使用 AutoSSH 打造坚如磐石的内网穿透隧道 在远程运维和开发场景中，我们经常面临一个痛点：家里的电脑或公司的内网服务器没有公网 IP，想要从外部随时访问该怎么办？传统的 DDNS + 端口映射不仅配置繁琐，还会将内网端口直接暴露在公网，极易招致恶意扫描和攻击。最安全、最优雅的方案，莫过于利用一台公网 VPS 作为跳板机，通过 SSH 反向隧道实现“隐形”的内网穿透。但普通的 SSH 隧道有一个致命弱点：一旦遇到网络波动，连接就会“假死”，进程还在但数据不通。今天，我们就来聊聊如何使用 autossh 打造一个“打不死”的 SSH 隧道，实现稳定、安全的内网穿透。架构拓扑：打造安全的“隐形通道”我们的整体架构非常清晰：[外部设备] --(SSH加密连接)--> [公网跳板机] --(本地回环转发)--> [内网目标主机]这种架构有两个核心优势：隐蔽性：公网跳板机对外只开放常规的 SSH 端口，不暴露任何额外的业务端口。安全性：内网目标主机的服务只监听本地回环地址（127.0.0.1），对局域网内的其他设备完全不可见，所有流量都必须经过加密的 SSH 隧道。第一步：环境准备与密钥生成假设我们已经拥有一台公网跳板机（IP为 <公网跳板机IP>，SSH端口为 <跳板机SSH端口>），以及一台位于内网的目标主机（用户名为 <内网主机用户名>）。首先，我们需要在内网目标主机上安装必要的软件，并生成一把专门用于建立隧道的 SSH 密钥（不要与日常登录的密钥混用）：# 更新软件源并安装 openssh-server 和 autossh sudo apt update sudo apt install openssh-server autossh # 生成专用的隧道密钥（一路回车，不设置密码） ssh-keygen -t ed25519 -f ~/.ssh/id_tunnel -N "" -C "autossh-tunnel"接下来，将这把密钥的公钥上传到公网跳板机：ssh-copy-id -i ~/.ssh/id_tunnel.pub -p <跳板机SSH端口> <跳板机用户名>@<公网跳板机IP>第二步：配置 Systemd 守护进程为了让隧道在系统开机时自动启动，并在意外断开时自动重连，我们使用 systemd 来托管 autossh。在内网目标主机上创建服务配置文件：sudo nano /etc/systemd/system/autossh-tunnel.service将以下内容写入文件中（注意替换对应的参数）：[Unit] Description=AutoSSH Reverse Tunnel After=network-online.target ssh.service Wants=network-online.target [Service] User=<内网主机用户名> Type=simple # 核心参数解析： # -M 0: 禁用 autossh 自身的监控端口，改用 SSH 原生的心跳保活机制 # -N: 不执行远程命令，仅建立隧道 # -R 127.0.0.1:<跳板机映射端口>:localhost:22: # 将跳板机的指定端口绑定在 127.0.0.1，确保公网无法直接扫描 Environment="AUTOSSH_GATETIME=0" ExecStart=/usr/bin/autossh -M 0 -N \ -o "ServerAliveInterval=30" \ -o "ServerAliveCountMax=3" \ -o "ExitOnForwardFailure=yes" \ -o "StrictHostKeyChecking=no" \ -p <跳板机SSH端口> \ -i /home/<内网主机用户名>/.ssh/id_tunnel \ <跳板机用户名>@<公网跳板机IP> # 崩溃或断开后自动重启 Restart=always RestartSec=10 [Install] WantedBy=multi-user.target第三步：启动服务与验证配置完成后，启动服务并设置开机自启：sudo systemctl enable --now autossh-tunnel.service查看服务状态，确认是否正常运行：systemctl status autossh-tunnel.service如果看到 Active: active (running) 且没有 Permission denied 等报错，说明隧道已经成功建立。此时，隧道已经将内网目标主机的 22 端口，安全地投射到了公网跳板机的 <跳板机映射端口> 上。第四步：如何从外部连接？现在，无论你身处何地（公司、咖啡厅或旅途中），只要先通过 SSH 登录到公网跳板机，就可以轻松跳转到内网主机：# 1. 先登录跳板机 ssh -p <跳板机SSH端口> <跳板机用户名>@<公网跳板机IP> # 2. 在跳板机内，通过本地回环地址跳转到内网主机 ssh -p <跳板机映射端口> <内网主机用户名>@127.0.0.1总结通过 autossh + systemd + 反向隧道的组合，我们不仅实现了无公网 IP 环境下的远程访问，还保证了连接的极高稳定性与安全性。这套方案配置一次，即可长期稳定运行，是家庭实验室和远程运维的绝佳选择。

