SSH 高级用法：密钥、隧道与跳板机

SSH 不只是远程 shell，更是打通内网的瑞士军刀。

密钥登录

ssh-keygen -t ed25519 -C "ops@host"
ssh-copy-id user@host

公钥放服务端 ~/.ssh/authorized_keys，私钥留本地（权限 600）。彻底关密码登录见安全加固篇。

本地/远程端口转发

# 本地转发：把本地 8080 映射到远程内网 10.0.0.5:80
ssh -L 8080:10.0.0.5:80 jump@bastion

# 远程转发：把远端 9000 映射回本地 3000（内网穿透）
ssh -R 9000:localhost:3000 user@public-host

常用于访问无公网 IP 的数据库或内网管理后台。

跳板机（ProxyJump）

# 直接经堡垒机跳到内网机
ssh -J bastion@a.b.c.d user@10.0.0.10

# 或写进 ~/.ssh/config
Host internal
    HostName 10.0.0.10
    ProxyJump bastion@a.b.c.d
    User user

最佳实践：用 ProxyJump 替代手动多跳；转发端口务必绑定 127.0.0.1 防外来连接；堡垒机集中审计所有会话，禁止直连生产机。

小结

密钥登录保安全，端口转发打通隔离网络，ProxyJump 简化跳板。三招组合，远程运维效率与安全兼得。