LinuxSSH反向隧道设置教程

本文深入解析了Linux中SSH反向隧道（ssh -R）配置失败的常见痛点与根本原因，指出问题往往不在于命令书写错误，而在于服务端GatewayPorts默认限制、localhost语义误解、网络边界策略（如防火墙、云安全组、SELinux）未对齐等深层配置陷阱；文章系统梳理了从启用远程访问权限、正确理解地址绑定含义、到使用autossh实现稳定保活、再到逐层排查connection refused的完整排障路径，直击内网穿透实践中“能建不能用、能用不能久、能久不能通”的真实困境。

能用 ssh -R 建起来，但连不上、连着连着就断、或者连上了却只能本机访问——这些问题不是配置写错了，而是默认行为和网络边界没对齐。

为什么 ssh -R 2222:localhost:22 user@server 连不上？

最常见原因是服务器 SSH 守护进程默认只监听 127.0.0.1 上的反向端口，外部 IP 无法访问。这不是客户端命令的问题，是服务端限制。

• 检查服务器 /etc/ssh/sshd_config 是否包含 GatewayPorts no（默认值）
• 改成 GatewayPorts clientspecified 或 GatewayPorts yes
• 改完必须重启服务：sudo systemctl restart sshd
• 如果服务器开了防火墙（如 ufw），还要放行对应端口：sudo ufw allow 2222

-R 参数里 localhost 和 127.0.0.1 的区别

在反向隧道中，localhost 不是指服务器本机，而是指“发起隧道的那台内网机器”。所以 2222:localhost:22 的意思是：把服务器上收到的 2222 端口请求，转发回内网机的 22 端口。

• 不要写成 2222:127.0.0.1:22 ——这会让 SSH 尝试在服务器本地找 22 端口，而不是回连内网机
• 如果内网机不是监听 127.0.0.1:22（比如绑定了 0.0.0.0:22），不影响；SSH 反向隧道只认你写的 host 字段语义
• 想让多个客户端都能连这个隧道端口，必须配合 GatewayPorts clientspecified + 绑定到 *:2222，即用 -R *:2222:localhost:22

连接断开后自动重连怎么做？

原生命令不保活，ssh 断了隧道就没了。别靠 while 循环套 ssh，用 autossh 更稳。

• 安装：sudo apt install autossh（Debian/Ubuntu）或 sudo yum install autossh（CentOS/RHEL）
• 启动命令示例：autossh -M 0 -N -f -R *:2222:localhost:22 user@server
• -M 0 表示禁用内置监控端口（避免端口冲突），依赖 SSH 自身的 ServerAliveInterval 保活
• 务必配好免密登录，否则 autossh 会卡在密码提示上
• 验证是否运行：ps aux | grep autossh，再看服务器上 netstat -tlnp | grep :2222

为什么连通后 ssh -p 2222 user@server 提示 connection refused？

不是隧道没建好，而是目标内网机的 SSH 服务没开、没监听、或被本地防火墙拦了。

• 先在内网机上确认：ss -tlnp | grep :22，看是否有 0.0.0.0:22 或 [::]:22
• 检查内网机防火墙：sudo ufw status，若为 active，需允许 22：sudo ufw allow OpenSSH
• 如果内网机是云主机（如阿里云、腾讯云），安全组也得放开 22 端口——注意：这是内网机自己的安全组，不是服务器的
• 别忽略 SELinux（RHEL/CentOS）：sudo setsebool -P ssh_sysadm_login on 可能影响

真正麻烦的从来不是敲哪条命令，而是每层网络设备（内网机防火墙、云安全组、服务器 SSH 配置、服务器系统防火墙）都得对齐绑定地址和端口策略。少一个 GatewayPorts，整条链就卡在最后一公里。

今天关于《LinuxSSH反向隧道设置教程》的内容就介绍到这里了，是不是学起来一目了然！想要了解更多关于的内容请关注golang学习网公众号！