SSH 公钥认证登录 1. 什么是 SSH 公钥认证？SSH（Secure Shell）是一种用于安全远程登录的协议，而公钥认证是一种基于非对称加密的身份验证方式，相比密码认证更加安全可靠。公钥认证的核心思想是：服务器保存用户的 公钥（public key）用户使用 私钥（private key） 进行身份验证服务器验证私钥是否匹配公钥，从而决定是否允许登录2. SSH 密钥对的生成在客户端（例如 Linux/Mac 终端或 Windows 的 Git Bash）执行以下命令生成 SSH 密钥对：ssh-keygen -t rsa -b 4096 -C "your_email@example.com"参数解析：-t rsa：指定密钥类型为 RSA（推荐使用 ed25519 代替 rsa）。-b 4096：指定 RSA 密钥长度为 4096 位（默认 2048 位）。-C "your_email@example.com"：为密钥添加注释，便于管理。执行后输出示例：Generating public/private rsa key pair. Enter file in which to save the key (/home/user/.ssh/id_rsa):默认情况下，密钥会存放在 ~/.ssh/ 目录下：私钥：~/.ssh/id_rsa（需妥善保管，切勿泄露）公钥：~/.ssh/id_rsa.pub（可安全分发给服务器）3. 配置服务器以支持公钥认证3.1 将公钥添加到服务器使用以下命令将公钥复制到服务器：ssh-copy-id -i ~/.ssh/id_rsa.pub user@server_ip如果 ssh-copy-id 不可用，可以手动执行：cat ~/.ssh/id_rsa.pub | ssh user@server_ip "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"3.2 修改 SSH 配置文件确保服务器的 SSH 配置允许公钥认证，编辑 /etc/ssh/sshd_config 文件：sudo nano /etc/ssh/sshd_config找到并修改以下参数（如果没有，请手动添加）：PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys PasswordAuthentication no # 关闭密码登录，增强安全性保存并退出后，重启 SSH 服务：sudo systemctl restart sshd # CentOS / Ubuntu sudo service ssh restart # Debian / older systems4. 使用 SSH 密钥进行登录配置完成后，即可使用 SSH 密钥登录服务器：ssh -i ~/.ssh/id_rsa user@server_ip如果你已经将私钥默认保存在 ~/.ssh/ 目录，并命名为 id_rsa，则可以直接使用：ssh user@server_ip5. 使用 SSH 登录别名为了方便管理多个 SSH 服务器，可以在 ~/.ssh/config 文件中定义别名。5.1 编辑 SSH 配置文件nano ~/.ssh/config5.2 添加以下内容Host demo HostName server_ip User demo IdentityFile ~/.ssh/id_rsa Port 22 # 可选，若更改 SSH 端口需指定5.3 直接使用别名登录ssh demo6. 其他增强安全性措施6.1 禁用 root 直接 SSH 登录修改 /etc/ssh/sshd_config 文件，找到以下行：PermitRootLogin no然后重启 SSH 服务。6.2 使用 Fail2Ban 进行 SSH 防爆破安装 Fail2Ban 防止暴力破解：sudo apt install fail2ban # Ubuntu/Debian sudo yum install fail2ban # CentOS启动并启用 Fail2Ban：sudo systemctl enable fail2ban sudo systemctl start fail2ban6.3 修改默认 SSH 端口在 /etc/ssh/sshd_config 文件中修改 Port 参数：Port 2222 # 更换默认 22 端口然后重启 SSH 服务：sudo systemctl restart sshd

