Pexels Mo Eid 1268975 8347499

「應用」SSH 的特殊用法，突破限制的傳送門 – SSH Tunnel

Pexels Mo Eid 1268975 8347499

突破限制的傳送門

SSH 不只是拿來做遠端登入的工具，透過 SSH Tunnel 能解鎖許多意想不到的應用情境。其中最常見的做法是運用「本地轉發（Local Forwarding）」或「遠端轉發（Remote Forwarding）」來突破網路限制，就好比開啟一扇隱藏的傳送門，把原本無法直連的服務重新串接起來。

SSH Tunnel 的核心原理

運作邏輯十分 straightforward：SSH 連線建立後，透過它所提供的安全通道，將特定埠（port）的流量包裹在 SSH 流量內進行傳遞。簡單來說，就是把目標服務（可能在內網或防火牆後）「包起來」，塞進 SSH 連線再轉送到指定位置。

本地轉發（Local Port Forwarding）

假設要透過外部主機連到內網服務，而內網本身對外並不開放。可以透過以下做法：

Bash
ssh -L 8888:內網服務IP:80 username@中繼主機

只要成功連上中繼主機後，本地的 localhost:8888 就被「綁定」到 內網服務:80。

這個設置相當於在本地端開啟了一個 8888 埠的入口，只要流量進到這個埠，就會自動透過 SSH 再轉送到內網服務的 80 埠。

SSH 能在指定的網路環境下，提供遠端資源的訪問通道；也同時說明在網路層面上沒看見路由或 NAT 規則，並不代表無法連線，SSH Tunnel 的實例——只要有合適的中繼，就能連上原本無法直接存取的服務。

參數基本介紹

有時候還會在指令中看到 -N、-f、-L 等參數，這些用法有助於在特定情境下更靈活地執行本地轉發：

Bash
ssh -N -f -L <local ip>:<local port>:<host ip>:<host port> <user>@<remote server ip>
  • N : 不要另外開啟一個 Shell（只執行轉發，不進行互動式登入）。
  • f : 在背景執行。
  • L : 代表要建立 Local Tunnel。
  • local ip : 選填，通常可以不填，預設就是綁定本機 127.0.0.1。
  • local port : 本機的 port，盡量選大於 5000（避免系統保留埠）。
  • host ip : 要連接的服務 IP 或域名；若是遠端 SSH Server 上的服務，可以用 localhost 或 127.0.0.1。
  • host port : 要連線的目標服務的 port。

遠端轉發（Remote Port Forwarding）

如果有一台機器想要把本地服務「開放」給外部存取，卻沒有對外 IP 或是卡在防火牆內，遠端轉發就能派上用場：

Bash
ssh -R 9999:localhost:3000 username@外部主機

遠端主機會在自身的 9999 埠上傾聽，收到的流量再轉送到本地端的 3000 埠。

透過這種方式，外部就能直接透過「外部主機:9999」連到本地正在開發或運行的服務。

遠端轉發同樣展現了 SSH 的靈活度：沒有看到服務在遠端主機上直接開放，也無法斷言它「不存在」。一旦利用 SSH Tunnel 作為跳板，就能讓原本局限在本地的應用，拓展到外部世界。

動態轉發（Dynamic Port Forwarding）

除了常見的本地與遠端轉發，SSH 也可設定成 SOCKS 代理伺服器（Dynamic Forwarding），提供更多彈性。指令範例如下：

Bash
ssh -D 1080 username@目標主機

建立後，只要在應用程式裡指定 SOCKS 代理為「localhost:1080」，便可將所有流量包裹進 SSH 傳送。

適用情境與注意事項

  1. 打洞/穿透防火牆 用於開發階段測試或臨時存取內網服務，非常便利，例如：『將只開放內網的Web 服務，透過動態轉發到本地端瀏覽器』、『連線內網資料庫』…等。
  2. 安全通訊 一般流量不加密，但包進 SSH 後可享有 SSH 提供的加密保護。
  3. 權限與安全 必須確保能連線的 SSH 帳戶權限適當，並注意是否允許遠端轉發（GatewayPorts 等參數），避免帶來額外風險。

注意：

SSH Tunnel 能解決很多穿透或代理的情境，但並不適合所有環境，例如高流量、大規模服務，或者需要更複雜的負載平衡策略時，應評估更合適的工具或 VPN 方案。若要進行全面擴充，還需要更多事前規劃、網路架構調整以及長期維運的考量。

藉由實例可以發現，SSH Tunnel 在許多領域提供有效的代理與穿透能力，也因此成為眾多工程師的常備技能；但並不代表它能取代所有網路策略。建議使用者多方比較 VPN、Zero Trust 等架構，再透過實際測試來選擇最合適的解決方案。

在需要快速又安全的代理或打洞時，SSH Tunnel 確實是一個值得嘗試的「傳送門」。只要事前準備好帳戶與網路連線條件，就能讓平常被封閉或隱藏的服務重新「被看見」，進一步完成檔案傳輸、遠端除錯等任務，也能更靈活地因應臨時需求或輕量級的測試場景。

標籤

相關文章