SSH 使用说明

本地端口转发：

在本地启动端口，把本地端口数据转发到远程服务器，使得远程端口本地可以访问（如用于代理）:

ssh -L [<LocalAddress>]:<LocalPort>:<RemoteHost>:<RemotePort> remoteUser@remoteServer

netstat -an | grep 3306 | grep LISTEN

示例：通过本地端口 5000 远程访问 MySQL 服务器:

ssh -L 5000:localhost:3306 sqlUser@MySQLServer
## 或者
ssh -L 127.0.0.1:5000:localhost:3306 sqlUser@MySQLServer
mysql --host=127.0.0.1 --port=5000

远程端口转发：

让远端服务器启动端口，把远端端口数据转发到本地，使得本地端口远程可以访问（如用于内网穿透）:

ssh -R [<RemoteAddress>]:<RemotePort>:<LocalHost>:<LocalPort> remoteUser@remoteServer

$ vim /etc/ssh/sshd_config
GatewayPorts yes

netstat -an | grep 80 | grep LISTEN

示例：通过远程服务器（公网地址：109.239.48.64）的端口 5000 访问本地的网站:

ssh -R 5000:localhost:80 remoteUser@remoteServer
## 或者
ssh -R 109.239.48.64:5000:localhost:80 remoteUser@remoteServer
## 通过浏览器访问以下地址即可访问本地的网站内容
http://109.239.48.64:5000

使用1024以下端口需要 root 权限

所有系统用户都可以分配1024以上的端口号，但是1024（不含）需要 root 权限， 本地转发时，如果要分配1024以下的本地端口，你需要使用 root 用户或 sudo 执行:

sudo ssh -L 50:localhost:3306 remoteUser@remoteServer

远程转发时，如果要分配1024以下的远程端口，你必须使用 root 用户进行 SSH 连接:

ssh -R 50:localhost:80 root@remoteServer

添加用户与主机

$ vim ~/.ssh/config
Host cli
    HostName        remoteServer
    User            remoteUser

以上为用户与主机创建了一个别名 cli，可以将命令简化为:

ssh -f -T -N -L 5000:localhost:3306 cli -p 1022 -i ~/.ssh/id_rsa-remoteuser@remoteserver

添加端口和证书文件

$ vim ~/.ssh/config
Host cli
    HostName        remoteServer
    User            remoteUser
    Port            1022
    IdentityFile    ~/.ssh/id_rsa-remoteuser@remoteserver

现在可以将命令简化为:

ssh -f -T -N -L 5000:localhost:3306 cli

添加隧道配置

$ vim ~/.ssh/config
Host cli-mysql-tunnel
    HostName        remoteServer
    User            remoteUser
    Port            1022
    IdentityFile    ~/.ssh/id_rsa-remoteuser@remoteserver
    LocalForward    5000 localhost:3306

现在可以将命令简化为:

ssh -f -T -N cli-mysql-tunnel

对照 autossh by config

安装 autossh

sudo apt install autossh

用法

autossh [-V] [-M monitor_port[:echo_port]] [-f] [SSH_OPTIONS]

## 如以上通过本地5000端口转发 MySQL
ssh -L 5000:localhost:3306 sqlUser@MySQLServer
## 使用 autossh 命令
autossh -L 5000:localhost:3306 sqlUser@MySQLServer

注意：

1. 使用 autossh 前，请使用 ssh 先进行操作并确保无误；

2. autossh 的 -f 选项不会传递至 ssh，因此必须使用公私钥匙进行认证，不支持基于密码或私钥密码认证。

3. 生成用户的 ssh 密钥，记得私钥不能启用私钥密码:

   ssh-keygen                                  # 生成 ssh 使用的密钥
   ssh-copy-id remoteUser@remoteServer         # 将公钥安装到远程服务器
   

autossh 的 -M 选项

Setting the monitor port to 0 turns the monitoring function off, and autossh will only restart ssh upon ssh's exit. For example, if you are using a recent version of OpenSSH, you may wish to explore using the ServerAliveInterval and ServerAliveCountMax options to have the SSH client exit if it finds itself no longer connected to the server. In many ways this may be a better solution than the monitoring port.

