ssh代理的简单介绍
ssh的代理和端口转发机制介绍
本文介绍通过ssh建立隧道的三种方式。
ssh的隧道均通过端口转发来实现，包括三种模式：
MobaXterm作为一个良心的终端工具，在其MobaSSHTunnel菜单项可以帮助我们基于图形化的方式建立上述三种隧道，其提供的向导也能帮助我们更有效的理解和记住上面这3个参数。因此本文借用这些向导中的截图来进行说明。
实现功能：把ssh服务器能够访问的ip和端口映射到客户端的指定端口，这样在客户端网络内访问客户端的指定端口就能访问到ssh服务器所在网络中的服务。经常使用的场景是客户端自身通过localhost:指定端口去访问。
参数说明：
实现功能：把ssh客户端能访问到的ip和端口映射到ssh服务器的指定端口，这样在服务器端的网络内访问服务器的指定端口就能访问到ssh客户端算在网络中的服务。
参数说明：
动态端口转发实际上是本地端口转发的升级版，除了建立本地端口转发之外，这种模式还在ssh的通信两端启动了socks5代理服务，并且通过本地端口转发机制把两个socks5代理连接在一起，因此当访问本地的socks5服务时实际上也是在访问远程的socks5服务。这样当指定客户端作为socks5代理之后，实际上相当于把客户端放入服务器端所在网络中，能够访问网络中的任意一个服务，而无需为每个服务（ip:端口）都配一次本地端口转发规则。
参数说明：
使用ssh config作为ssh代理轻松管理内网服务器
企业内部大部分服务器都只有内网，一般可以使用NAT方式正向代理访问公网资源。对于Linux来说一般通过ssh登录服务器，在没有公网IP的情况下可以修改ssh config配置文件，利用一台可以接入内网并具有公网IP的服务器作为代理或者称为Tunnel跳板机来管理，可以灵活定制访问规则并优化ssh参数让管理更加轻松。
2019年01月31日 - 初稿
阅读原文 -
扩展阅读
SSH CONFIG FILE -
ssh程序可以从三个途径获取配置参数：
上面三个途径，前面的途径传入的参数可以覆盖后面的途径传入的参数（与 linux 里的大部分应用类似）。因为/etc/ssh/ssh_config 会影响 ssh 全局的配置，因此如果想对多主机进行管理（不影响别人的情况下），可以考虑修改自己家目录下的~/.ssh/config 文件（~ 字符表示当前登录用户的家目录）。
首先看一个配置文件的 demo，假设8.8.8.8是你可以直接登录的Tunnel公网跳板机，10.65.32.0是需要管理的内网地址段，前提是8.8.8.8和内网服务器的防火墙策略均已配置正确，这里就不再赘述。
CheckHostIP no，禁用known_hosts检查
Directs ssh to additionally check the host IP address in the known_hosts file.
StrictHostKeyChecking no，跳过known_hosts写入
Specifies if ssh should never automatically add host keys to the ~/.ssh/known_hosts file, and refuses to connect to hosts whose host key has changed.
