你在笔记本上访问内网数据库，命令里该写 `-L`；外部测试环境要临时回调本机服务，轮到 `-R`；想让浏览器或命令行工具经跳板机访问多个目标，才是 `-D`。三个参数只差一个字母，流量方向却完全不同。

死记命令很容易在现场写反。选 SSH 端口转发时只问两件事：谁发起第一次连接，目标地址是不是固定的。答案一出来，本地转发、远程转发和动态转发就不难区分。

## 先画箭头，再选 L、R、D

| 需求 | 第一次连接从哪里发起 | 目标是否固定 | 选择 | 本地监听点 |
|---|---|---|---|---|
| 笔记本访问服务器侧数据库 | 你的电脑 | 固定 | 本地转发 `-L` | 你的电脑 |
| 服务器侧访问你电脑上的临时服务 | 远端服务器 | 固定 | 远程转发 `-R` | 远端服务器 |
| 多个应用经跳板机访问不同站点 | 你的电脑 | 不固定 | 动态转发 `-D` | 你的电脑上的 SOCKS5 |

这里的“本地”和“远程”说的是监听端口开在哪一侧，不是目标服务归谁管理。把箭头画成“发起方 → 监听端口 → SSH 连接 → 目标”，通常比背语法可靠。

无论选哪一种，都只应在已授权的主机与网络中使用。SSH 隧道改变的是访问路径，不会绕开目标服务本身的账号、权限、TLS 或审计要求。

![Xterminal 端口转发规则列表，可集中查看类型、监听地址、目标和状态](https://developer.qcloudimg.com/http-save/yehe-1440201/9ae85a5ee54d65942b048935af814938.png)

## 本地转发：从电脑伸进服务器内网

场景是最常见的：数据库只允许跳板机所在内网访问，你希望本机数据库客户端连上它。数据流是：

```text
本机客户端 -> 127.0.0.1:15432 -> SSH 跳板机 -> db.internal:5432
```

对应命令：

```bash
ssh -N \
  -o ExitOnForwardFailure=yes \
  -L 127.0.0.1:15432:db.internal:5432 \
  ops@jump.example.com
```

`127.0.0.1:15432` 是本机监听点，`db.internal:5432` 由跳板机一侧解析并连接。数据库客户端此时填 `127.0.0.1:15432`。`-N` 表示不启动远端 shell，`ExitOnForwardFailure=yes` 会在监听创建失败时直接报错，避免窗口看似连着、隧道其实没起来。

监听地址最好明确写 `127.0.0.1`。若写成 `0.0.0.0`，同一网络中的其他设备可能也能访问这个入口，暴露面会扩大。隧道建立成功也不代表数据库连接必然成功，数据库白名单、账号权限与 TLS 仍需单独核对。

![Xterminal 的本地转发配置界面，监听位于本机并指向远端固定目标](https://developer.qcloudimg.com/http-save/yehe-1440201/66b05aaa44b7504e85cb30242c4f57d8.png)

在 Xterminal 中，这类规则可以按 SSH 会话保存本地监听和远端目标，启动后从列表查看状态。它适合减少重复输入，但地址方向仍要由人确认；保存错误规则只会稳定地重复错误。

停止命令可按 `Ctrl+C` 结束当前 SSH 进程。随后用 `lsof -nP -iTCP:15432 -sTCP:LISTEN` 检查本机端口是否释放。若临时改过数据库白名单，也要按原变更记录恢复。

## 远程转发：让服务器回到你电脑上的服务

另一个典型场景是调试 webhook：代码跑在你的笔记本，测试服务器需要访问它。箭头变成：

```text
远端调用方 -> 远端 127.0.0.1:18080 -> SSH 连接 -> 本机 127.0.0.1:3000
```

命令如下：

```bash
ssh -N \
  -o ExitOnForwardFailure=yes \
  -R 127.0.0.1:18080:127.0.0.1:3000 \
  ops@test-server.example.com
```

远端机器上的调用方访问 `127.0.0.1:18080`，请求经 SSH 回到本机 3000 端口。两处 `127.0.0.1` 分属隧道两端，读命令时要沿箭头逐段解释，别把它们当成同一个地址。

![Xterminal 的远程转发配置界面，监听端口位于 SSH 服务器一侧](https://developer.qcloudimg.com/http-save/yehe-1440201/fe4abdc91876670c845e1d4c5125d218.png)

