address:Port                                     Peer Address:Port
ESTAB      0      0                    ::ffff:172.18.22.200:23                                  ::ffff:172.18.0.2:39298
#已经建立了Telnet连接，不是和A主机建立的而是和B主机建立的。
结束本地端口转发
[sun@Centos7 ~]$ exit
logout
Connection closed by foreign host.
root&Centos6: ~#
#退出登录的远程主机
root&Centos6: ~#ss -nt
State      Recv-Q Send-Q                                   Local Address:Port                                     Peer Address:Port
                    ……此处省略部分显示内容……
ESTAB      0      0                                        172.18.22.100:42368                                      172.18.0.2:22
#A和B的连接还在，说明安全隧道还在搭着。
root&Centos6: ~#ps aux|grep "ssh -L"
root      18619  0.0  0.0  61932  1284 ?        Ss   22:57   0:00 ssh -L 9527:172.18.22.200:23 -Nf 172.18.0.2
root      18889  0.0  0.0 103332   844 pts/0    S+   23:27   0:00 grep ssh -L
#本地端口转发的进程还在。
root&Centos6: ~#killall ssh
#杀掉本地端口转发的进程
root&Centos6: ~#ps aux|grep "ssh -L"
root      18892  0.0  0.0 103332   848 pts/0    S+   23:28   0:00 grep ssh -L
root&Centos6: ~#ss -nlt|grep 9527
#负责本地端口转发的9527端口已经关闭了，以结束本地端口转发。

远程端口转发

这里写图片描述

A主机需要给C主机发送邮件，但是C主机和B主机都在内网，A主机不能主动连接。B主机可以连接外网，需要B主机去主动访问A主机，并建立远程端口转发，接收A主机发来的邮件交给C主机。通过B主机做跳板机来实现A主机与C主机之间的TCP连接。

配置C主机的邮件服务
root&Centos7: ~#ss -nlt|grep 25
LISTEN     0      100    127.0.0.1:25                       *:*
LISTEN     0      100        ::1:25                      :::*
#正在监听25端口的是本地环回地址，会导致不能接收其它ip地址接收到的邮件。
root&Centos7: /#grep "inet_interfaces = " /etc/postfix/main.cf
    #inet_interfaces = all
    #inet_interfaces = $myhostname
    #inet_interfaces = $myhostname, localhost
    inet_interfaces = localhost
#localhost指的是127.0.0.1地址，all指本机所有地址。需要让inet_interfaces = all生效。
root&Centos7: /#sed -ri.bak 's/#(inet_interfaces = all)/\1/' /etc/postfix/main.cf
#将/etc/postfix/main.cf文件中inet_interfaces = all前的注释去掉。
root&Centos7: /#sed -ri.bak 's/inet_interfaces = localhost/#&/' /etc/postfix/main.cf
#将/etc/postfix/main.cf文件中inet_interfaces = localhost前加上注释。
root&Centos7: /#grep "inet_interfaces = " /etc/postfix/main.cf
    inet_interfaces = all
    #inet_interfaces = $myhostname
    #inet_interfaces = $myhostname, localhost
    #inet_interfaces = localhost
#检验配置文件更改结果
root&Centos7: /#systemctl restart postfix
#重启邮件服务，生效配置文件。
root&Centos7: /#ss -nlt|grep 25
LISTEN     0      100          *:25                       *:*
LISTEN     0      100         :::25                      :::*
#再次检查邮件服务器端口，留意端口监听地址的变化。
建立远程端口转发
[root@localhost ~]# ssh -R 9527:172.18.22.200:25 -fN 172.18.22.100
            ……此处省略部分显示内容……  
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '172.18.22.100' (RSA) to the list of known hosts.
root@172.18.22.100's password:
#ssh -R 远程转发端口:要访问的目标主机:目标服务的端口 -fN 进行远程转发的主机
#       -R 建立远程端口转发
#       -f 后台启用
#       -N 不打开远程shell，处于等待状态
确认远程端口转发已经建立

B主机的连接状态

[root@localhost ~]# ss -nt
State      Recv-Q Send-Q                                   Local Address:Port                                     Peer Address:Port
ESTAB      0      0                                           172.18.0.2:48008                                   172.18.22.100:22
#B主机作为ssh client已与A主机建立了ssh连接。

