1. 引言

作為一名開發者，我們生活中常遇到公司做不完的工作需要在家接著做，但是，公司的伺服器有統一管理，多為內網ip，在家不能直接訪問到公司伺服器，如果解決這個問題呢？本文就以下兩種情景給出SSH內網穿透的解決方案。

2. 情景一：內網有一臺主機有公網ip

內網有一臺主機同時具備公網ip和內網ip（兩個網絡卡），這種場景比較簡單，直接進行NAT即可。

• 在linux下可以通過iptables實現

#本機（192.168.1.7,同時具有外網ip）的19200轉發到192.168.1.160的22

iptables -t nat -A PREROUTING -p tcp -m tcp --dport 19200
 
 -j DNAT --to-destination 192.168.1.160:22
iptables -t nat -A POSTROUTING -d 192.168.1.160/32 -p tcp -m tcp --sport 22 -j SNAT --to-source 192.168.1.7
iptables -t filter -A INPUT -p tcp -m state --state NEW -m tcp --dport 19200 -j ACCEPT

3. 情景二：內網無公網ip，但是可訪問外網

你在家裡執行著一臺 Linux 伺服器，它放在一個 NAT 路由器或者限制性防火牆後面。現在你想在外出時用 SSH 登入到這臺伺服器。你如何才能做到呢？SSH 埠轉發當然是一種選擇。但是，如果你需要處理多級巢狀的 NAT 環境，埠轉發可能會變得非常棘手。另外，在多種 ISP 特定條件下可能會受到干擾，例如阻塞轉發埠的限制性 ISP 防火牆、或者在使用者間共享 IPv4 地址的運營商級 NAT。

這時候，我們需要用到反向隧道，反向 SSH 隧道的概念非常簡單。使用這種方案，在你的受限的家庭網路之外你需要另一臺主機（所謂的“中繼主機”），你能從當前所在地通過 SSH 登入到它。你可以用有公網 IP 地址的 VPS 例項 配置一箇中繼主機。然後要做的就是從你的家庭網路伺服器中建立一個到公網中繼主機的永久 SSH 隧道。有了這個隧道，你就可以從中繼主機中連線“回”家庭伺服器（這就是為什麼稱之為 “反向” 隧道）。不管你在哪裡、你的家庭網路中的 NAT 或 防火牆限制多麼嚴格，只要你可以訪問中繼主機，你就可以連線到家庭伺服器。

3.1 環境說明

• 一臺內網機器，後面簡稱N，ubuntu系統，ssh埠為2222，使用者名稱為userN，ip為10.10.12.1
• 一臺公網伺服器，後面簡稱W，ubuntu系統，ssh埠為61397，使用者名稱為userW，ip為123.56.21.222
• 測試主機

3.2 配置N到W的免密登入

#N上 ：使用ssh-keygen生成一對rsa公私鑰，生成的金鑰對會存放在~/.ssh目錄下。
ssh-keygen -t rsa
#W上 ：相應使用者目錄下建立~/.ssh目錄
mkdir -p .ssh
#N上 ：將N的公鑰拷貝給W，輸入密碼即可
cat .ssh/id_rsa.pub | ssh [email protected]123.56.21.222 'cat >> .ssh/authorized_keys' 

3.3 在W上準備兩個空閒埠

如果你的伺服器是雲伺服器，一般會有安全組過濾，你需要開啟兩個空閒埠的允許規則。本文開啟5678和54345埠。

3.4 在N上配置反向隧道

• 安裝autossh

sudo apt-get install autossh

• 配置ssh反向隧道

autossh -M 5678 -fN -o "PubkeyAuthentication=yes" -o "StrictHostKeyChecking=false" -o "PasswordAuthentication=no" -o "ServerAliveInterval 60" -o "ServerAliveCountMax 3" -R 123.56.21.222:54345:localhost:2222 [email protected]123.56.21.222 -p61397

# “-M 5678” 選項指定中繼伺服器上的監視埠，用於交換監視 SSH 會話的測試資料。中繼伺服器上的其它程式不能使用這個埠。
# “-fN” 選項傳遞給 ssh 命令，讓 SSH 隧道在後臺執行。
# “-o XXXX” 選項讓 ssh：
#        * 使用金鑰驗證，而不是密碼驗證。
#        * 自動接受（未知）SSH 主機金鑰。
#        * 每 60 秒交換 keep-alive 訊息。
#        * 沒有收到任何響應時最多傳送 3 條 keep-alive 訊息。       
# 如果你想系統啟動時自動執行 SSH 隧道，你可以將上面的 autossh 命令新增到 /etc/rc.local。

3.5 測試

在測試機上

ssh userN@123.56.21.222 -p 54345 #登入內網機器N