远程转发最危险的误区，是为了让第三方访问而把远端监听直接开放到公网。OpenSSH 服务端通常还会受到 `GatewayPorts`、`AllowTcpForwarding`、防火墙和安全组限制。确有外部联调需求时，先评估带身份认证和 TLS 的反向代理或专用隧道服务；若仍要改 `sshd_config`，应走变更审批，限制来源地址，测试配置后再平滑重载，并预留原 SSH 会话作为回滚通道。

没有修改权限时，不要用其他入口绕过服务端策略。管理员拒绝远程转发，往往正是访问控制的一部分。停止调试后终止隧道，确认远端 18080 已释放，并回滚临时防火墙与 SSH 配置。

## 动态转发：目标不固定时提供 SOCKS5 入口

动态转发没有预先写死目标。它在本机开一个 SOCKS5 代理，支持代理的应用把目标主机名和端口交给 SSH 客户端处理：

```bash
ssh -N \
  -o ExitOnForwardFailure=yes \
  -D 127.0.0.1:1080 \
  ops@jump.example.com
```

测试时可以让 DNS 解析也走远端：

```bash
curl --proxy socks5h://127.0.0.1:1080 https://example.com/
```

`socks5h` 中的 `h` 表示主机名交给代理端解析。若应用使用普通 `socks5` 并在本地先解析域名，内网域名可能解析失败，也可能产生不必要的 DNS 泄露。

![Xterminal 的动态转发配置界面，本机监听端口作为 SOCKS5 代理入口](https://developer.qcloudimg.com/http-save/yehe-1440201/2ef8f6442597300849139e5fffc2d090.png)

动态转发不是“全局网络自动走隧道”。只有明确配置了 SOCKS5 的应用才会使用它，部分程序也可能忽略系统代理。它同样不提供内容过滤、恶意站点防护或业务鉴权。监听仍应绑定本机回环地址，结束后清理应用代理设置，避免下一次启动时出现“网络突然不可用”。

## 隧道不通，按三段链路查

遇到连接失败时，不要立刻换参数。沿链路检查，通常很快能定位在哪一段断开。

本地监听是否存在：

```bash
lsof -nP -iTCP:15432 -sTCP:LISTEN
# Linux 也可以使用
ss -lntp | rg ':15432'
```

SSH 是否接受转发：临时加 `-vvv` 查看握手和 forwarding 日志，留意 `administratively prohibited`、监听冲突和主机名解析错误。详细日志可能包含主机名、用户名和网络结构，对外分享前需要脱敏。

目标服务是否能从正确一侧访问：本地转发的目标应从 SSH 服务器侧验证；远程转发的目标应从本机验证。能 ping 通不等于目标 TCP 端口开放，也不等于应用层鉴权通过。

Xterminal 的端口转发列表可把三种规则、监听地址、目标与运行状态放在一起，并支持规则启停、自动重连和连接复用。自动重连只负责恢复 SSH 通道；目标服务已挂、凭据过期或网络策略变化时，它不会把故障变成成功。生产环境仍应配合服务监控和访问审计。

## 用一句话做现场选择

从电脑访问远端固定服务，选 `-L`；让远端访问本地固定服务，选 `-R`；本地应用要经跳板机访问多个动态目标，选 `-D`。落笔前再补上监听地址，测试后再写停止与回滚动作。

不妨拿下一条真实需求画四个节点：发起方、监听点、SSH 服务器、目标。箭头能顺着读通，再执行命令。这个小动作比收藏更多命令速查表更能减少端口开错方向。


你在笔记本上访问内网数据库，命令里该写 -L；外部测试环境要临时回调本机服务，轮到 -R；想让浏览器或命令行工具经跳板机访问多个目标，才是 -D。三个参数只差一个字母，流量方向却完全不同。

本地、远程、动态转发总记混？用数据流方向选对 SSH 隧道

用数据流方向区分 SSH 本地转发、远程转发和动态转发，给出监听点判断、最小命令模板、排障顺序与安全回滚检查。

操作系统

网络与通信

运维

SSH端口转发选型速查：本地访问固定目标用-L，远程回调本机服务用-R，动态多目标用-D。关键判断两点：谁发起首次连接、目标是否固定。画箭头理清数据流向，绑定127.0.0.1防暴露，测试后需清理端口和配置。

命令行工具

测试服务

代码解释

数据库

服务器

防火墙

数据流

Linux

热销域名限时优惠，新客首年免费！


domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

本地、远程、动态转发总记混？用数据流方向选对 SSH 隧道-腾讯云开发者社区-腾讯云

本地、远程、动态转发总记混？用数据流方向选对 SSH 隧道

本地、远程、动态转发总记混？用数据流方向选对 SSH 隧道

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