A主机的连接状态

root&Centos6: ~#ss -nlt|grep 9527
LISTEN     0      128               127.0.0.1:9527                     *:*
LISTEN     0      128                     ::1:9527                    :::*
#确定A主机的9527端口已处于监听状态
root&Centos6: ~#ss -nt
State      Recv-Q Send-Q                                   Local Address:Port                                     Peer Address:Port
ESTAB      0      0                                        172.18.22.100:22                                         172.18.0.2:48008
#已与B主机建立了ssh连接
使用创建好的加密隧道发送邮件
root&Centos6: ~#telnet 127.0.0.1 9527
Trying 127.0.0.1...
Connected to 127.0.0.1.
Escape character is '^]'.
220 Centos7.xiaoyu ESMTP Postfix
helo siwei,link
250 Centos7.xiaoyu
mail from:sun@siwei.link
250 2.1.0 Ok
rcpt to:root
250 2.1.5 Ok
data
354 End data with <CR><LF>.<CR><LF>
subject:hello,ssh
ssh remote link
.   #.表示邮件已经完成
250 2.0.0 Ok: queued as 4822D412B44F
quit    #退出
221 2.0.0 Bye
Connection closed by foreign host.
查看C主机的连接状态
root&Centos7: /#ss -nt
State      Recv-Q Send-Q                      Local Address:Port                                     Peer Address:Port
ESTAB      0      0                           172.18.22.200:25                                         172.18.0.2:59490
#本机的25端口接收到B主机的访问，并建立SMTP连接。
在C主机查看A主机发来的邮件
root&Centos7: /#mail
                    ……此处省略部分显示内容……
 N  8 sun@siwei.link        Wed Sep 13 10:48  11/321   "hello,s"
& 8    #输入数字8，查看第8封邮件
Message  8:
From sun@siwei.link  Wed Sep 13 10:48:13 2017
Return-Path: <sun@siwei.link>
X-Original-To: root
Delivered-To: root@Centos7.xiaoyu
subject:hello,ssh
Status: R

ssh remote link

& q     #退出邮箱
#接收到A主机发送来的邮件
在B主机关闭远程端口转发
[root@localhost ~]#killall ssh

动态端口转发

这里写图片描述

C是一台web服务器，A主机被防火墙隔离，不能直接访问C主机的web服务 ，通过在A主机上建立动态端口转发，利用代理服务器B来访问A的web服务。

在C主机安装并配置httpd服务
root&Centos7: /#yum install -y httpd
root&Centos7: /#systemctl start httpd
root&Centos7: /#ss -ntl|grep 80
LISTEN     0      128         :::80                      :::*
root&Centos7: /#echo "<h1>www.siwei.link</h1>" >/var/www/html/index.html
#设置web网站首页内容
root&Centos7: /#cat /var/www/html/index.html
<h1>www.siwei.link</h1>
#验证首页内容写入成功
root&Centos7: /#iptables -A INPUT -s 172.18.22.100 -j REJECT
#在C主机设置防火墙策略禁止A主机访问。
在A主机访问C主机的web服务
root&Centos6: ~#curl http://172.18.22.200
curl: (7) couldn't connect to host
#访问被拒绝
在A主机建立动态端口转发
root&Centos6: ~#ssh -D 1080 172.18.0.2 -Nf
root&Centos6: ~#curl --socks5 127.0.0.1 http://172.18.22.200
<h1>www.siwei.link</h1>
#使用本地环回地址做代理，使用curl命令访问C主机的web网站
#看到C主机设置的首页内容，说明访问成功。
root&Centos6: ~#killall ssh
#关闭动态端口转发

附：误删除配置文件解决办法

无论在工作还是实验中，对待配置文件一定要慎重，改动前先做好备份，删除前先做好确认。不然就呵呵了o(￣︶￣)o
下面是以postfix服务的/etc/postfix/main.cf配置文件为例，实现文件误删除后的恢复。

