为什么即使端点失败，转发的 SSH 端口似乎仍然打开？答案

【问题标题】：Why the forwarded SSH port still seem open even with the endpoint failing?为什么即使端点失败，转发的 SSH 端口似乎仍然打开？
【发布时间】：2017-08-09 03:56:09
【问题描述】：

我将 SSH 端口转发隧道安装到远程服务器 RemoteServerSSH 并将 55555 端口转发到不存在的设备（这是我尝试测试的）。

$ hostname
MyMachine

设置转发隧道

$ ssh -q -N -p 22 -vvv \
    -i ~/.ssh/MyKey \
    -o Compression=yes \
    -o ServerAliveInterval=3 \
    -o serverAliveCountMax=3 \
    -L *:55555:RemoteDownItem:9100 user@RemoteServerSSH

测试隧道

当我直接telnet 设备时，我得到了正确的行为（未连接）。但是，当我尝试通过隧道到达它时，telnet 说它已连接：

$ telnet RemoteDownItem 9100   # Not Connected = OK
$ telnet MyMachine 55555       # Connected! Why? should be same as above

当我测量telnet 时间连接时，它是瞬时的（1ms！）。回答我的是 SSH 客户端，它不跨越 ssh 隧道！为什么？

详细

...
debug1: Local connections to *:55555 forwarded to remote address 10.220.9.183:9100
debug3: channel_setup_fwd_listener: type 2 wildcard 1 addr NULL
debug1: Local forwarding listening on 0.0.0.0 port 55555.
debug2: fd 4 setting O_NONBLOCK
debug3: fd 4 is O_NONBLOCK
debug1: channel 0: new [port listener]
debug3: sock_set_v6only: set socket 5 IPV6_V6ONLY
debug1: Local forwarding listening on :: port 55555.
debug2: fd 5 setting O_NONBLOCK
debug3: fd 5 is O_NONBLOCK
debug1: channel 1: new [port listener]
debug2: fd 3 setting TCP_NODELAY
debug3: packet_set_tos: set IP_TOS 0x10
debug1: Requesting no-more-sessions@openssh.com
debug1: Entering interactive session.


debug1: Connection to port 55555 forwarding to 10.220.9.183 port 9100   requested.
debug2: fd 6 setting TCP_NODELAY
debug2: fd 6 setting    O_NONBLOCK debug3: fd 6 is O_NONBLOCK
debug1: channel 2: new    [direct-tcpip]

问题

是否有 SSH 参数可以将 telnet 连接直接转发到端点？

项目相关问题

Telnet connect to non-existing adress

【问题讨论】：

标签： ssh telnet portforwarding

【解决方案1】：

考虑隧道的工作原理。当你运行ssh -L *:55555:RemoteDownItem:9100 user@host 之类的东西时，端口转发的处理方式如下：

本地 ssh 实例绑定到 TCP 端口 55555 并侦听连接。
“发起者”连接到本地系统上的端口 55555。本地 ssh 实例接受 TCP 连接。
本地 ssh 实例通过 SSH 连接向远程 ssh 服务器发送"direct-tcpip" request。
远程 ssh 服务器尝试连接到主机“RemoteDownItem”端口9100。

在第4步，如果ssh服务器能够连接到隧道的目标，那么ssh客户端和服务器将各自通过direct-tcpip通道在发起者和目标之间中继数据。

或者，在第 4 步，服务器可能无法与目标建立 TCP 连接。或者服务器可能被配置为不允许转发请求。在任何一种情况下，它都会以错误（或表示通道已关闭的消息）响应客户端。

此时，本地 ssh 实例唯一能做的就是关闭与始发者的 TCP 连接。从发起者的角度来看，它成功连接到一个“服务器”（ssh客户端），然后“服务器”几乎立即关闭了连接。

OpenSSH 软件不包含以更复杂的方式处理此问题的任何逻辑。并且以更复杂的方式处理它可能很困难。考虑：

远程 SSH 服务器在尝试之前不知道它是否可以连接到“RemoteDownItem”端口 9100。所以ssh提前弄清楚端口转发不起作用是有问题的。
即使一次尝试连接到目标失败，下一次尝试也可能成功。所以 ssh 假设端口转发不起作用，只是因为一次尝试失败是有问题的。
远程 SSH 服务器可以成功连接到目标，然后目标可以立即关闭 TCP 连接。所以 ssh 服务器、ssh 客户端和发起者无论如何都必须处理这种行为。

【讨论】：