嗯,这阵子入手了一个VPS,然后是各种折腾啊,因为毕竟是在互联网上,高手不知何几,于是感到,小心为上啊。可是不开放端口是不行的……这个怎么办呢?嗯,是个问题,然后,SSH进入了我的眼帘。之前也发过一使用SSH代理,对此进行过研究,不过这个实在是太片面了,完全不能发挥SSH的全部性能。

继续是参考文章:

上班族ssh tunnel求生手冊

这次要研究的是这个“L”开关

这个转发形造成的结果就是,不对公众开放的端口都可以开放在127.0.0.1,然后使用端口转发转过去。

比如说,假设我有一个支持SSH登录的服务器,服务器IP为192.168.77.1,在服务器上启动一个mysql,修改my.cnf,让mysqll只listen在127.0.0.1上,然后使用

ssh -NfL 127.0.0.1:3306:127.0.0.1:3306 192.168.77.1

这样,你就可以使用连接mysql的软件,连接127.0.0.1:3306,就可以直接访问远程的mysql服务器了!(即使你没有Shell权限!!)

稍微解释一下命令的内容

ssh -NfL 127.0.0.1:3000:127.0.0.1:3306 192.168.77.1

N : 什么也不做

f : 在后台运行

L :端口转发

127.0.0.1 :ssh在本地上监听的端口,如果要对公众开放,写0.0.0.0,如果要对某个接口上的人开放,填写该接口的ip

3000 :本地的监听端口

127.0.0.1 :服务器要连接的ip,因为例子使用的是连接服务器上不对外开放的mysql,于是写127.0.0.1

3306 :远程服务器要连接的端口,mysql使用的是3306

192.168.77.1 :远程服务器的ip

其实这也算是一种代理吧,只是用的方式有点特别。

发现这样之后,服务器一下子就变得安全起来,Linux的什么VNC Server啊,windows的remote desktop啊什么的,全部都可以藏在127.0.0.1,不对外开放,端口就剩一个ssh的22,服务器的安全性得到了很大的提高。

然后就是,这样的用法的话,可以使用多重连接,比如A不能直接连到B的情况下,可以找到一个可以连接到B的C,然后再经过类似的叠加而进行绕行连接,意外的方便。不过似乎在实际应用中,连接会有点不稳定。

发表评论