Host 字段
Host 字段配置了登录别名，这里需要注意的是，Host 是支持通配符的， * 代表 0～n 个非空白字符，? 代表一个非空白字符，! 表示例外通配
HostName 字段
指定远程主机名，可以直接使用 IP 地址。如果这个字段中包含 ‘%h’ ，则实际使用时会被命令行中的主机名替换
User 字段
指定登录用户名
IdentityFile 字段
指定密钥认证使用的私钥文件路径。默认为 ~/.ssh/id_rsa。这个字段可以指定多个密钥文件（以 , 分开），在连接的过程中会依次尝试这些密钥文件。和 HostName 字段一样，值也可以直接指定参数代替：
Port 字段
指定远程主机端口号，默认为 22 。
%h，远程主机名
%p，远程端口
SSH使用密钥登录并禁止口令登录实践 -
玩转 SSH 端口转发 -
SSH 通过代理连接服务器
老规矩，先说结论：
或者：
注意：由于 macOS 版 Ncat 的 7.90 和 7.91 版本的 bug，上述方式不再生效。起码 7.91 版本在 macOS 10.15.7 上是不行的。此问题在 7.92 版本中已经解决。
具体原因参见：
但 Linux 上没问题。所以增加个 socat 的替补方案：
Scout 本身很强大，但对代理的支持这部分貌似差一些，只支持 SOCKSv4 和 HTTP Proxy，不支持 SOCKS5。详情参考 《socat 初窥门径》 。
有些时候，由于网络限制等原因，不能直接连通过 SSH 连到指定服务器，需要经过代理进行连接。例如如下场景：
其中，
client.net 不能直接访问 server.net
client.net 可以访问 proxy.net
proxy.net 可以访问 server.net
使用 SSH 的 ProxyCommand 选项，配合 nc/Ncat 命令，实现 client.net 通过代理 proxy.net ，以 SSH 访问 server.net 。
（1） nc
macOS 上常用这种方案。但是 nc 不支持需要认证的代理。
常用参数：
（2） Ncat
Ncat 在 macOS 上通过代理连接时会出现连接断开的情况。
常用参数：
以 nc 为例，如使用 Ncat 可以自行替换。
默认为 Socket5 代理，这时可以省略 -X 参数
或者采用另一种写法：
SSH 配置文件位置：
增加如下两行内容：以 nc 为例，如使用 Ncat 可以自行替换。
使用配置文件之后，就不需要在命令行中进行代理配置了。
对于大部分情况，都可以直接使用 nc 或者 Ncat 解决。但对于一些复杂情况，也可以通过其它方案完成。如在 macOS 上想通过需要认证的代理连接，用 nc 不支持代理认证， Ncat 又有些问题。
对于代理类型的问题，可以通过 Brook 来进行类型转换。
1、 corkscrew
只支持 HTTP 代理
如需要访问带认证的代理服务器：
~/.ssh/myauth 的内容：
2、 proxytunnel
只支持 HTTP 代理
命令行里只填用户名，会提示输入密码，或者通过环境变量传入。
（完）
从外网 SSH 进局域网，反向代理+正向代理解决方案
简单说一下ssh使用，如果还有什么不懂得可以Q我：281286620
相信很多同学都会碰到这样一个问题。在实验室有一台机器用于日常工作，当我回家了或者回宿舍之后因为没法进入内网，所以访问不到了。如果这个时候我需要 SSH 进去做一下工作，那么怎么解决这个问题呢？本文将给出一种使用 SSH 的代理功能的解决方案。
机器状况
从 C 机器使用 SSH 访问 A
在 A 机器上做到 B 机器的反向代理；在 B 机器上做正向代理本地端口转发
每台机器上都需要 SSH 客户端
A、B 两台机器上需要 SSH 服务器端。通常是 openssh-server。
在 Ubuntu 上安装过程为
建立 A 机器到 B 机器的反向代理【A 机器上操作】
port_b1为 B 机器上端口，用来与 A 机器上的22端口绑定。
建立 B 机器上的正向代理，用作本地转发。做这一步是因为绑定后的 端口只支持本地访问【B 机器上操作】
?port_b2为本地转发端口，用以和外网通信，并将数据转发到port_b1?，实现可以从其他机器访问。
其中的*表示接受来自任意机器的访问。
现在在 C 机器上可以通过 B 机器 ssh 到 A 机器
至此方案完成。
SSH 参数解释
ubuntu16.04利用ssh反向代理及autossh实现内网穿透
内网机器：A
公网机器：B
1、内网机器（A）安装autossh
配置免密登录
启动端口(A)
参数解释：
注意：autossh只有三个命令，其他命令都是通过调用ssh提供的，autossh在这里只是起到了监听ssh是否断开并将其自动拉起的作用。执行完这条命令，将会在外网机器(B)123.123.123.123上启动并监听8888端口，如下（外网机器查看)
可知，该端口是默认绑定在lo地址上的，所以在外网机器上反向登陆服务器时，可用localhost或者127.0.0.1，但是不能使用真实网卡的地址去连接。
2、外网机器连接内网服务器
3、添加到系统服务，方便管理
cd /etc/systemd/system/ vim autossh.service
启停autossh