---------- Forwarded message ----------
From: XIE WEN-MFK346 <wenxie at motorola.com>
Date: 2008/8/19
Subject: ssh 隧道 ssh tunnel
To: xiewenxiewen at gmail.com
ssh 隧道tunnel，也叫端口转发port forwarding
现举例说明使用ssh隧道实现端口转发，通信信息加密，socks代理服务器，突破防火墙
用法1. 通过不安全网络，加密通信内容，防止被窃听
比如，通过Internet互联网，我想访问一台服务器(mgt.s3lab.mot.com)的邮件服务，然而stmp邮件协议是不安全的，传输的内容有可能被其它人窃取
所以我要在我的机器和服务器之间建立起一条加密通道
图1
--------
|internet|
me ---|--------|---> mail server
:25 | | :25
--------
运行
plink s3op@mgt.s3lab.mot.com -L 25:localhost:25 -N
s3op@mgt.s3lab.mot.com 是ssh登录的用户名和地址
-L 表示Local port forwarding 本地端口转发
25:localhost:25 表示将我的pc机的25端口转发到服务器(mgt.s3lab.mot.com)上的localhost:25这个端口
-N 表示不需要交互操作，也就是说登录ssh后不启动shell
这样，访问本机的25端口就等于访问mgt服务器上的邮件服务了，而且是经过加密的
试发一封邮件给root，运行:
telnet localhost 25
ehlo helo
mail from:xiewen@earth.com
rcpt to:root
data
.
quit
发送成功
用法2. 穿过防火墙，访问防火墙后面的内网上的服务
比如，因为防火墙限制，只有MGT服务器对外提供ssh登录，无法直接访问防火墙后的内网的其它机器
但我想访问内网oracle数据库
运行
plink s3op@mgt.s3lab.mot.com -L 9901:QA-DB-1:1521 -L 9902:DEV-DB-1:1521 -N
将本机9901转发到内网QA-DB-1上oracle监听器端口1521，9902转发到DEV-DB-1的1521
图2
firewall
|
|
me ---------|-----MGT------> QA-DB-1 :1521
:9901 | \
:9902 | -------> DEV-DB-1 :1521
|
我就可以很方便的从本机直接登录内网数据库了
sqlplus system/manager@localhost:9901/screen3
sqlplus system/manager@localhost:9902/screen3
用法3: 穿过防火墙，让内网机器访问我的服务
前面举的例子的都是Local port forwarding本地端口转发，Remote port forwarding和它正好相反，是将远端端口转发到本地
比如，我在本机建立了一个http服务器，提供了文件共享服务
想从内网的访问到我共享的文件
运行
plink s3op@mgt.s3lab.mot.com -R 9080:localhost:80 -N
将mgt上的9080转发到本机的localhost:80上
图3
firewall
|
me <-----|-------- mgt <------- QA-DB-1
:80 | :9080
在内网mgt上，就可以访问共享文件了
wget http://localhost:9080/D17090GC30_ppt/index.ppt
要让内网其它机器也能访问，还要打开ssh的GatewayPorts参数
重启sshd后台服务进程，使修改的参数生效
从内网其它机器也能访问了
用法4. 建立SOCKS代理服务器
比如，我想从公司访问http://www.playboy.com
，可公司代理做了限制，不能访问
机房里有一台机器可以访问互联网，向外访问似乎没有限制，于是我打算将这台机器作为代理服务器
运行
plink s3op@mgt.s3lab.mot.com -D 1080 -N
-D 表示dynamic port forwarding, 将ssh作为SOCKS代理服务器，在本机监听1080端口
图4
firewall
|
| --------
me ------|---- mgt -------> |internet|
:1080 | --------
|
然后我修改了firefox的网络连接设置，使用SOCKS代理服务器，再访问playboy
成功了！
用法5. 综合应用
综合运用远程+动态端口转发，突破公司防火墙，使用bittorrent,edonkey等p2p软件下载盗版软件、最新大片
没有条件，所以就不演示了
Xie wen（谢文）
Network & Operations,
Mobile Software Solutions (MDB)
MOTOROLA Inc.
No. 108 Jian Guo Road, Chao Yang District, Beijing
100022 P. R. China
e-mail wenxie at motorola.com
-fin-
Posts