以上内容来自 man autossh。

因此推荐方式是:

autossh -M 0 -o "ServerAliveInterval 30" -o "ServerAliveCountMax 3"

autossh 与 ~/.ssh/config

autossh 也支持 ~/.ssh/config，因此可以继续使用配置文件进行有关的设置， 继续以上面的配置文件为例，加入 ServerAliveInterval 和 ServerAliveCountMax 二个选项:

$ vim ~/.ssh/config
Host cli-mysql-tunnel
    HostName        remoteServer
    User            remoteUser
    Port            1022
    IdentityFile    ~/.ssh/id_rsa-remoteuser@remoteserver
    LocalForward    5000 localhost:3306
    ServerAliveInterval     30
    ServerAliveCountMax     3

现在我们可以使用以下命令确保断线重连了:

autossh -M 0 -f -T -N cli-mysql-tunnel

对照 ssh by config , 注意 -f 不会传递给 ssh。

autossh 环境变量

autossh 也可以通过一些环境变量进行控制，其中比较重要的一个变量是 AUTOSSH_GATETIME:

AUTOSSH_GATETIME

Specifies how long ssh must be up before we consider it a successful connection. The default is 30 seconds. Note that if AUTOSSH_GATETIME is set to 0, then not only is the gatetime behaviour turned off, but autossh also ignores the first run failure of ssh. This may be useful when running autossh at boot.

其它变量说明请自行参阅 man

autossh systemd service

可以通过 systemd 在启动时自动建立转发隧道，不过需要注意的是： autossh -f 在 systemd 环境下不受支持。

• 客户端

  1. 客户端的 systemd 配置:

     # apt install autossh
     
     # vi /etc/systemd/system/autossh-reverse-tunnel.service
     [Unit]
     Description=AutoSSH reverse tunnel service
     After=network.target
     
     [Service]
     Restart=always
     RuntimeMaxSec=86400
     Environment="AUTOSSH_GATETIME=0"
     ExecStart=/usr/bin/autossh -M 0 -o "ServerAliveInterval 30" -o "ServerAliveCountMax 3" -NR 2221:localhost:22 sshtunnel@remoteserver -p 222
     
     [Install]
     WantedBy=multi-user.target
     

  2. 启用客户端:

     # systemctl daemon-reload
     
     # systemctl start autossh-reverse-tunnel.service
     
     # systemctl enable autossh-reverse-tunnel.service
     

• 服务端

  1. SSH 服务配置:

     # vi /etc/ssh/sshd222_config
     
     Port 222
     PermitRootLogin no
     PasswordAuthentication no
     PermitEmptyPasswords no
     ChallengeResponseAuthentication no
     PrintMotd no
     Banner none
     PidFile /var/run/sshd222.pid
     

  2. 创建用户:

     # useradd -d /home/sshtunnel -s /bin/false -m sshtunnel
     

  3. SSH 密钥仅限于隧道:

     # mkdir /home/sshtunnel/.ssh
     
     # vi /home/sshtunnel/.ssh/authorized_keys
     
     no-pty,no-X11-forwarding,permitopen="localhost:2221",command="/bin/echo do-not-send-commands" ssh-rsa VeryLongsShkeyBlaBlaBlaBla root@hostname
     

  4. systemd 配置文件:

     # vi /etc/systemd/system/ssh222.service
     
     [Unit]
     Description=OpenBSD Secure Shell server
     Documentation=man:sshd(8) man:sshd_config(5)
     After=network.target auditd.service
     ConditionPathExists=!/etc/ssh/sshd_not_to_be_run
     
     [Service]
     EnvironmentFile=-/etc/default/ssh
     ExecStartPre=/usr/sbin/sshd -t -f /etc/ssh/sshd222_config
     ExecStart=/usr/sbin/sshd -D $SSHD_OPTS -f /etc/ssh/sshd222_config
     ExecReload=/usr/sbin/sshd -t -f /etc/ssh/sshd222_config
     ExecReload=/bin/kill -HUP $MAINPID
     KillMode=process
     Restart=on-failure
     RestartPreventExitStatus=255
     Type=notify
     RuntimeDirectory=sshd
     RuntimeDirectoryMode=0755
     
     [Install]
     WantedBy=multi-user.target
     Alias=sshd.service
     

  5. 服务端启用:

     # systemctl daemon-reload
     
     # systemctl start ssh222.service
     
     # systemctl enable ssh222.service