SSH 隧道或称SSH端口转发是一种在客户端和服务器机器之间创建加密 SSH 连接的方法，通过该连接可以中继服务端口。
SSH 转发对于传输使用未加密协议（如 VNC 或 FTP）的服务的网络数据、访问受地理限制的内容或绕过中间防火墙非常有用。 基本上，您可以通过安全的 SSH 连接转发任何 TCP 端口并通过隧道传输流量。
SSH 端口转发有三种类型：
- 本地端口转发 - 流量从SSH客户端主机转发到 SSH 服务器主机，然后转发到目标机器端口。本地端口转发主要用于连接到内部网络上的远程服务，例如数据库或VNC服务器。
- 远程端口转发 - 流量从SSH服务器主机转发到SSH客户端主机，然后转发到目标机器端口。远程端口转发主要用于向外部人员提供对内服务的访问权限。
- 动态端口转发 - 创建一个允许跨多端口的SOCKS代理服务器。动态端口转发可用于代理上网的需求中。
本篇文章将介绍如何使用SSH工具搭建本地、远程、动态SSH隧道。
01 本地端口转发
本地（ssh客户端）端口转发允许流量从本地机器上的端口转发到远程（ssh服务端）机器上的端口，然后转发到目标机器上的端口。
在这种转发类型中，ssh客户端监听指定的端口并将请求的流量通过隧道转发到远程ssh服务器指定的端口，然后转发到目标机器的端口。目的机器可以是远程ssh服务器或者是其他机器。
本地端口转发主要用于连接到内部网络上的远程服务，例如数据库或VNC服务器。
在Linux、macOS和其他Unix系统中，使用ssh客户端的 -L 选项来建立本地端口转发命令如下：
$ ssh -L [LOCAL_IP]:LOCAL_PORT:DESTINATION:DESTINATION_PORT [USER@]SSH_SERVER- [LOCAL_IP]LOCAL_PORT - 本机IP地址和端口号。当LOCAL_IP被省略，ssh客户端会绑定在localhost。
- DESTINATION:DESTINATION_PORT - 目的机器的IP或主机名和端口。
- [USER@]@SERVER_IP - 远程SSH用户和服务器IP地址。
你可以使用大于1024的任意端口作为LOCAL_PORT。小于1024的端口号需要root权限启用。如果SSH服务器端口不是22号，则使用 -p 选项来指定。
目标主机名必须对 SSH 服务器解析。
02 远程端口转发
远程端口转发和本地端口转发相反。它允许流量从远程（ssh服务器）机器的端口转发到本地（ssh客户端）机器的端口，然后转发到目标机器上的端口。
在这种转发类型中，ssh服务器监听一个指定端口并将请求流量通过隧道转发到本地ssh客户端的指定端口上，然后转发到目的机器的端口上。目的机器可以是客户端本身或者其他机器。
在Linux、macOS和其他Unix系统中，使用ssh客户端的 -R 选项来建立远程端口转发命令如下：
$ ssh -R [REMOTE:]REMOTE_PORT:DESTINATION:DESTINATION_PORT [USER@]SSH_SERVER- [REMOTE:]REMOTE_PORT - 远程ssh服务器的IP和端口号。如果REMOTE留空意味着绑定ssh服务器的所有网络接口。
- DESTINATION:DESTINATION_PORT - 目的机器的IP或主机名和端口。
- [USER@]SERVER_IP - 远程ssh服务器用户和IP地址。
远程端口转发主要用于向外部人员提供对内服务的访问权限。
03 动态端口转发
动态端口转发允许你在本地（ssh客户端）机器扮演一个socks代理客户端。当客户端连接到该端口，流量会被转发到远程（ssh服务器）机器上，然后转发到目标机器的动态端口上。
这种方法中，所有使用socks代理的客户端程序将连接到ssh服务器，然后服务器将流量转发到真实的目的机器上。
在Linux、macOS和其他Unix系统中，使用ssh客户端的 -D 选项来建立动态端口转发命令如下：
$ ssh -D [LOCAL_IP:]LOCAL_PORT [USER@]SSH_SERVER- [LOCAL_IP:]LOCAL_PORT - 本地机器IP地址和端口号。当LOCAL_IP被省略，ssh客户端绑定在localhost上。
- [USER@]SERVER_IP - 远程ssh用户和服务器IP地址。
动态端口转发可用于代理上网的需求中。
04 Windows下使用putty配置本地端口转发并验证
测试使用VPS代理本地流量去访问httpbin，并验证成功代理，出口IP为vps的地址。
1、本地端口转发模式下需要配置远程ssh服务器的AllowTcpForwarding选项为开启状态：
2、不配置的代理访问http://httpbin.org/ip，可以看到我的出口IP是111.*.*.252：
3、打开putyy，在session中配置VPS地址：
4、在Connection → SSH → Tunnels配置本地端口和目的机器端口，其中IP 52.87.105.151是httpbin解析的地址，点击Add按钮：
5、点击Open按钮，输入VPS用户名密码：
6、访问本地9090端口，验证代理完成，出口IP为VPS地址：
05 Windows下使用putty配置远程端口转发并验证
1、远程端口转发模式下需要配置远程ssh服务器的GatewayPort选项为开启状态：
2、开启本地机器上的web服务（这里使用phpstudy搭建一个测试页面）：
3、启动putty，在session选项中输入远程ssh服务器地址和端口：
4、在Connection → SSH → Tunnels选项中配置远程ssh服务器开启的端口和本地监听的端口，并选择Remote模式，点击Add按钮：
5、点击Open按钮，输入远程ssh服务器的用户名密码就好了：
06 Windows下使用putty配置动态端口转发并验证
1、启动putty，在session选项中输入远程ssh服务器地址和端口：
2、在Connection → SSH → Tunnels选项中配置远程ssh服务器开启的端口，并选择Dynamic模式，点击Add按钮：
3、点击Open按钮，输入ssh服务器用户名密码，配置浏览器代理：
4、使用httpbin网站代理搭建情况，出口IP为VPS地址，则搭建生效：