root&Centos7: ~#rpm -ql postfix|grep main.cf
#找出此文件来自于那个数据包
root&Centos7: ~#cd /
root&Centos7: /#rpm2cpio /mnt/cdrom/Packages/postfix-2.10.1-6.el7.x86_64.rpm |cpio -itv|grep /etc/postfix/main.cf
-rw-r--r--   1 root     root        27176 Jun 10  2014 ./etc/postfix/main.cf
25016 blocks
root&Centos7: /#rpm2cpio /mnt/cdrom/Packages/postfix-2.10.1-6.el7.x86_64.rpm |cpio -idv  ./etc/postfix/main.cf
./etc/postfix/main.cf
#这一步需要在根目录下进行，将光盘里软件包内的文件恢复出来。
root&Centos7: /#ls /etc/postfix/main.cf
/etc/postfix/main.cf
sxy2475
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
mogura:ssh端口转发工具
03-25
Mogura是通过SSH端口转发通过网络连接到微服务的代理。 当前，仅支持MacOS并具有alpha开发状态。 用例 您正在开发需要连接到其他一些微服务的微服务。 但是，所有其他微服务都无法在本地现实中使用。 然后通过VPN或...
一文彻底搞懂ssh的端口转发
MyySophia的博客
12-10 1万+
SSH 隧道或 SSH 端口转发可以用来在客户端和服务器之间建立一个加密的 SSH 连接如下图，通过它来把本地流量转发到服务器端，或者把服务器端流量转发到本地。比如从本地访问服务器上的 MySQL 管理后台，或者把本地的服务暴露在公网上。比如从公网上访问你家里的的NAS或图书馆.端口转发分为本地端口转发和远程端口转发.
用SSH解决大局域网反向端口转发问题
weixin_45866907的博客
07-27 92
用SSH解决大局域网反向端口转发问题
SSH端口本地转发_ssh 关闭本地转发(2)
最新发布
2401_84563734的博客
05-17 281
人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
SSH 远程端口转发
lyh_ADT的博客
03-31 383
SSH远程端口转发是一个很实用的功能，它能够通过ssh打开两台主机的通道。比如通过一台有公网IP的设备访问只有内网IP的设备。本文主要讲解如何开启SSH远程端口转发，转发失败的可能原因。 SSH远程端口转发，是将访问远程主机的数据，通过远程主机转发到本地主机，返回的也将通过远程主机转发回请求主机 命令 ssh -R [远程地址:]远程端口:本地地址:本地端口 用户名@远程主机 举例 假设 ...
关闭ssh隧道的几种“优雅”方式
weixin_46145842的博客
09-13 5293
当把ssh转入后台运行后，发现很难直接把这个ssh连接找出来，找到大多方法都是把进程强行匹配 kill 掉。最后看了一下国外的大神，找到一个相对优雅一点办法，分享一下
ssh端口转发
识途老码
12-21 2607
ssh端口转发 Autossh建立稳定隧道
SSH端口本地转发_ssh 关闭本地转发，面试加分项
2401_84254406的博客
04-13 218
加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！由于某安全策略等原因三台同网段的机子，其中有两台设备两者不能连通。
CentOS Stream修改SSH端口及删除端口
3301
10-28 1837
CentOS Stream修改SSH端口及删除端口
SSH端口转发,本地端口转发,远程端口转发,动态端口转发详解
01-10
第一部分 SSH端口转发概述 当你在咖啡馆享受免费 WiFi 的时候，有没有想到可能有人正在窃取你的密码及隐私信息？当你发现实验室的防火墙阻止了你的网络应用端口，是不是有苦难言？来看看 SSH 的端口转发功能能给...
基于SSH端口转发
03-04
介绍了基于SSH的端口转发应用场景以及配置
SSH端口转发原理PPT课件
01-31
详细介绍SSH端口转发的概念和原理，具体阐释其过程，举例说明如何通过SSH端口转发实现外网远程控制内网PC
SSH端口转发实现内网穿透的实现
01-10
（ip地址有限）如果 我们在访问外网的时候，这个链接让他保持、不断，那么这个链接就相当于我们建了一条路，内网数据能出去，外网数据能进来，ssh也是这个方法。 使用ssh命令链接公网服务器 1、首先在外网服务器上...
linux ssh端口转发的三种方式
09-14
主要介绍了linux ssh端口转发的三种方式,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
SSH 端口转发.docx
06-08
简单说，SSH是一种网络协议，用于计算机之间的加密登录。如果一个用户从本地计算机，使用SSH协议登录另一台远程计算机，我们就可以认为，这种登录是安全的，即使被中途截获，密码也不会泄露。最早的时候，互联网通信...
SSH端口转发Forwarding及隧道Tunneling
zyplanke的专栏
03-02 4480
SSH一共提供了 3 种端口转发，分别是本地转发（-L参数）、远程转发（-R参数）、动态转发（-D参数）。 还可以实现多层转发。
ssh端口转发禁用
lianzerong的博客
11-24 5147
配置1： vi /etc/ssh/sshd_config 修改内容： AllowTcpForwarding yes GatewayPorts yes 生效： /etc/rc.d/init.d/sshd restart 配置2： vi /etc/sysctl.conf 修改内容： net.ipv4.ip_forward = 1 生效： sudo sysctl -p 或 ...
SSH 端口转发玩转
热门推荐
zhouguoqionghai的博客
08-20 3万+
ssh 端口转发需要配置 /etc/ssh/sshd_config 中tcp转发选项为开启： AllowTcpForwarding yes 默认是开启被注释掉的，可以去掉注释保存之后重启 sshd 服务。service sshd restart （systemctl restart sshd）. 否则，来连接时，会出现 channel 3: open failed: administrat...
ssh 端口转发 命令
04-25
你可以使用如下命令进行 SSH 端口转发： ``` ssh -L [本地端口]:[目标地址]:[目标端口] [中转服务器地址] ``` 其中，`-L` 参数指定进行本地端口转发，`[本地端口]` 指定本机要监听的端口号，`[目标地址]` 指定目标服务器的地址，`[目标端口]` 指定目标服务器要监听的端口号， `[中转服务器地址]` 指定中转服务器的地址。 例如，如果要将本地的 8080 端口映射到远程服务器的 80 端口，可以使用以下命令： ``` ssh -L 8080:localhost:80 user@remote-server ``` 其中，`user` 是登录远程服务器的用户名，`remote-server` 是远程服务器的地址。 这样，在本地访问 `http://localhost:8080` 就等同于访问 `http://remote-server:80`。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值