使用 SSH 端口转发实现内网穿透 SSH 端口转发是一种高效、安全的方式，可以将本地服务暴露到远程服务器，或者将远程服务映射到本地。SSH 端口转发的类型本地端口转发 (-L) 将远程服务器上的服务映射到本地端口，用于访问远程服务。ssh -L [本地地址:本地端口]:[远程地址:远程端口] user@your-server示例：ssh -L 8080:localhost:80 user@your-server本地 8080 端口映射到远程服务器的 80 端口。本地访问 http://localhost:8080，即访问远程服务器的 http://localhost:80。远程端口转发 (-R) 将本地服务映射到远程服务器的端口，用于将本地服务暴露到外网。ssh -R [远程地址:远程端口]:[本地地址:本地端口] user@your-server示例：ssh -R 0.0.0.0:8888:localhost:8080 user@your-server远程服务器的 8888 端口映射到本地的 8080 端口。外部访问 http://your-server:8888，即可访问本地的 http://localhost:8080。动态端口转发 (-D) 将本地端口作为 SOCKS 代理，用于动态访问任意远程服务。ssh -D [本地地址:本地端口] user@your-server示例：ssh -D 127.0.0.1:1080 user@your-server本地 127.0.0.1:1080 作为 SOCKS 代理，可通过浏览器等工具配置访问外网。配置 /etc/ssh/sshd_config 文件为了使远程端口转发（-R）正常工作，可能需要修改远程服务器的 SSH 配置文件 /etc/ssh/sshd_config。关键配置项允许 TCP 转发确保以下配置为 yes：AllowTcpForwarding yes启用网关端口使远程端口可以绑定到非本地地址：GatewayPorts yesGatewayPorts no：默认值，只允许绑定到 127.0.0.1（本地回环地址）。GatewayPorts yes：允许绑定到所有地址。GatewayPorts clientspecified：根据客户端的 -R 命令指定绑定地址。重启 SSH 服务修改配置后，重启 SSH 服务使其生效：sudo systemctl restart sshd常用组合参数1. 保持连接活跃 (-fN)-f：在连接建立后，SSH 会后台运行。-N：只建立端口转发，不执行远程命令。ssh -fN -L 8080:localhost:80 user@your-server2. 指定绑定地址-L 本地绑定地址：127.0.0.1 仅本地访问，0.0.0.0 外部可访问。-R 远程绑定地址：同样使用 127.0.0.1 或 0.0.0.0。ssh -R 0.0.0.0:8888:localhost:8080 user@your-server3. 动态端口转发 + 指定 SOCKS 代理使用 -D 开启动态端口转发，将本地端口作为 SOCKS 代理：ssh -D 127.0.0.1:1080 user@your-server4. 禁用伪终端-T：禁用伪终端分配，用于纯端口转发：ssh -T -R 8888:localhost:8080 user@your-server5. 指定配置文件-F：使用自定义 SSH 配置文件：ssh -F ~/.ssh/custom_config -L 8080:localhost:80 user@your-server远程端口转发的安全性考虑限制绑定地址如果不需要外网访问，建议远程端口绑定到 127.0.0.1，避免暴露服务：ssh -R 127.0.0.1:8888:localhost:8080 user@your-server强制使用 SSH 密钥认证配置服务器强制使用密钥认证，避免账户被暴力破解：PasswordAuthentication no监控转发端口的使用在远程服务器上监控端口转发的使用情况：netstat -tlnp完整案例1. 将本地服务暴露到远程服务器并开放外网访问ssh -R 0.0.0.0:8888:localhost:8080 user@your-server在远程服务器的 8888 端口监听，外部可通过 http://your-server:8888 访问。2. 映射远程服务到本地ssh -L 8080:localhost:80 user@your-server将远程服务器的 80 端口映射到本地 8080，本地访问 http://localhost:8080。3. 配置 SOCKS 代理ssh -D 127.0.0.1:1080 user@your-server本地 127.0.0.1:1080 作为 SOCKS 代理，可代理访问外网。